Współczesne kampanie phishingowe opierają się na zaawansowanym naśladownictwie oficjalnej korespondencji służbowej, komunikatów bankowych czy powiadomień od dostawców usług.

Wraz ze wzrostem skali działalności, liczba potencjalnych punktów wejścia dla hakerów gwałtownie rośnie. W osobnym artykule przeczytasz o tym, jak strategicznie podejść do rozwoju zaplecza technologicznego.

Skuteczna ochrona zasobów cyfrowych i danych osobowych wymaga od każdego użytkownika umiejętności krytycznej analizy elementów składowych wiadomości przed podjęciem jakiejkolwiek interakcji.

Poniższy poradnik przedstawia konkretne parametry techniczne oraz sygnały ostrzegawcze, które pozwalają zweryfikować wiarygodność nadawcy, odnośników oraz załączonych plików.

Weryfikacja nadawcy – dlaczego nazwa wyświetlana to za mało?

Najprostszym i najczęściej stosowanym sposobem manipulacji w wiadomościach e-mail jest podszywanie się pod zaufane osoby lub instytucje poprzez modyfikację tzw. nazwy wyświetlanej (Display Name). Programy pocztowe w widoku listy wiadomości domyślnie pokazują jedynie nazwę zadeklarowaną przez nadawcę, np. „Dział Finansowy” lub „Bank Pekao”, ukrywając rzeczywisty adres e-mail, z którego wysłano wiadomość.

Rozróżnienie nazwy od adresu e-mail

Nazwa wyświetlana jest jedynie etykietą tekstową, którą nadawca może dowolnie edytować w ustawieniach swojego konta. Aby poznać faktyczne źródło wiadomości, należy rozwinąć szczegóły nagłówka e-maila lub najechać kursorem myszy na nazwę nadawcy. Dopiero wtedy widoczny staje się pełny adres w formacie nazwa@domena.pl. Jeśli nazwa sugeruje kontakt z oficjalnej instytucji (np. Urząd Skarbowy), a adres e-mail pochodzi z darmowej, ogólnodostępnej domeny (np. @gmail.com, @wp.pl) lub domeny o przypadkowym ciągu znaków, wiadomość należy uznać za fałszywą.

Analiza domeny i literówki (typosquatting)

Cyberprzestępcy często rejestrują domeny, które na pierwszy rzut oka wyglądają niemal identycznie jak te należące do znanych firm. Metoda ta, zwana typosquattingiem, wykorzystuje mechanizm szybkiego czytania i nieuwagę użytkownika. Przykładami takich manipulacji są:

• Zamiana liter o podobnym kształcie: rn zamiast m (np. miicros0ft.com),

• Dodawanie lub usuwanie pojedynczych liter: gogle.com zamiast google.com,

• Zmiana końcówki domeny: firma.pl zamiast firma.com.pl.

Podstępne subdomeny

Inną techniką jest tworzenie długich adresów, w których znana nazwa firmy pojawia się na początku, sugerując autentyczność, podczas gdy rzeczywista domena znajduje się na końcu adresu. Przykładowo, w adresie bezpieczenstwo.twojbank.pl.weryfikacja-konta.io, faktycznym właścicielem domeny jest podmiot kontrolujący weryfikacja-konta.io, a nie twojbank.pl. Zasada analizy jest zawsze taka sama: kluczowa nazwa znajduje się bezpośrednio przed ostatnią kropką i rozszerzeniem (np. .pl, .com).

Weryfikacja odnośników – jak sprawdzić rzeczywisty adres docelowy?

Linki umieszczone w treści wiadomości e-mail są najczęstszym sposobem przekierowania użytkownika na fałszywe strony logowania, których celem jest wyłudzenie haseł lub danych kart płatniczych. Podstawowym problemem jest fakt, że tekst widoczny w wiadomości (tzw. kotwica) może być zupełnie inny niż faktyczny adres strony, na którą zostaniemy przeniesieni po kliknięciu.

Metoda najechania kursorem (hover)

To najskuteczniejszy sposób weryfikacji linków na komputerach stacjonarnych i laptopach. Aby sprawdzić, dokąd prowadzi dany odnośnik, należy najechać na niego kursorem myszy, ale go nie klikać.

• W większości programów pocztowych (np. Outlook, Thunderbird) oraz przeglądarek internetowych, rzeczywisty adres URL pojawi się w lewym dolnym rogu okna lub w małym dymku obok kursora.

• Jeśli wyświetlony adres różni się od tego opisanego w treści maila lub od oficjalnej domeny firmy, od której rzekomo pochodzi wiadomość, jest to próba ataku.

