Phishing przez SMS, czat, telefon i kod QR

Moduł 3: Rozpoznawanie phishingu · Czas czytania: 12 minut

Cel lekcji: Po tej lekcji będą Państwo potrafili rozpoznać phishing poza pocztą e-mail: przez SMS i aplikacje czatowe, przez telefon (także z użyciem podrobionego głosu), za pomocą kodów QR oraz w postaci lawiny powiadomień logowania, a także będą Państwo wiedzieć, jak sprawdzać wiarygodność w każdym z tych kanałów.
Kluczowe pojęcia: smishing, oszustwo na znajomego w potrzebie, vishing, spoofing numerów, fałszywy helpdesk, klon głosu, quishing, bombardowanie MFA

Dlaczego inne kanały działają tak dobrze

Wszystko z lekcji 3.1 ma zastosowanie również tutaj: pilność, autorytet, strach, ciekawość i nagroda. Jednak poza pocztą e-mail te sztuczki często działają jeszcze lepiej:

• Na telefonie czyta się szybko. Ekran jest mały, adresy są ucinane, a Państwo często są w trakcie robienia czegoś innego.
• Mniej technologii pomaga. Serwer pocztowy sprawdza SPF, DKIM i DMARC oraz ma filtr antyspamowy. W przypadku SMS-ów, czatu i telefonu jest tego dużo mniej.
• To wydaje się bardziej osobiste. Wiadomość w aplikacji czatowej lub głos w telefonie budzą większe zaufanie niż e-mail.
• To dzieje się na żywo. Dzwoniący może dopytywać, wywierać presję i prowadzić rozmówcę krok po kroku.

Odruch pozostaje ten sam: zatrzymać się, sprawdzić własną, niezależną drogą, zapytać. To, co różni się w zależności od kanału, to sposób, w jaki wygląda taka weryfikacja.

SMS i czat: smishing oraz oszustwo na znajomego w potrzebie

Smishing to phishing przez SMS. Oszuści podszywają się pod organizację, od której można by się spodziewać SMS-a: firmę kurierską, bank, urząd, dostawcę energii. Jak podaje niderlandzkie NCSC, to samo zjawisko występuje w aplikacjach czatowych, takich jak WhatsApp i Telegram.

Typowy przykład:

Firma kurierska: Państwa paczki nie udało się dostarczyć z powodu niepełnego adresu. Proszę zaplanować nową dostawę: https://koeriersdienst.track-nl.example/z8K

Proszę przeczytać link tak jak w lekcji 3.2: domena rejestrowalna to track-nl.example, a nie koeriersdienst.example firmy kurierskiej. Na telefonie jest to szczególnie trudne, ponieważ widać tylko początek adresu. Proszę przytrzymać link, aby zobaczyć cały adres, albo w ogóle go nie otwierać i samodzielnie przejść do aplikacji lub strony danej firmy kurierskiej.

Numer lub nazwa nadawcy niczego nie dowodzą. Nadawcy SMS-ów i numery telefonów mogą być podrobione (spoofing). Fałszywa wiadomość może dzięki temu pojawić się w tym samym wątku SMS-ów co prawdziwe wiadomości od danego nadawcy. Zatem również znana nazwa widniejąca nad wiadomością nie stanowi dowodu.

Oszustwo na znajomego w potrzebie odbywa się przez aplikacje czatowe:

Cześć, to mój nowy numer, telefon mi się zepsuł. Czy mogliby Państwo coś za mnie zapłacić? Oddam jutro. Musi to być jeszcze dzisiaj.

W firmie ta sama sztuczka pojawia się jako wiadomość od „dyrektora” lub „współpracownika” z nowego numeru, który pilnie chce otrzymać płatność lub karty podarunkowe. Weryfikacja: proszę zadzwonić lub napisać do tej osoby na stary, znany numer albo zadać pytanie, na które odpowiedzieć może tylko prawdziwa osoba.

Telefon: vishing, fałszywy helpdesk i klony głosu

Vishing (voice phishing) to phishing przez telefon. Często występują trzy formy.

