Phishing – co to jest i jak zabezpieczyć swoją firmę? 

Hakerzy stosują wiele technik w celu wyłudzenia poufnych informacji. Potrafią oni wykraść dane z kart, rachunków bankowych, a nawet danych logowania, które zostały zapisane na Twoim urządzeniu. Jedną z metod oszustów jest natomiast phishing. 

Z tego artykułu dowiesz się:

• Czym jest phishing?
• Jak phishing może wpływać na bezpieczeństwo firmy?
• Jakie są rodzaje phishingu?
• Jakie są najpopularniejsze metody phishingu?
• Jak przeciwdziałać phishingowi?
• Jak technicznie zabezpieczyć się przed phishingiem?

Phishing – definicja  

Phishing to złośliwa praktyka wykorzystywana przez cyberprzestępców w celu pozyskania poufnych informacji, a szczególnie: 

• danych karty płatniczej,  
• loginów i haseł, 
• numerów PESEL i dowodu. 

Phishing to oszustwo internetowe, polegające na podszywaniu się pod zaufaną osobę w celu wyłudzenia poufnych danych, takich jak hasła czy numer karty kredytowej.

Definicja phishingu

Oszust podszywa się pod zaufane instytucje lub osoby za pomocą fałszywych komunikatów elektronicznych, takich jak e-maile, SMS-y, komunikatory oraz portale społecznościowe. Nazwa phishing nawiązuje do angielskiego słowa fishing, czyli łowienie ryb, co odzwierciedla metodę działania przestępców, którzy wykorzystują atrakcyjne przynęty w postaci zmyślonych informacji lub wiadomości. 

Phishing a bezpieczeństwo firmy  

Duże firmy, a szczególnie nieświadome, to świetne cele dla przestępców. Wiedzą oni, że wiele marek nie zabezpiecza się przed atakami i nie szkoli swoich pracowników. Niestety skutki phishingu są długotrwałe i trudne do naprawienia. Należą do nich m.in.:

• Kradzież danych i tożsamości – najczęstszym skutkiem ataku phishingowego jest kradzież danych przedsiębiorstwa. Jeśli osoba podszywająca się pod zaufane źródło nakłoni ofiarę, na przykład Twojego pracownika, do ujawnienia swoich danych logowania do konta bankowego lub innych serwisów online, może to prowadzić do poważnych konsekwencji. 
• Zainfekowanie urządzenia złośliwym oprogramowaniem – jeśli Ty lub Twój pracownik kliknie w złośliwy link lub załącznik w phishingowej wiadomości, to zainfekuje urządzenie złośliwym oprogramowaniem. Skutki takiego działania są katastrofalne, ponieważ prowadzą do utraty kontroli nad urządzeniem oraz nad całym systemem informatycznym.  
• Utrata środków finansowych – kradzież danych finansowych prowadzi do bezpośredniej utraty środków finansowych przedsiębiorstwa. Cyberprzestępcy wykorzystują ukradzione informacje do dokonywania nieautoryzowanych transakcji lub wyłudzania pieniędzy z kont bankowych ofiary.  

Rodzaje phishingu  

Istnieje szereg różnych rodzajów ataków phishingowych, które cyberprzestępcy wykorzystują w celu pozyskania poufnych informacji lub szybkiego wzbogacenia się poprzez kradzież danych karty płatniczej. Im lepiej poznasz rodzaje phishingu, tym lepiej nauczysz się przed nim zabezpieczać.  

• Spear Phishing – w przypadku Spear Phishingu ataki są skierowane na konkretne osoby lub organizacje. Oszuści dokładnie przygotowują się do tych ataków – starannie badają swoje ofiary i wykorzystują zebrane informacje do spersonalizowania wiadomości. Często ofiarami są pracownicy firm, a celem jest pozyskanie poufnych danych firmowych.  
• Clone Phishing – ten rodzaj ataku polega na klonowaniu autentycznych wiadomości e-mail. Przestępca wykorzystuje prawdziwy szablon wiadomości, wprowadzając jedynie zmiany w linkach prowadzących do złośliwych stron internetowych. Ofiara może być przekonana, że otrzymuje wiadomość od zaufanego nadawcy, na przykład kontrahenta.  
• Whaling – to forma ataku spersonalizowanego, którego celem są osoby zajmujące najwyższe stanowiska w firmie. W tym przypadku szczególnie narażeni są dyrektorzy i prezesi dużych spółek. Oszuści robią wszystko, aby pozyskać wrażliwe dane.  
• Brand Phishing – w tym rodzaju ataku przestępcy podszywają się pod znane przedsiębiorstwa lub usługi, które są związane z atakowaną firmą. Mogą to być na przykład dostawcy usług, z którymi firma współpracuje regularnie. Cel jest taki sam – pozyskanie poufnych danych poprzez wprowadzenie ofiary w błąd co do autentyczności wiadomości.  
• Spoofing – spoofing polega na fałszowaniu adresów domen, aby wiadomość wyglądała tak, jakby pochodziła od zaufanej organizacji. Cyberprzestępca może podszyć się pod autentyczną domenę, aby jego wiadomość wydawała się bardziej wiarygodna i mniej podejrzana dla ofiary. 
• Smishing – ten rodzaj ataku wykorzystuje wiadomości SMS z zainfekowanymi linkami, które prowadzą do złośliwych stron internetowych. Oszuści wykorzystują popularność komunikacji za pomocą wiadomości tekstowych. Pamiętaj, że oszuści mogą działać również za pomocą portali społecznościowych – nie tylko wiadomość SMS powinna być przez Ciebie dokładnie analizowana.  

