Bezpieczne otwieranie załączników

Moduł 2: Czytanie poczty · Czas czytania: 9 min

Cel lekcji: Po tej lekcji będą Państwo wiedzieć, jak załącznik jest umieszczony w wiadomości, które rodzaje plików są niebezpieczne i dlaczego, jak czytać nazwę pliku oraz co zrobić w razie wątpliwości.

Kluczowe pojęcia: MIME, załącznik, base64, rozszerzenie pliku, plik wykonywalny, makro, załącznik HTML, podwójne rozszerzenie, podgląd w przeglądarce, inny kanał

Jak załącznik jest umieszczony w wiadomości

Z technicznego punktu widzenia wiadomość e-mail to wyłącznie tekst. Mimo to można za jej pomocą wysyłać zdjęcia, pliki PDF i arkusze kalkulacyjne. Jest to możliwe dzięki MIME: ustaleniu, jak podzielić wiadomość na części. Wiadomość z załącznikiem składa się z co najmniej dwóch części: treści wiadomości i pliku. Każda część ma własne nagłówki, na przykład:

Content-Type: application/pdf; name="offerte-bruidsboeket.pdf"
Content-Disposition: attachment; filename="offerte-bruidsboeket.pdf"
Content-Transfer-Encoding: base64

JVBERi0xLjcKJcfsj6IKNSAwIG9iago8PC9MZW5ndGggNiAwIFIvRmlsdGVy
...

Sam plik jest zamieniony na tekst za pomocą base64: każde 3 bajty stają się 4 znakami. Dlatego załącznik w drodze staje się mniej więcej o jedną trzecią większy. Więcej na ten temat w lekcji 3.3. Za pomocą Więcej > Pokaż źródło mogą to Państwo sami zobaczyć w każdej wiadomości z załącznikiem.

Najważniejsza obserwacja: nazwę pliku i rodzaj pliku (Content-Type) wybiera nadawca. Nikt po drodze nie sprawdza, czy plik o nazwie "factuur.pdf" (faktura) rzeczywiście jest plikiem PDF. Nazwa to etykieta, a nie dowód.

Dlaczego niektóre pliki są niebezpieczne

Plik jest niebezpieczny, jeśli może coś zrobić na Państwa komputerze zaraz po otwarciu. Zdjęcie lub zwykły PDF coś Państwu pokazuje. Program wykonuje polecenia. Różnica tkwi w rozszerzeniu pliku: literach po ostatniej kropce w nazwie. Na tej podstawie komputer wybiera program, którym otworzy plik.

Poniższe rodzaje plików prosimy otwierać tylko wtedy, gdy naprawdę się ich Państwo spodziewają i sprawdzili nadawcę innym kanałem:

• Pliki wykonywalne i skrypty: .exe, .scr, .bat, .cmd, .js, .vbs, .hta. Są to programy lub polecenia. Otwarcie oznacza uruchomienie. Zwykły klient, dostawca czy bank nigdy nie wyśle Państwu czegoś takiego e-mailem.
• Skróty i pliki obrazów dysków: .lnk, .iso, .img. Plik .lnk może uruchomić polecenie. Plik .iso lub .img Windows otwiera jako dodatkowy dysk, a w nim często znajduje się kolejny program lub skrót. Atakujący używają takiego opakowania, aby ominąć programy antywirusowe.
• Pliki Office z makrami: .docm, .xlsm i podobne. Makro to mały program wewnątrz dokumentu. Office zazwyczaj blokuje makra w plikach z internetu, ale atak ma na celu skłonić Państwa do ich włączenia. Dokument, który prosi o "Włącz zawartość" lub "Włącz edytowanie", aby można było zobaczyć tekst, to sygnał ostrzegawczy.
• Załączniki HTML: .html lub .htm. Przeglądarka otwiera je jak stronę internetową. Często jest to podrobiona strona logowania, na przykład do Państwa poczty internetowej lub do Microsoft, z wpisanym już Państwa adresem. To, co Państwo wpiszą, trafia do atakującego. Ponieważ plik znajduje się na Państwa własnym komputerze, w pasku adresu nie widać podejrzanego adresu internetowego.
• Pliki ZIP z hasłem, gdy hasło podano w samej wiadomości. Program antywirusowy nie może zajrzeć do zaszyfrowanego archiwum. Właśnie dlatego atakujący tak robią. Zwykły plik ZIP bez hasła nie jest z założenia podejrzany, ale prosimy sprawdzić jego zawartość, zanim cokolwiek Państwo otworzą.

