Jak rozpoznać phishing: jak odczytać link i nadawcę
Phishing to wiadomość, która podszywa się pod zaufanego nadawcę, aby skłonić Państwa do zrobienia czegoś, czego normalnie by Państwo nie zrobili: zalogowania się na podrobionej stronie, otwarcia załącznika, przekazania kodu lub dokonania płatności. Błędy ortograficzne nie są już dobrym wskaźnikiem: dzięki AI oszuści piszą bezbłędnie po niderlandzku. Proszę zwrócić uwagę na trzy rzeczy: dokąd naprawdę prowadzi link, kto jest rzeczywistym nadawcą oraz o co prosi Państwa wiadomość.
Czy wiadomość wygląda na pochodzącą od WebOké? Proszę przeczytać Czy ta wiadomość na pewno pochodzi od WebOké? Rozpoznawanie phishingu i korzystanie z kodu promocyjnego. W poniższych przykładach używamy zmyślonych nazw kończących się na .example.
Jak odczytać link
Proszę najechać kursorem myszy na link, nie klikając w niego; rzeczywisty adres pojawi się w dolnej części okna. Na telefonie należy przytrzymać link. Liczy się tylko ten adres, a nie tekst na przycisku.
- Proszę znaleźć fragment między
https://a pierwszym/. To jest host: serwer, do którego Państwo trafiają. Wszystko po pierwszym/ustala sam właściciel tego hosta. - Czy w tym fragmencie znajduje się znak
@? Jeśli tak, host zaczyna się dopiero po@. - Proszę odczytać host od prawej do lewej. Domena rejestrowalna to rozszerzenie plus jedno słowo przed nim, na przykład
mijnbank.example. To jest nazwa zarejestrowana przez kogoś, a więc właściciela. Wszystko po lewej stronie to subdomeny, które właściciel ustala samodzielnie. Proszę zwrócić uwagę na rozszerzenia dwuczłonowe, takie jakco.uk: w przypadkuwww.shop.voorbeeld.co.ukdomeną rejestrowalną jestvoorbeeld.co.uk.
| Link | Rzeczywisty właściciel | Co się dzieje? |
|---|---|---|
https://inlog.mijnbank.example/klant | mijnbank.example | W porządku: subdomena samego banku |
https://mijnbank.example.inlog-check.example/login | inlog-check.example | Sztuczka z subdomeną: prawdziwa nazwa znajduje się na początku |
https://inlog.example/mijnbank.example/login | inlog.example | Sztuczka ze ścieżką: nazwa znajduje się po pierwszym / |
https://mijnbank.example@aanvaller.example/ | aanvaller.example | Sztuczka z @: wszystko przed @ się nie liczy |
https://rnijnbank.example/ | rnijnbank.example | Podróbka (lookalike): rn wygląda jak m |
https://mijnbank-veilig.example/ | mijnbank-veilig.example | Dodatkowe słowo: zupełnie inna domena |
https://xn--mijnbnk-6fg.example/ | xn--mijnbnk-6fg.example | Punycode: litera z innego alfabetu |
Lookalike przypomina prawdziwą domenę: zamienione litery, dodatkowe słowo lub myślnik, albo litera z innego alfabetu (cyrylicka а wygląda jak zwykłe a). Taka nazwa ze znakami specjalnymi jest technicznie zapisywana jako punycode, który zaczyna się od xn--. Jeśli reszta nazwy wygląda zwyczajnie, po niderlandzku, jest to podejrzane.
Skrócone linki, linki przekierowujące i kody QR
- Skrócony link nie pokazuje celu. Jeśli bank lub dostawca prosi Państwa o zalogowanie się za pomocą takiego linku, prosimy tego nie robić.
- Link może zaczynać się od prawdziwej strony, a następnie przekierowywać dalej. Po kliknięciu prosimy ponownie sprawdzić pasek adresu, zanim cokolwiek Państwo wpiszą.