Pracownik banku. Ktoś dzwoni w imieniu banku lub „działu przeciwdziałania oszustwom”: są podejrzane płatności, Państwa pieniądze trzeba „zabezpieczyć” albo należy podać kod lub zatwierdzić płatność w aplikacji bankowej. Na ekranie widnieje czasem nawet prawdziwy numer banku. To również może być spoofing. Prawdziwy bank nigdy nie prosi o kody logowania ani o przelanie pieniędzy na „bezpieczne konto”.

Fałszywy helpdesk. Ktoś dzwoni w imieniu dostawcy oprogramowania, dostawcy internetu lub firmy IT: komputer jest zainfekowany, jest problem z kontem. Prosi o zainstalowanie programu, aby móc zdalnie obserwować ekran. W ten sposób przejmuje kontrolę nad komputerem. Niderlandzkie NCSC ujmuje to prosto: nigdy nie należy udzielać komuś zdalnego dostępu do swoich urządzeń bez zastanowienia.

Podrobiony głos. Za pomocą AI można podrobić głos na podstawie nagrań dźwiękowych, na przykład z filmu wideo lub poczty głosowej. Klon głosu Państwa dyrektora lub członka rodziny może wówczas zadzwonić z pilną prośbą. Nie można już więc bezgranicznie ufać własnym uszom.

Co sprawdza się we wszystkich trzech przypadkach:

1. Proszę się rozłączyć, gdy tylko pojawi się presja albo prośba o kody, pieniądze lub dostęp. To nie jest niegrzeczne.
2. Proszę oddzwonić samodzielnie na numer, który Państwo sami znaleźli lub już wcześniej mieli: tył karty bankowej, oficjalna strona, własna lista kontaktów. Nie numer podany przez dzwoniącego.
3. Proszę ustalić pytanie kontrolne lub hasło z osobami, które mogą prosić o pieniądze, takimi jak zarząd i księgowość. Proszę też ustalić, że płatności nigdy nie są dokonywane wyłącznie na podstawie telefonu (lekcja 1.2).

Kody QR: quishing

Kod QR to po prostu link, którego nie da się odczytać wzrokiem. Quishing to phishing za pomocą kodu QR. Dwie formy:

• Na ulicy lub w pomieszczeniu. Naklejka z własnym kodem QR nałożona na prawdziwy kod, na parkomacie, stacji ładowania, w menu lub na plakacie. Myślą Państwo, że płacą w aplikacji parkingowej, a tymczasem wpisują dane karty na fałszywej stronie.
• W e-mailu lub pliku pdf. „Zeskanuj ten kod, aby potwierdzić swoją skrzynkę e-mail”. Kodu QR w postaci obrazka nie da się sprawdzić myszką. A skanuje się go telefonem, na którym adresy czyta się gorzej.

Niderlandzkie NCSC radzi między innymi:

• Nie skanować kodu QR bez towarzyszącego tekstu lub obrazu i zachować ostrożność wobec kodów w miejscach publicznych.
• Sprawdzić, czy kod jest rzeczywiście wydrukowany na plakacie lub tablicy, czy też naklejona jest na nim naklejka.
• Korzystać ze skanera, który najpierw pokazuje, na jaki adres lub domenę prowadzi kod. W nowszych wersjach systemów Android i iOS robi to domyślnie aparat.
• Jeśli adres jest nieznany, nie kontynuować. Nie wpisywać hasła ani danych płatniczych, jeśli nie ma pewności, że strona jest prawdziwa.

Proszę przyjrzeć się przykładowemu adresowi pokazywanemu przez aparat i sprawdzić domenę rejestrowalną, dokładnie tak jak w lekcji 3.2. Przy parkomacie można też skorzystać z oficjalnej aplikacji parkingowej lub adresu podanego na samej tablicy.

Bombardowanie MFA: gdy telefon nie przestaje piszczeć

Wiele usług wysyła przy logowaniu powiadomienie na telefon: „Czy próbują się Państwo zalogować? Zatwierdź lub odrzuć”. Jeśli atakujący zna już hasło, próbuje logować się raz za razem. Telefon odbiera jedno powiadomienie za drugim, czasem w środku nocy. Nazywa się to bombardowaniem MFA (także zmęczeniem MFA). Atakujący liczy na to, że z irytacji albo przez przypadek naciśniecie Państwo „Zatwierdź”. Czasem dzwoni lub pisze przy tym jako „helpdesk”: „Przywracamy Państwa konto, proszę nacisnąć zatwierdź”.