A PDF? PDF jest zazwyczaj bezpieczny do przeglądania, zwłaszcza w przeglądarce. Niebezpieczeństwo tkwi w jego treści: przycisk "Zobacz fakturę" lub kod QR prowadzący do fałszywej strony logowania. Link w pliku PDF prosimy traktować równie krytycznie jak link w wiadomości (lekcja 2.4).

Proszę czytać nazwę od prawej do lewej

Windows domyślnie ukrywa rozszerzenia znanych typów plików. Plik o nazwie

offerte-bruidsboeket.pdf.exe

wyświetla się wtedy jako "offerte-bruidsboeket.pdf". Dla Windows liczy się tylko ostatnie rozszerzenie: to jest program. Również ikona nic nie mówi, ponieważ program może mieć dowolną ikonę, także ikonę pliku PDF.

Poczta internetowa pokazuje nazwę tak, jak zapisano ją w wiadomości, ze wszystkimi rozszerzeniami. Dlatego prosimy czytać ją w poczcie internetowej, zanim cokolwiek Państwo pobiorą. Jeśli nazwa jest zbyt długa i obcięta, prosimy zajrzeć do Więcej > Pokaż źródło przy filename. Proszę zacząć od prawej: co stoi po ostatniej kropce? Warto też zwrócić uwagę na długie nazwy z wieloma spacjami przed prawdziwym rozszerzeniem oraz na nazwy takie jak "Factuur_2026_pdf.zip": zawierają "pdf", ale są plikiem ZIP.

Wskazówka dla Windows: w Eksploratorze plików, w menu Widok, prosimy włączyć rozszerzenia nazw plików. Wtedy zawsze zobaczą Państwo prawdziwe rozszerzenie.

Podgląd czy pobranie?

Jeśli klikną Państwo w poczcie internetowej nazwę załącznika, poczta otworzy go w nowym oknie, o ile przeglądarka potrafi wyświetlić dany rodzaj pliku, na przykład PDF lub zdjęcie. To najbezpieczniejszy sposób oglądania: przeglądarka wyświetla plik we własnym, odizolowanym środowisku i nie uruchamia żadnego programu na Państwa komputerze.

Jeśli pobiorą Państwo załącznik i otworzą go z komputera, nastąpi to za pomocą programu przypisanego do rozszerzenia: Word, Excel, a w przypadku .exe samego pliku. Tu tkwi ryzyko. Dlatego prosimy pobierać tylko to, czego Państwo potrzebują i się spodziewają.

Na ilustracji widać wiadomość z dwoma zdjęciami w załączniku oraz link Pobierz wszystkie jako ZIP. Ten link daje jeden plik ZIP ze wszystkimi załącznikami. To wygodne, ale w ten sposób pobierają Państwo także załączniki, których nie obejrzeli.