- Kod QR to link, którego nie można odczytać wzrokiem. Proszę najpierw sprawdzić adres wyświetlony przez aparat i go przeczytać. Prosimy uważać na naklejki umieszczone na prawdziwym kodzie, na przykład na automacie parkingowym.
- Kłódka oznacza jedynie, że połączenie jest szyfrowane. Fałszywe strony również mają kłódkę.
Jak odczytać nadawcę
- Nazwa niczego nie mówi. Każdy może wpisać jako nazwę "Obsługa klienta Mojego Banku", imię i nazwisko Państwa dyrektora, a nawet adres e-mail. Proszę kliknąć lub stuknąć w nazwę, aby zobaczyć rzeczywisty adres, i odczytać jego domenę tak samo jak w przypadku linku.
- Proszę zwrócić uwagę na adres zwrotny. Dzięki polu Reply-To odpowiedź trafia na inny adres niż adres nadawcy. Przed naciśnięciem przycisku Wyślij prosimy sprawdzić, do kogo naprawdę trafi odpowiedź, zwłaszcza jeśli dotyczy to pieniędzy lub danych.
- Nadawca może być sfałszowany, a prawdziwy nadawca może zostać zhakowany. W nagłówkach wiadomości można sprawdzić, czy dana domena rzeczywiście wysłała wiadomość. Jednak nawet pozytywny wynik tej kontroli dowodzi jedynie, że wiadomość pochodzi z tej domeny, a nie że można tej domenie zaufać. Jak to sprawdzić, opisano w artykule Przeglądanie i odczytywanie nagłówków (headerów) wiadomości e-mail.
SMS, WhatsApp i telefon
Nazwa nadawcy lub numer telefonu wyświetlany na ekranie może być sfałszowany, nawet jeśli wiadomość znajduje się pomiędzy prawdziwymi wiadomościami od Państwa banku. Jeśli otrzymają Państwo wiadomość od "kolegi z nowym numerem", który pilnie prosi o szybką płatność, prosimy zadzwonić na stary, znany numer. Jeśli ktoś dzwoni w imieniu banku lub działu pomocy technicznej i prosi o kod, płatność albo zdalny dostęp do komputera, prosimy się rozłączyć i samodzielnie oddzwonić na numer, który już Państwo wcześniej mieli. Jeśli otrzymają Państwo kod logowania lub powiadomienie, o które sami Państwo nie prosili, prosimy niczego nie zatwierdzać i zmienić to hasło.
Jeśli dotyczy to faktury lub zmienionego numeru rachunku, prosimy przeczytać Rozpoznawanie fałszywej faktury, zmienionego numeru rachunku lub oszustwa na prezesa (CEO fraud).
Mają Państwo wątpliwości? Zatrzymaj się, sprawdź, zapytaj
- Zatrzymaj się. Pośpiech, strach lub obietnica nagrody to dokładnie ten moment, w którym nie należy klikać.
- Sprawdź we własnym zakresie. Prosimy nie kontynuować za pośrednictwem wiadomości. Prosimy samodzielnie wpisać adres lub skorzystać z zakładki w przeglądarce oraz zadzwonić na numer, który już Państwo wcześniej mieli.
- Zapytaj kolegę lub koleżankę, albo samego nadawcę innym kanałem.
Wiadomość phishingową prosimy zgłosić do Fraudehelpdesk: najlepiej przesłać ją jako załącznik na adres valse-email@fraudehelpdesk.nl i dodać w kopii (cc) naśladowaną firmę. SMS lub wiadomość WhatsApp prosimy zgłosić za pomocą formularza zgłoszeniowego. Zob. Zgłaszanie fałszywej wiadomości e-mail.
Więcej przykładów podaje NCSC w artykułach Jak rozpoznać wiadomość phishingową?, Phishing SMS-owy oraz Jak rozpoznać fałszywy telefon?.