Kliknięto: co teraz?

Moduł 3: Rozpoznawanie phishingu · Czas czytania: 12 minut

Cel lekcji: Po tej lekcji będą Państwo wiedzieć, co zrobić w pierwszych godzinach po kliknięciu, podaniu hasła, danych bankowych lub otwarciu załącznika, we właściwej kolejności, oraz jak zgłosić i przesłać dalej wiadomość phishingową.
Kluczowe pojęcia: ograniczenie szkód, zmiana hasła z czystego urządzenia, wylogowanie sesji, kontakt z bankiem, zgłaszanie, przesyłanie phishingu dalej (na przykład do CERT Polska i do nadużywanej marki)

To przytrafia się każdemu

Każdy choć raz kliknie w niewłaściwy link. Również osoby, które ukończyły ten kurs, również informatycy. Dobra wiadomość phishingowa trafia w odpowiednim momencie, z odpowiednią historią. Wstyd nie pomaga, pomaga szybkie działanie. Im szybciej Państwo zareagują, tym mniej może zrobić atakujący z tym, co już zdobył.

Dlatego pierwszym krokiem w każdej firmie jest: proszę zgłosić to natychmiast koledze lub koleżance, którzy zajmują się IT, albo swojej firmie informatycznej. Proszę ustalić, że osoba zgłaszająca kliknięcie dostaje podziękowanie, a nie naganę (więcej na ten temat w lekcji 9.2). Kto boi się kary, ten milczy, a wtedy atakujący ma dni czasu.

Najpierw proszę ustalić: co dokładnie się stało?

To, co należy zrobić, zależy od tego, jak daleko sprawa zaszła. Proszę to najpierw ustalić, krótko i szczerze.

Samo kliknięcie zwykle nie jest poważne: nowoczesne przeglądarki są dobrze zabezpieczone. Ale kliknięcie może też uruchomić pobieranie pliku. W razie wątpliwości proszę traktować sytuację jako poważniejszą.

Krok po kroku w pierwszych godzinach

1. Zgłoszenie w firmie. Natychmiast, również w razie wątpliwości. Proszę opisać, co Państwo zauważyli, kiedy, i co zostało podane lub otwarte. Proszę zachować wiadomość: nie usuwać jej, będzie potrzebna do zgłoszenia.

2. Ograniczenie szkód. Otworzyli Państwo załącznik lub udzielili komuś dostępu? Proszę odłączyć urządzenie od sieci: wyłączyć wifi, odłączyć kabel sieciowy. Proszę go od razu nie wyłączać, ponieważ to, co znajduje się w pamięci, może pomóc w dochodzeniu (lekcja 8.3). Proszę nie pracować dalej na tym urządzeniu.

3. Kontakt z bankiem przy sprawach pieniężnych. Jeśli podali Państwo dane bankowe lub zatwierdzili płatność, proszę natychmiast zadzwonić do banku, na numer podany na karcie lub na oficjalnej stronie. Im szybciej, tym większa szansa, że płatność zostanie wstrzymana lub odzyskana. Również płatność na fałszywy numer IBAN w wyniku oszustwa na fakturę należy natychmiast zgłosić do banku.

4. Zmiana hasła z czystego urządzenia. Proszę zmienić hasło do konta, które zostało podane. Proszę zrobić to na innym urządzeniu niż to, na którym otwarto załącznik, ponieważ tam może działać program śledzący. Proszę wpisać adres samodzielnie lub skorzystać z zakładki, nie z linku z wiadomości. Jeśli to samo hasło było używane gdzie indziej, proszę zmienić je również tam (lekcja 2.1).

5. Wylogowanie sesji i sprawdzenie konta. Nowe hasło nie zawsze automatycznie wyrzuca atakującego, który już ma dostęp. Proszę więc wylogować wszystkie inne sesje (lekcja 2.5) i sprawdzić, co mógł zmienić:

• uwierzytelnianie dwuskładnikowe: czy widnieje nieznana aplikacja lub nieznany numer telefonu?
• dane odzyskiwania: czy zmieniono adres e-mail lub numer telefonu do odzyskiwania konta?
• reguły przekierowania i filtry w skrzynce pocztowej: atakujący chętnie ustawia regułę, która przekierowuje całą pocztę, lub tylko pocztę zawierającą słowo „faktura”, na swój adres albo od razu ją usuwa. W ten sposób czyta Państwa korespondencję, nawet jeśli hasło zostało już zmienione;
• elementy wysłane: czy wysłano wiadomości, których Państwo nie napisali? Wtedy należy ostrzec swoje kontakty.