Co należy zrobić:

1. Nigdy nie zatwierdzać powiadomienia, którego sami Państwo nie zainicjowali. Nawet jeśli ktoś o to prosi.
2. Traktować to jako alarm. Nieoczekiwane powiadomienie o logowaniu oznacza, że ktoś zna Państwa hasło. Należy natychmiast zmienić hasło do tego konta, bezpośrednio przez stronę lub aplikację.
3. Sprawdzić aktywne sesje i wylogować nieznane sesje (lekcja 2.5).
4. Wybrać silniejszą formę uwierzytelniania dwuskładnikowego (2FA), jeśli jest dostępna. Przy dopasowywaniu numerów (number matching) trzeba przepisać liczbę z ekranu logowania do aplikacji; powiadomienia bez takiego ekranu przed oczami nie da się po prostu zatwierdzić. Passkeye i klucze zabezpieczające (lekcja 2.4) są jeszcze silniejsze, ponieważ nie działają na fałszywej stronie.

W praktyce: tak to wygląda

W Moje WebOké w sekcji aktywnych sesji widać, gdzie i kiedy nastąpiło logowanie, oraz można wylogować inne sesje (instrukcja WebOké 3.6). Inne usługi, takie jak program pocztowy, program księgowy czy Nextcloud, mają podobny przegląd w ustawieniach zabezpieczeń konta. Po nieoczekiwanym powiadomieniu o logowaniu warto sprawdzić to w pierwszej kolejności.

Podsumowanie

• Poza pocztą e-mail działają te same sztuczki, ale mniej technologii pomaga, a wiadomości czyta się szybciej.
• Numer lub nazwa nadawcy widoczne na ekranie niczego nie dowodzą: mogą zostać podrobione.
• Przez telefon: rozłączyć się, oddzwonić samodzielnie na znany numer, nigdy nie podawać kodów, pieniędzy ani dostępu zdalnego. Nawet znany głos może być podrobiony.
• Kody QR: zwracać uwagę na naklejki, pozwolić aparatowi pokazać adres i odczytać domenę rejestrowalną.
• Nieoczekiwane powiadomienie o logowaniu to alarm: odrzucić, zmienić hasło, sprawdzić sesje.

Quiz

Zadanie

Zadanie A3.4: Odczytać kod QR bez otwierania. Program pokazuje kod QR. Proszę zeskanować go aparatem telefonu, ale nie otwierać linku. Proszę odczytać adres pokazany przez aparat, wpisać domenę rejestrowalną oraz zaznaczyć, czy otworzyliby Państwo ten link. Program sprawdzi odpowiedź.

Zadanie D3.4: Zasady dotyczące telefonu, czatu i powiadomień o logowaniu. Proszę ustalić z zespołem zasady dotyczące oddzwaniania, pytania kontrolnego lub hasła oraz postępowania w przypadku nieoczekiwanego powiadomienia o logowaniu. Następnie proszę sprawdzić na własnym telefonie, czy aparat pokazuje adres kodu QR, zanim go otworzy.

Przeczytaj więcej

Kroki opisane w artykułach WebOké dotyczą środowiska WebOké; u innych dostawców działa to w podobny sposób.

• Podręcznik WebOké 3.6: Przeglądanie aktywnych sesji i wylogowywanie się
• Podręcznik Nextcloud 3.6: Przeglądanie, cofanie dostępu lub zdalne czyszczenie urządzeń i sesji
• Niderlandzkie NCSC, Sms-phishing („smishing”): https://www.ncsc.nl/phishing/sms-phishing-smishing
• Niderlandzkie NCSC, Jak rozpoznać fałszywy telefon?: https://www.ncsc.nl/phishing/hoe-herken-ik-een-neptelefoontje
• Niderlandzkie NCSC, Kody QR: https://www.ncsc.nl/phishing/qr-codes
• CERT Polska, zgłaszanie oszustw i phishingu: https://incydent.cert.pl/