Czym jest phishing
Phishing jest atakiem na ludzi, a nie na oprogramowanie. Przestępca przygotowuje wiadomość, która wygląda na pochodzącą z banku, od współpracownika, dostawcy lub działu IT, i prosi odbiorcę o zwykłą czynność: zalogowanie się, otwarcie pliku, opłacenie faktury albo potwierdzenie danych.
Nazwa nawiązuje do wędkowania (po angielsku fishing): wiadomość jest przynętą, a działanie ofiary połowem.
Dla organizacji phishing ma znaczenie, bo jest jednym z najczęstszych sposobów uzyskania pierwszego dostępu. Zagrożenie zewnętrzne, które nie ma własnych uprawnień, pożycza je od pracownika, a jedno wykradzione hasło może zapoczątkować naruszenie danych.
Jak przebiega atak
Kampanie różnią się skalą i dopracowaniem, ale większość przechodzi przez te same cztery etapy, a ostatni to moment, w którym powstaje szkoda: wykradziony dostęp prowadzi do eksfiltracji danych albo do fałszywej płatności.
- 1
Wybór przynęty
Przestępca dobiera wiarygodny pretekst, na przykład informację o wygasającym haśle, fakturę lub udostępniony dokument.
- 2
Dostarczenie wiadomości
Wiadomość trafia e-mailem, SMS-em, telefonem lub przez media społecznościowe, często od sfałszowanego albo łudząco podobnego nadawcy.
- 3
Wymuszenie działania
Ofiara wpisuje hasło na fałszywej stronie, otwiera załącznik lub zatwierdza prośbę.
- 4
Wykorzystanie dostępu
Atakujący loguje się, przegląda skrzynki i zasoby plikowe i zabiera dane lub pieniądze.
Główne rodzaje phishingu
Rodzaje różnią się kanałem i tym, ile atakujący wie o celu. Warto wcześnie poznać phishing klonujący, bo wykorzystuje wiadomość, której ofiara już ufa. Kody QR w e-mailach lub na plakatach (quishing) to kolejny nośnik tej samej sztuczki.
| Rodzaj | Kanał i cel | Co go wyróżnia |
|---|---|---|
| Phishing masowy | E-mail wysyłany do bardzo wielu odbiorców | Ogólna przynęta, mały nakład pracy, liczy się skala |
| Spear phishing | E-mail do wybranej osoby lub zespołu | Wykorzystuje zebrane szczegóły: imię, stanowisko, bieżące projekty |
| Whaling | E-mail do kadry zarządzającej | Spear phishing wymierzony w osoby o szerokich uprawnieniach |
| Business email compromise | E-mail podszywający się pod prezesa lub dostawcę | Ma przekierować płatność lub wyłudzić dane, często bez linku i załącznika |
| Smishing i vishing | SMS-y i rozmowy telefoniczne | Ta sama sztuczka, przekazana tekstem lub głosem |
| Phishing klonujący | E-mail wysłany ponownie na wzór prawdziwego | Kopiuje wiadomość, której odbiorca ufa, i podmienia link lub plik |
Dlaczego działa na ludzi
Phishing działa, bo wykorzystuje nawyki, a nie luki w oprogramowaniu. Wiadomości powołują się na autorytet (przełożony, bank), wywołują presję czasu lub wyglądają jak zwykła praca, a zajęci ludzie wykonują rutynowe prośby bez sprawdzania. Gdy pracownik zostaje zmanipulowany i przekazuje hasło lub plik, powstaje nieumyślne ujawnienie: nikt nie chciał niczego wynieść.
Dawniej poprawny język był wiarygodną wskazówką. Ta rada straciła na wartości, bo narzędzia tworzące płynny tekst w dowolnym języku pozwalają usunąć niezręczne sformułowania, które kiedyś zdradzały fałszerstwo.
Dopracowana wiadomość nie jest bezpieczna: oceniaj prośbę, a nie poprawność języka.
Sygnały ostrzegawcze
Żaden sygnał nie jest dowodem, a dobrze przygotowane wiadomości nie zawierają żadnego z nich. Sprawdzianem jest całość i sama prośba: czy nieoczekiwana wiadomość żąda haseł, pieniędzy lub danych?