6. Zgłoszenie i przesłanie dalej. Patrz poniżej.

7. Sprawdzenie, czy doszło do naruszenia ochrony danych. Czy atakujący mógł mieć dostęp do skrzynki pocztowej, bazy klientów lub innego środowiska z danymi osobowymi? Wówczas możliwe, że doszło do naruszenia ochrony danych. Zgodnie z RODO naruszenie ochrony danych należy zgłosić bez zbędnej zwłoki i w miarę możliwości w ciągu 72 godzin od wykrycia do Prezesa Urzędu Ochrony Danych Osobowych (UODO), chyba że jest mało prawdopodobne, by stanowiło ryzyko dla osób, których dotyczy. W każdym przypadku należy to odnotować w rejestrze naruszeń. Jak to ocenić, dowiedzą się Państwo w lekcji 8.2.

Zgłaszanie i przesyłanie dalej phishingu

Zgłoszenie ma sens, nawet jeśli nic się nie stało. Dzięki temu fałszywa strona może szybciej zostać wyłączona, a inni mogą zostać ostrzeżeni.

Do CERT Polska. Podejrzane wiadomości z linkami lub załącznikami można zgłosić do CERT Polska przez https://incydent.cert.pl/. Zgodnie z zaleceniami CERT Polska:

• wiadomość najlepiej przesłać jako załącznik. Przy zwykłym przesłaniu dalej dane techniczne (nagłówki z lekcji 3.3) giną. Jeśli nie da się tego zrobić, na przykład na telefonie, proszę po prostu przesłać ją dalej;
• jeśli wiadomość wygląda, jakby pochodziła od banku lub innej znanej firmy, proszę dodać adres tej firmy w polu DW. CERT Polska udostępnia na swojej stronie listę takich adresów;
• SMS-y, wiadomości WhatsApp i inne wiadomości nie są przesyłane na ten adres, lecz zgłaszane przez formularz zgłoszeniowy na stronie CERT Polska (podejrzane SMS-y można przesłać na numer 8080). Tego formularza używa się również przy podejrzanej wiadomości bez linków lub załączników oraz przy oszustwie typu helpdesk przez telefon.

W wielu programach pocztowych przesłanie jako załącznik nazywa się „Prześlij jako załącznik” lub podobnie.

Do nadużywanej marki. Jeśli nadużywana jest nazwa banku, przewoźnika lub dostawcy, proszę poinformować tę organizację kanałem, który sami Państwo znajdą na jej prawdziwej stronie, a nie poprzez wiadomość. Wiele organizacji ma własny adres do zgłaszania phishingu. Jeśli dotyczy to Państwa własnej firmy hostingowej lub dostawcy poczty, proszę przesłać zgłoszenie również tam; w WebOké można to zrobić przez zgłoszenie (ticket), z wiadomością w załączniku (Baza wiedzy 581).

Zawiadomienie policji. Jeśli stracili Państwo pieniądze lub doszło do nadużycia bądź próby nadużycia, proszę złożyć zawiadomienie na policji. CERT Polska doradza i zbiera zgłoszenia, ale sam nie prowadzi dochodzeń. Może to zrobić tylko policja.

Następnie można usunąć wiadomość i zablokować nadawcę.

Kontrola po tygodniu

Atak nie zawsze kończy się po jednym dniu. Proszę ustawić przypomnienie na tydzień później:

• Czy pojawiły się nowe powiadomienia o logowaniu lub nieznane sesje?
• Czy na wyciągach bankowych widnieją nieznane płatności?
• Czy w skrzynce pocztowej pojawiły się nowe reguły przekierowania lub filtry?
• Czy klienci lub dostawcy skarżą się na dziwną pocztę wysyłaną w Państwa imieniu? Wtedy Państwa skrzynka może być nadal wykorzystywana do wysyłania spamu (Baza wiedzy 25).
• Czego można się nauczyć? Czy wiadomość dało się łatwo rozpoznać, i co mogłoby ją szybciej zdemaskować następnym razem?