Najpopularniejsze metody phishingu  

Cyberprzestępcy często maskują się jako renomowane instytucje finansowe, serwisy internetowe lub nawet znajomi. Wszystko po to, aby zwiększyć prawdopodobieństwo, że ofiara uwierzy w autentyczność przekazu. Taktyki te są wyrafinowane i coraz bardziej wyraźnie ukierunkowane, aby zmylić użytkowników i skłonić ich do podjęcia nieświadomych działań, na przykład pobrania złośliwego oprogramowania lub udostępnienia swoich poufnych danych. 

Najbardziej powszechną formą phishingu są fałszywe e-maile, które często zawierają linki prowadzące do stron internetowych udających autentyczne serwisy, gdzie ofiary są proszone o podanie swoich danych logowania lub innych poufnych informacji. Dodatkowo, oszuści wykorzystują także komunikatory i media społecznościowe jako platformy do przeprowadzania ataków. Pamiętaj, że fałszywe wiadomości trafiają nie tylko do osób prywatnych – również duże firmy mogą stać się celem cyberprzestępców. 

Przeciwdziałanie phishingowi  

Podanie poufnych informacji niesie wiele problemów, dlatego każda firma powinna wiedzieć, jak przeciwdziałać cyberprzestępcom. Jeśli chcesz chronić dane logowania lub każdy z numerów kart kredytowych, które używane są w Twoim przedsiębiorstwie, to wykorzystaj kilka skutecznych metod:  

• Ogranicz zaufanie – kiedy otrzymasz wiadomość SMS lub mail, który wydaje Ci się podejrzany, to dokładnie przeanalizuj jego treść i nie klikaj od razu w linki. Oszuści bardzo często wysyłają wiadomości o przesyłce pocztowej, kiedy odbiorca nawet nie zamawiał żadnego produktu przez Internet. Tak samo jest w przypadku faktur. Jeśli nie zalegasz z żadnymi opłatami, a otrzymasz fakturę od swojego kontrahenta, zadzwoń do niego i dopytaj, czy to właśnie on wysłał dokument.  
• Sprawdzaj nadawców – na pierwszy rzut oka adresy e-mail oszustów nie będą wydawać Ci się podejrzane, ale kiedy lepiej się przyjrzysz, to zauważysz, że zawierają one dziwną literówkę lub dodatkową literę. Niekiedy login adresata jest po prostu skrócony lub wręcz przeciwnie – zawiera dodatkowe słowo, które może kojarzyć się z marką.   
• Spójrz na adresy URL – oszuści wiedzą, jak działać, dlatego bardzo często w wiadomości e-mail jest anchor, a nie czysty link. Natomiast w przypadku SMS nie da się tak starannie ukryć linków, dlatego możesz przypatrzeć się domenie. Otrzymałeś wiadomość od kuriera, ale widzisz, że domena, do której prowadzi link, ma dziwny zlepek słów lub cyfr? Oznacza, to, że coś jest nie tak.  
• Postaw na skomplikowane hasła – wiele firm daje swoim pracownikom wspólne hasło do dokumentów czy innych plików. Najczęściej hasło to jest łatwe do zapamiętania. Oszuści lubią takie sytuacje, dlatego nie daj im satysfakcji. Zadbaj o to, aby każdy pracownik miał swoje własne hasło. Powinno być one skomplikowane, czyli zawierać wielką literę, cyfry, a nawet znaki specjalne.  
• Nie zapisuj haseł – ani Ty, ani Twoi pracownicy nie powinniście zapisywać na sprzęcie haseł, ponieważ cyberprzestępcy celują w pęk kluczy. Oznacza to, że jeden atak wystarczy im, aby otrzymać wszystkie zapisane dane logowania.  
• Wprowadź uwierzytelnianie wieloskładnikowe – taki zabieg to dodatkowe zabezpieczenie, które polega na dodatkowej weryfikacji tożsamości użytkownika podczas logowania. Uwierzytelnianie wieloskładnikowe może odbywać się za pomocą kodu przychodzącego na podany wcześniej numer telefonu.  
• Szkól pracowników – nie oczekuj od swoich pracowników, że będą oni wiedzieli, jak działa phishing. To Twoim zadaniem jest wprowadzić regularne szkolenia z tego zakresu. Współpracuj ze swoim działem IT lub zleć szkolenie zewnętrznej firmie, która powie Twoim pracownikom więcej o działaniach cyberprzestępców.  
• Wybierz ubezpieczenie – żadna firma nie jest w 100% bezpieczna w Internecie, dlatego wybierz solidne ubezpieczenie. Dopasuj je do wielkości swojej firmy i ewentualnych strat. Ubezpieczenia od cyber zagrożeń oferuje coraz więcej firm.  

Techniczne zabezpieczenie przed phishingiem 

Jeśli nie chcesz stać się ofiarą phishingu, koniecznie zabezpiecz swoją firmę technicznie. Co oznacza to w praktyce? Przede wszystkim postaw na filtry antyspamowe. W ten sposób Twoi pracownicy nie będą otrzymywać dziwnych wiadomości, które mogą wzbudzić w nich niepokój. Po drugie, na bieżąco aktualizuj oprogramowanie na komputerze, a również na sprzęcie swoich pracowników. Jeśli pracują oni na własnych laptopach, to sfinansuj im zakup dobrego programu. Dodatkowo, zainwestuj w polecane programy antywirusowe, które ochronią zawartość znajdującą się na firmowym sprzęcie. W ten sposób zadbasz o bezpieczeństwo wrażliwych i poufnych danych firmowych.