W skrócie
Spear phishing to ukierunkowana odmiana phishingu. Atakujący zbiera informacje o wybranej osobie lub firmie i pisze wiadomość, która wygląda jak zwykła korespondencja. Chronią procedury weryfikacji, ograniczenie publicznych informacji i ćwiczenia na wiadomościach zbliżonych do prawdziwych.
| Pojęcie | Znaczenie |
|---|---|
| Spear phishing | atak wiadomością dopasowaną do konkretnej osoby lub stanowiska |
| Rozpoznanie | zbieranie informacji o celu z publicznych źródeł |
| Podszycie | udawanie osoby, której odbiorca ufa lub nie odmawia |
Spear phishing co to jest?
Nazwa nawiązuje do łowienia włócznią. Zwykły phishing działa jak sieć, trafia w wielu odbiorców naraz. Spear phishing celuje w jedną osobę albo małą grupę, na przykład księgową, asystentkę zarządu lub administratora systemów.
Atakujący poświęca więcej czasu na przygotowanie, ale zyskuje wiarygodność. Wiadomość nie wygląda jak spam, tylko jak kolejna codzienna sprawa.
Czym spear phishing różni się od zwykłego phishingu?
Różnic jest kilka i wszystkie wynikają z dopasowania:
- wiadomość zawiera prawdziwe nazwy, role i bieżące sprawy,
- nie ma w niej typowych błędów, które zdradzają masową wysyłkę,
- adres nadawcy bywa łudząco podobny do znanego,
- prośba jest zwykle jedna i konkretna, na przykład przelew lub zmiana rachunku,
- atak rzadko się powtarza w tej samej formie, więc trudniej go odfiltrować.
Podstawy phishingu opisaliśmy w artykule phishing co to.
Skąd atakujący wiedzą tak dużo?
Informacje pochodzą głównie ze źródeł publicznych: strony firmy, profili zawodowych, ogłoszeń o pracę, komunikatów prasowych i wpisów w mediach społecznościowych. Z takiego zestawu da się odtworzyć strukturę zespołu, nazwy dostawców i terminy ważnych wydarzeń.
Czasem pierwszym krokiem jest niewinna wiadomość, która ma tylko potwierdzić, że adres działa albo kto zajmuje się płatnościami. Dopiero potem przychodzi właściwy atak.
Kogo atakuje się najczęściej?
Najbardziej narażone są stanowiska z uprawnieniami lub dostępem do poufnych danych:
- dział finansów i osoby zlecające przelewy,
- asystenci i asystentki zarządu,
- administratorzy systemów i osoby z szerokimi uprawnieniami,
- dział kadr, który ma dane pracowników,
- zarząd, ponieważ jego polecenia rzadko są kwestionowane.
Jak chronić firmę przed spear phishingiem?
Zacznij od procedur. Zmiana rachunku i przelew powyżej ustalonej kwoty powinny wymagać potwierdzenia drugim kanałem i drugiej osoby. Ogranicz też informacje publiczne o strukturze firmy tam, gdzie to możliwe.
Drugi element to ćwiczenie. Zwykła szkoleniowa prezentacja nie przygotuje nikogo na wiadomość, która wygląda jak prawdziwa sprawa. Scenariusze dopasowane do działu finansów, takie jak fałszywa faktura, można przećwiczyć w ramach oszustw płatniczych.
Jak ćwiczyć spear phishing w zespole?
W Naiwne dobierasz scenariusze do branży i działu, a po kliknięciu uczestnik dostaje mikrolekcję wskazującą, co było sygnałem ostrzegawczym. Symulacje nie zbierają haseł, a raport pokazuje zarządowi wyniki bez wskazywania winnych.
Dobrym punktem wyjścia jest przejrzenie planu kampanii w bezpłatnym planerze na stronie głównej i dopasowanie go do swoich działów. Szerzej o planowaniu piszemy w opisie kampanii phishingowej.