W skrócie
Phishing to oszustwo oparte na podszywaniu się pod znaną osobę lub instytucję. Celem jest wyłudzenie haseł, danych albo pieniędzy. Najskuteczniejszą obroną jest połączenie prostych procedur z regularnym ćwiczeniem na realistycznych wiadomościach.
| Pojęcie | Znaczenie |
|---|---|
| Phishing | wiadomość podszywająca się pod zaufanego nadawcę w celu wyłudzenia danych lub pieniędzy |
| Nadawca | osoba lub firma, pod którą podszywa się atakujący |
| Przynęta | element wiadomości, który ma wywołać reakcję, na przykład faktura lub alert konta |
| Cel ataku | hasło, kod, dane karty albo przelew |
Phishing co to znaczy w praktyce
Nazwa pochodzi od angielskiego słowa oznaczającego łowienie ryb. Atakujący zarzuca przynętę, a ktoś ją połyka. Przynętą bywa e-mail z rzekomą fakturą, wiadomość o zablokowanym koncie, link do udostępnionego dokumentu albo prośba przełożonego o pilną płatność.
Wiadomość działa dlatego, że wygląda znajomo i wymusza szybką decyzję. Atakujący nie musi łamać zabezpieczeń. Wystarczy, że odbiorca sam wykona czynność, o którą go poproszono.
Jakie są najczęstsze odmiany phishingu?
Odmiany różnią się kanałem i stopniem dopasowania do ofiary. Najczęściej spotykane w firmach to:
- masowy e-mail z fałszywą fakturą, powiadomieniem lub linkiem do logowania,
- smishing, czyli wiadomość SMS z linkiem lub prośbą o dopłatę,
- vishing, czyli rozmowa telefoniczna, w której rozmówca podaje się za bank lub dostawcę,
- spear phishing, czyli atak dopasowany do konkretnej osoby i jej obowiązków,
- fałszywe strony logowania, które wyglądają jak poczta firmowa lub panel bankowości.
Po czym poznać wiadomość phishingową?
Żaden pojedynczy sygnał nie przesądza, ale kilka naraz powinno zatrzymać odbiorcę. Warto zwrócić uwagę na:
- presję czasu i groźbę konsekwencji, na przykład blokadę konta,
- adres nadawcy, który różni się od znanego jednym znakiem lub inną domeną,
- link, którego adres po najechaniu kursorem nie zgadza się z opisem,
- prośbę o zmianę numeru konta albo pilny przelew poza zwykłym obiegiem,
- załącznik, którego nikt się nie spodziewał,
- zwroty ogólne zamiast imienia i konkretnej sprawy.
Co zrobić po kliknięciu w podejrzany link?
Najważniejsze jest szybkie zgłoszenie, a nie ukrywanie błędu. Pracownik, który boi się przyznać do pomyłki, daje atakującemu dodatkowy czas. Dobra procedura jest krótka: zamknij stronę, niczego nie wpisuj, zgłoś wiadomość osobie odpowiedzialnej za bezpieczeństwo i zmień hasło, jeśli zostało wpisane.
Firma powinna jasno powiedzieć, że zgłoszenie nie skutkuje karą. Wtedy zgłoszeń jest więcej, a wczesny sygnał pozwala ograniczyć skutki.
Dlaczego jednorazowe szkolenie nie wystarcza?
Wiedza o phishingu szybko się zaciera, a atakujący co jakiś czas zmieniają przynęty. Jednorazowe szkolenie z trenerem daje ogólny obraz zagrożeń, ale nie sprawdza, jak ludzie zachowają się przy prawdziwej wiadomości w środku pracowitego dnia.
Lepiej działa ciągły program: krótkie symulacje w różnych kanałach, a po kliknięciu mikrolekcja pokazująca, co było sygnałem ostrzegawczym. Tak działają testy phishingowe, które przekładają wiedzę na nawyk i dają zarządowi wynik do porównania w czasie.
Jak przygotować firmę na phishing?
Dobre przygotowanie opiera się na trzech filarach: procedurach, technice i ludziach. Procedury to na przykład oddzwonienie na znany numer przed zmianą rachunku. Technika to filtrowanie poczty i uwierzytelnianie wieloskładnikowe. Ludzie to regularne ćwiczenia, dopasowane do działów, bo księgowość widzi inne wiadomości niż magazyn.
Jeśli chcesz zobaczyć, jak może wyglądać taki plan, wypróbuj bezpłatny planer na stronie głównej i zaplanuj pierwszą kampanię phishingową dla swojego zespołu.