Definícia
Phishing je forma sociálneho inžinierstva: manipulácie, ktorá človeka privedie ku konaniu proti vlastnému záujmu tým, že zneužije dôveru, autoritu, časový tlak alebo obyčajnú ochotu pomôcť. Správa sa tvári, že prišla z banky, od kolegu, od kuriéra, z úradu alebo zo služby, ktorú používate, a žiada jedinú konkrétnu vec - prihlásiť sa, zaplatiť, potvrdiť výzvu, otvoriť súbor.
Názov je zámerným prepisom anglického fishing, teda rybárčenia, a prirovnanie sedí: návnada sa rozhodí naširoko, väčšina ju ignoruje a útoku stačí, aby zabrala u zlomku ľudí. Od iných podvodov phishing odlišuje práve to vydávanie sa za niekoho iného. Správa funguje preto, že vyzerá ako niečo legitímne, čo ste tak či tak napoly očakávali.
Ako phishingový útok prebieha
Väčšina kampaní má rovnaký priebeh bez ohľadu na to, za akú značku sa vydáva a akým kanálom prichádza.
- Prieskum. Mená, pracovné pozície, tvar firemných e-mailov a vzťahy s dodávateľmi sa pozbierajú z webu firmy, zo sociálnych sietí a z uniknutých databáz.
- Návnada. Text sa napíše tak, aby vyvolal naliehavosť, strach alebo zvedavosť - zablokovaný účet, nezaplatená faktúra, zadržaný balík, zdieľaný dokument.
- Doručenie. Rozpošle sa hromadne alebo napíše na mieru jednému človeku, zvyčajne zo zameniteľnej domény alebo z prelomeného legitímneho účtu.
- Háčik. Odkaz, príloha, QR kód alebo len odpoveď zavedie obeť tam, kde má útočník kontrolu.
- Zber. Vyzbierajú sa prihlasovacie údaje, údaje z karty alebo potvrdenie - prípadne sa rovno presmeruje platba.
- Použitie. Získaný prístup sa použije na podvod, na preniknutie hlbšie do siete alebo sa predá niekomu, kto to urobí.
Podceňovaný býva posledný krok. Ukradnuté heslo je málokedy koncom incidentu, oveľa častejšie je jeho začiatkom. Kanály, ktorými takéto správy chodia, popisuje heslo druhy phishingu, a signály, ktoré ich prezradia, nájdete v hesle ako rozpoznať phishing.
Prečo stále zaberá
Phishing nie je zlyhaním inteligencie a to, že sa tak vníma, je dôvod, prečo toľko školení nikam nevedie. Funguje preto, že zneužíva podmienky, ktoré sú v každej firme úplne bežné.
- Objem. Kto denne spracuje dvesto správ, ich nečíta, ale rozpoznáva vzory. Správa musí prežiť dvojsekundový pohľad, nič viac.
- Legitímne očakávanie. Faktúra príde do firmy, ktorá faktúry dostáva. Oznam o doručení príde človeku, ktorý si niečo objednal.
- Autorita. Žiadosť, ktorá vyzerá, že prišla od nadriadeného alebo od audítora, sa vybaví rýchlo a spochybní pomaly.
- Časový tlak. Termín odstráni tú chvíľu, počas ktorej by si to človek inak overil.
- Nepomer nákladov. Útočník rozpošle desaťtisíc správ a potrebuje jednu odpoveď. Obranca to musí zvládnuť zakaždým.
Práve preto sú technické opatrenia dôležitejšie než napomínanie. Overovanie odosielateľa, prihlasovanie odolné voči phishingu a rýchle hlásenie znižujú škodu, ktorú chyba spôsobí, namiesto toho, aby predpokladali, že k chybe nikdy nedôjde - o čom je heslo ako sa chrániť pred phishingom. Ak ste už na niečo klikli, začnite heslom klikol som na phishingový odkaz.