W praktyce: tak to wygląda

Poniedziałek 9:12. Fatima z Piekarni Example wpisuje swoje hasło do poczty na podrobionej stronie logowania „programu księgowego”. O 9:15 zauważa, że adres to boekhoudpakket.inlog-check.example. Zgłasza to Kaziowi, który zajmuje się IT. O 9:20 Kazio zmienia ze swojego własnego laptopa hasło do jej skrzynki pocztowej i wylogowuje wszystkie sesje. W poczcie webowej znajduje nową regułę: cała poczta zawierająca słowo „faktura” trafia na nieznany adres i jest następnie usuwana. Usuwa tę regułę, włącza uwierzytelnianie dwuskładnikowe i sprawdza elementy wysłane: nic nie wysłano. Fatima przesyła wiadomość phishingową jako załącznik do CERT Polska. Kazio zapisuje to w rejestrze incydentów i sprawdza, czy atakujący mógł mieć dostęp do danych osobowych. Po tygodniu ponownie sprawdza reguły i sesje.

Miejsce, w którym znajdują się te reguły i sesje, różni się w zależności od środowiska. W WebOké przekierowania z adresu znajdują się w Moje WebOké oraz w DirectAdmin (Forwarders), a reguła może też znajdować się w poczcie webowej lub w samym programie pocztowym. U innych dostawców działa to podobnie: proszę szukać opcji przekierowania, forwarders, reguł lub filtrów.

Podsumowanie

• Każdy czasem kliknie niewłaściwie. Proszę zgłosić to natychmiast, bez wstydu, i ustalić, że zgłaszanie jest nagradzane.
• Proszę najpierw ustalić, co się stało: tylko kliknięcie, hasło, kod, dane bankowe, załącznik czy zdalny dostęp.
• Kolejność: zgłoszenie, ograniczenie szkód (odłączenie od sieci), kontakt z bankiem przy sprawach pieniężnych, zmiana hasła z czystego urządzenia, wylogowanie sesji i sprawdzenie konta (zwłaszcza reguł przekierowania), zgłoszenie i przesłanie dalej, ocena naruszenia ochrony danych.
• Podejrzaną wiadomość proszę przesłać jako załącznik do CERT Polska przez https://incydent.cert.pl/, z nadużywaną marką w DW; SMS-y i wiadomości czatu przez formularz zgłoszeniowy. W razie szkody: zawiadomienie policji.
• Proszę sprawdzić ponownie po tygodniu.

Quiz

Zadanie

Zadanie A3.5: Plan działania po kliknięciu. Otrzymają Państwo opisaną sytuację oraz zestaw kart z krokami. Proszę wybrać, które kroki są potrzebne, i ułożyć je we właściwej kolejności. Program sprawdzi odpowiedź i wyjaśni, dlaczego dany krok powinien nastąpić wcześniej lub później.

Polecane materiały

Kroki opisane w artykułach WebOké dotyczą środowiska WebOké; u innych dostawców działa to podobnie.

• Czy ta wiadomość rzeczywiście pochodzi od WebOké? Jak rozpoznać phishing i skorzystać z kodu promocyjnego
• Przejęcie skrzynki pocztowej lub spam wysyłany z Państwa adresu: jak to uporządkować
• Podręcznik WebOké 3.6: Przeglądanie aktywnych sesji i wylogowywanie się
• Instrukcja DirectAdmin 3.7: Bezpieczne hasła i co zrobić w przypadku wycieku hasła
• CERT Polska, zgłaszanie incydentów: https://incydent.cert.pl/
• CERT Polska, formularz zgłoszeniowy dla SMS-ów, WhatsApp i innych oszustw: https://incydent.cert.pl/
• CERT Polska (NASK), Phishing: https://cert.pl/