Niezgodność tekstu z adresem docelowym

Przestępcy często maskują złośliwe strony, używając w treści maila nazwy zaufanej instytucji. Przykładem manipulacji jest zapis: www.twojbank.pl/logowanie. Po najechaniu na taki tekst okazuje się, że pod spodem kryje się adres typu http://bezpieczne-logowanie-342.io/login. Oficjalne instytucje finansowe i duże serwisy nigdy nie stosują takich rozbieżności w swojej komunikacji.

Pułapka skróconych linków

W korespondencji biznesowej i oficjalnej należy zachować szczególną ostrożność wobec linków generowanych przez serwisy skracające (np. bit.ly, tinyurl.com, t.co).

• Skracacze całkowicie maskują adres docelowy, co uniemożliwia jego weryfikację metodą najechania kursorem.

• Choć są one legalnym narzędziem marketingowym (np. na Twitterze), ich obecność w mailach dotyczących faktur, resetowania haseł czy potwierdzeń zamówień jest sygnałem alarmowym.

Przyciski i grafiki jako odnośniki

Pamiętaj, że linkiem może być nie tylko tekst, ale również przycisk (np. „Zaloguj się”, „Pobierz fakturę”) lub grafika. Do nich stosuje się tę samą zasadę weryfikacji: przed kliknięciem należy sprawdzić adres pod kursorem. Przestępcy chętnie korzystają z przycisków, ponieważ trudniej jest ocenić ich autentyczność wzrokową niż w przypadku czystego tekstu.

Czy "kłódka" i HTTPS oznaczają bezpieczeństwo?

Częstym błędem jest przekonanie, że obecność ikony kłódki oraz przedrostka https:// gwarantuje bezpieczeństwo strony.

Protokół HTTPS zapewnia jedynie, że połączenie między Twoim komputerem a serwerem jest szyfrowane i nikt go nie "podsłuchuje" po drodze.

Nie mówi on jednak nic o intencjach właściciela strony. Przestępcy masowo instalują darmowe certyfikaty bezpieczeństwa na swoich fałszywych witrynach, aby uśpić czujność użytkowników.

Niebezpieczne załączniki i ryzykowne formaty plików

Załączniki przesyłane pocztą elektroniczną są najskuteczniejszym narzędziem do infekowania komputerów złośliwym oprogramowaniem, takim jak wirusy szyfrujące dane (Ransomware) czy programy szpiegujące. Przestępcy wykorzystują mechanizmy systemu operacyjnego oraz nieuwagę użytkowników, aby pod sfałszowaną ikoną dokumentu ukryć plik wykonywalny.

Technika podwójnych rozszerzeń

Wiele systemów operacyjnych domyślnie ukrywa rozszerzenia znanych typów plików, co jest powszechnie wykorzystywane w atakach. Przestępca może nazwać plik faktura_marzec.pdf.exe. Jeśli system ukrywa ostatnie rozszerzenie, użytkownik zobaczy jedynie nazwę faktura_marzec.pdf oraz ikonę programu do przeglądania dokumentów PDF. W rzeczywistości kliknięcie w taki plik uruchamia program instalacyjny złośliwego oprogramowania. Przed otwarciem załącznika należy zawsze sprawdzić kolumnę „Typ” w folderze pobranych plików.

Ryzykowne formaty plików

Istnieją typy plików, które ze względu na swoją strukturę nigdy nie powinny być przesyłane w oficjalnej korespondencji e-mail od nieznanych nadawców. Należą do nich:

Pliki wykonywalne i skrypty (.exe, .msi, .bat, .js, .vbs)

Służą do bezpośredniego uruchamiania programów i komend w systemie.

Archiwa skompresowane (.zip, .7z, .rar)

Często używane do ukrycia złośliwej zawartości przed skanerami antywirusowymi serwerów pocztowych, szczególnie jeśli są zabezpieczone hasłem podanym w treści maila.

Obrazy dysków (.iso, .img)

Coraz częściej wykorzystywane przez hakerów, ponieważ ich zawartość jest trudniejsza do automatycznego sprawdzenia przez filtry pocztowe.