- Adres nadawcy zbliżony do prawdziwego, ale nie identyczny, na przykład z zamienioną literą w domenie
- Pośpiech lub groźba: konto zostanie zablokowane, płatność jest wymagana dziś
- Link, którego rzeczywisty cel, widoczny po najechaniu kursorem, różni się od tekstu
- Nieoczekiwany załącznik, zwłaszcza archiwum, dokument z prośbą o włączenie makr lub plik wykonywalny
- Prośba o logowanie, płatność lub przesłanie danych inną drogą niż zwykle
- Prośba o dyskrecję lub pominięcie zwykłej akceptacji
Warstwy obrony
Żadne pojedyncze zabezpieczenie nie zatrzyma phishingu, bo każde obejmuje inny etap: dotarcie wiadomości, kliknięcie, logowanie i wypływ danych. Warstwy działają najlepiej, gdy zakładają, że część wiadomości przejdzie, i dbają o to, by wraz z nią nie wyszły dane wrażliwe.
| Zabezpieczenie | Zakres | Co robi |
|---|---|---|
| Szkolenia uświadamiająceOsoby czytające pocztę | Cała załoga | Uczą weryfikować nieoczekiwane prośby i zgłaszać je |
| Uwierzytelnianie wieloskładnikoweLogowanie do kont | Wszystkie konta | Zmniejsza wartość wykradzionego hasła; najmocniejsze są metody odporne na phishing, jak klucze sprzętowe i passkeys |
| SPF, DKIM i DMARCRekordy domeny nadawcy | Domena pocztowa | Utrudniają podszywanie się pod domenę organizacji |
| Filtrowanie poczty i piaskownicaBramka poczty przychodzącej | Poczta przychodząca | Sprawdza linki i załączniki przed doręczeniem |
| Zgłaszanie i reagowanieProces bezpieczeństwa | Zespół bezpieczeństwa | Zgłoszenie jednym kliknięciem i przećwiczony sposób resetu haseł i zakończenia sesji |
| Kontrola utraty danychStacje końcowe i kanał WWW | Stacje końcowe | Ogranicza to, co może wyjść, gdy błąd jednak się zdarzy |
Jak to wygląda w Anexet
Anexet nie jest bramką antyphishingową i nie rozstrzyga, czy wiadomość jest phishingiem.
Oferuje przechwytywanie poczty na monitorowanych stacjach, które pozwala analizować treść wiadomości i załączników, oraz reguły blokowania HTTP w ramach monitorowania ruchu WWW, które mogą zatrzymać żądanie łamiące politykę, na przykład wysyłkę danych wrażliwych na stronę. Pracownik widzi wtedy komunikat, taki jak poniżej.
Od czego zacząć
Zacznij od kont i danych, których utrata byłaby najbardziej dotkliwa: poczty, finansów i dostępu administracyjnego. Najpierw włącz tam uwierzytelnianie wieloskładnikowe, potem uzgodnij jeden sposób zgłaszania podejrzanych wiadomości i jedną weryfikację poza kanałem przy zmianie płatności i numerów rachunków.
Szkolenia traktuj jak ćwiczenie, a nie coroczny wykład: krótkie, konkretne i bez szukania winnych, aby ludzie zgłaszali pomyłki szybko, zamiast je ukrywać.
Phishing nie łamie systemu. Prosi człowieka o otwarcie drzwi, więc obrona musi obejmować i człowieka, i to, co jest za drzwiami.
Anexet TeamJak rozwiązuje to Anexet
Anexet nie jest bramką pocztową antyphishingową: nie klasyfikuje nadawców, nie sprawdza adresów URL i nie ocenia wiadomości pod kątem zamiaru phishingu. Jego znaczenie wynika z mechanizmów, które faktycznie posiada: przechwytywania i analizy treści poczty na monitorowanych stacjach oraz kontroli transferów danych, które następują po udanym ataku.
Gdy pracownik da się oszukać, następstwem jest przepływ danych: pliki wychodzące pocztą, przez sieć WWW, do chmury lub na nośnikach wymiennych. Moduł DLP Anexet monitoruje te kanały i analizuje treść wysyłanych danych, co umożliwia powstrzymanie incydentu i jego zbadanie.
Przechwytywanie poczty i analiza treści
Agenty na stacjach końcowych przechwytują ruch pocztowy, w tym pocztę webową i klientów poczty, a treść wiadomości i załączników analizują względem tezaurusów, banków skrótów, cyfrowych odcisków i etykiet wrażliwości Microsoft.
Kontrola transferów danych
Polityki bezpieczeństwa obserwują wrażliwą treść przesyłaną pocztą, przez WWW, aplikacje chmurowe, komunikatory, drukowanie, schowek i urządzenia wymienne, zgłaszają incydenty i alerty, a reguły blokowania mogą wstrzymać transfer; zablokowana poczta trafia do kwarantanny.
Ścieżka audytu
Przechwycone zdarzenia są zapisywane z użytkownikiem, komputerem, czasem i kanałem, co daje możliwy do przypisania ślad tego, co przeszło przez monitorowane kanały i jakie dane wyszły.
Uczciwe granice
Powstrzymanie samej przynęty pozostaje zadaniem ochrony poczty, MFA i szkoleń; Anexet dodaje widoczność kanałów na stacjach końcowych i kontrolę nad przepływem danych, który następuje potem.
Anexet DLP
Dowiedz się więcej