Zaufanie zależy od sytuacji

O tym, czy załącznik jest bezpieczny, czy niebezpieczny, decyduje nie tylko rodzaj pliku. Liczy się również sytuacja. Warto zadać sobie trzy pytania:

1. Czy się tego spodziewam? Sanne poprosiła Ahmeda o zdjęcie sukni; plik .jpg od Ahmeda jest wtedy logiczny. Niespodziewana "faktura" od firmy, w której nigdy nic nie kupiła, już nie.
2. Czy plik pasuje do historii? Oferta to PDF. Oferta jako .html, .iso lub ZIP z hasłem nie pasuje.
3. Czy nadawca się zgadza? Prosimy sprawdzić adres i domenę (lekcja 2.2). Uwaga: również prawdziwy nadawca mógł zostać zhakowany. Jeśli ktoś przejął skrzynkę Daana, niebezpieczny załącznik przyjdzie po prostu z daan@example.com, często jako odpowiedź w istniejącej rozmowie.

W razie wątpliwości prosimy zapytać innym kanałem: zadzwonić do nadawcy na numer, który już Państwo mieli, lub wysłać nową wiadomość (nie jako odpowiedź na podejrzany e-mail). Prawdziwy nadawca nie uzna tego za dziwne.

Czy mimo wszystko otworzyli Państwo coś podejrzanego? Prosimy odłączyć komputer od sieci, zmienić hasła z innego urządzenia i poprosić o pomoc. Kurs Bezpiecznie w sieci opisuje to krok po kroku.

W praktyce: tak to działa w poczcie internetowej

Załączniki znajdują się w poczcie internetowej nad treścią wiadomości. Prosimy kliknąć nazwę, aby wyświetlić podgląd; za pomocą strzałki obok nazwy można wybrać między innymi pobieranie. Pobierz wszystkie jako ZIP daje jeden plik ZIP. Podręcznik Roundcube opisuje przyciski w rozdziale Otwieranie i zapisywanie załączników. W innych pocztach internetowych, takich jak Gmail czy Outlook.com, działa to podobnie: również tam można najpierw obejrzeć załącznik w przeglądarce, zanim się go pobierze.

Podsumowanie

• Załącznik to część wiadomości (MIME), zakodowana jako tekst za pomocą base64; nazwę i rodzaj wybiera sam nadawca.
• Niebezpieczne są programy i skrypty, skróty i pliki obrazów dysków, pliki Office z makrami, załączniki HTML oraz pliki ZIP z hasłem.
• Nazwę pliku należy czytać od prawej do lewej; liczy się tylko ostatnie rozszerzenie, a ikona niczego nie dowodzi.
• Podgląd w przeglądarce jest bezpieczniejszy niż pobranie i otwarcie.
• W razie wątpliwości prosimy sprawdzić innym kanałem; również znany nadawca mógł zostać zhakowany.

Quiz

Zadanie

Zadanie A2.3: Którym załącznikom nie należy ufać? Materiał bijlagen-1.txt znajduje się pod tym zadaniem: dziesięć ponumerowanych załączników, każdy z nadawcą i sytuacją, w jakiej wiadomość dotarła. Prosimy ocenić każdy załącznik za pomocą trzech pytań z tej lekcji (czy się tego spodziewam, czy plik pasuje do historii, czy nadawca się zgadza) oraz wiedzy o rozszerzeniach. Prosimy wpisać numery załączników, których Państwo nie otworzą. Program porówna Państwa zestaw z kluczem odpowiedzi i pokaże dla każdego załącznika, czy wybór jest prawidłowy, wraz z uzasadnieniem.

Dalsza lektura

Opisane kroki w poczcie internetowej dotyczą poczty internetowej WebOké; w innych pocztach internetowych działa to podobnie.

• Roundcube Webmail 3.2: Otwieranie i zapisywanie załączników
• Bezpłatny kurs Bezpieczny internet dla przedsiębiorców 1.2: Phishing, oszustwo na prezesa i oszustwo na fałszywą fakturę
• Bezpłatny kurs Bezpieczny internet dla przedsiębiorców 3.5: Kliknięto: co teraz?
• Przejęcie skrzynki pocztowej lub spam wysyłany z Państwa adresu: jak to uporządkować
• RFC 2045, MIME część 1, z base64 (w języku angielskim): https://www.rfc-editor.org/rfc/rfc2045