Dokumenty pakietu Office i niebezpieczne makra

Pliki programów Word (.doc, .docm) oraz Excel (.xls, .xlsm) mogą zawierać tzw. makra, czyli skrypty automatyzujące zadania. Cyberprzestępcy wykorzystują je do pobierania wirusów z internetu po otwarciu dokumentu. Sygnałem ostrzegawczym jest pojawienie się żółtego paska u góry ekranu z prośbą o „Włączenie zawartości” lub „Włączenie makr”. Jeśli dokument pochodzi z zewnątrz i wymaga aktywacji tych funkcji do poprawnego wyświetlenia treści (np. faktury), należy go natychmiast zamknąć. Standardowe dokumenty tekstowe i arkusze kalkulacyjne nie wymagają włączania makr do odczytu danych.

Procedura bezpiecznego postępowania

Jeśli otrzymasz nieoczekiwany załącznik, nawet od znanej osoby:

1. Nie otwieraj pliku, jeśli nie spodziewałeś się jego otrzymania.

2. Zwróć uwagę na objętość pliku – dokumenty tekstowe zazwyczaj zajmują bardzo mało miejsca; podejrzanie duże lub małe pliki powinny budzić czujność.

3. W razie wątpliwości skontaktuj się z nadawcą innym kanałem (np. telefonicznie), aby potwierdzić autentyczność przesyłki. Nie odpisuj na podejrzanego maila.

 

Psychologiczne aspekty ataków hakerskich

Mechanizmy socjotechniczne stanowią fundament większości ataków phishingowych. Przestępcy wiedzą, że użytkownik, który czuje presję czasu lub lęk przed konsekwencjami, rzadziej weryfikuje techniczne parametry wiadomości. Dlatego najczęstszym sygnałem ostrzegawczym jest sztucznie kreowane poczucie pilności. Komunikaty o rzekomym zablokowaniu konta bankowego, nieopłaconej fakturze u dostawcy energii czy zagrożeniu bezpieczeństwa mają na celu wyłączenie logicznego myślenia i zmuszenie odbiorcy do natychmiastowego kliknięcia w link.

Kolejnym wskaźnikiem jest nienaturalny język oraz błędy w składni. Choć współczesne systemy tłumaczeń automatycznych działają coraz lepiej, fałszywe e-maile nadal często zawierają błędy gramatyczne, interpunkcyjne lub używają sformułowań, które nie funkcjonują w oficjalnej polszczyźnie. Należy zwrócić uwagę na generyczne powitania typu „Szanowny Kliencie” zamiast imienia i nazwiska, co sugeruje masową wysyłkę, a także na niedopasowanie tonu wiadomości do standardów komunikacji danej instytucji.

Ostatnim, krytycznym elementem jest nietypowa prośba o podanie danych wrażliwych. Żadna instytucja finansowa, urząd czy dział IT nie prosi o przesłanie hasła, kodu PIN lub numeru karty płatniczej drogą mailową. Jeżeli wiadomość wymaga od użytkownika logowania się przez przesłany w treści link lub pobrania oprogramowania do zdalnej pomocy, jest to jednoznaczny sygnał próby wyłudzenia. W takich przypadkach najbezpieczniejszą metodą weryfikacji jest samodzielne wpisanie adresu strony banku w przeglądarce lub kontakt telefoniczny z oficjalną infolinią.

Bezpieczna poczta elektroniczna - podsumowanie

Podstawą bezpiecznej obsługi poczty elektronicznej jest każdorazowe sprawdzanie adresu nadawcy pod kątem autentyczności domeny oraz weryfikacja docelowych adresów URL poprzez najechanie kursorem na odnośnik. Należy kategorycznie unikać otwierania załączników o nieznanych lub ryzykownych rozszerzeniach, szczególnie tych, które wymagają włączenia makr w dokumentach pakietu Office. Wszelkie próby wywierania presji czasu lub prośby o podanie haseł i kodów autoryzacyjnych powinny być traktowane jako jednoznaczne sygnały próby oszustwa.

W przypadku wystąpienia wątpliwości co do wiarygodności otrzymanej korespondencji, najbezpieczniejszym rozwiązaniem jest bezpośredni kontakt z rzekomym nadawcą przy użyciu innego kanału komunikacji lub zgłoszenie incydentu do wewnętrznego działu IT. Szybka reakcja i raportowanie podejrzanych wiadomości pozwala nie tylko chronić własne dane, ale również zabezpieczyć całą infrastrukturę organizacji przed potencjalnym atakiem.

Raportowanie podejrzanych wiadomości pozwala nie tylko chronić własne dane, ale również zabezpieczyć całą infrastrukturę organizacji przed atakiem. Aby wdrożyć te zasady na poziomie całej firmy, zapoznaj się z naszym artykułem pt. "Jak bezpiecznie korzystać z poczty korporacyjnej – kompletny poradnik dla firm i pracowników.”