Różne oblicza zagrożeń e-mailowych

Oszustwa e-mailowe występują w najróżniejszych formach. Niektóre są tak oczywiste, że aż śmieszne — nie włożono żadnego wysiłku w ukrycie oszustwa.

Ale nie myśl, że wszystkie takie są. Oszustwa e-mailowe wydają się być coraz bardziej podstępne i kreatywne. To ten rodzaj, na który nawet najbardziej obeznany z komputerami przedstawiciel pokolenia Z, wychowany praktycznie z iPadem, spojrzałby dwa razy, zanim zorientowałby się, o co chodzi. Takie, że gdyby nie były tak diabelskie, można by nawet zrobić krok w tył i podziwiać sam pomysł. Pokażemy Ci, jak rozpoznawać phishing i inne powszechne oszustwa e-mailowe oraz jak się przed nimi chronić.

Krótki powrót do przeszłości

Wielu z nas pamięta bardzo wczesne dni oszustw e-mailowych — beztroskie czasy, gdy byliśmy jednocześnie bardziej naiwni, ale też mniej ufni wobec e-maili. Gdy otrzymywaliśmy oszustwo, czytaliśmy je z zaciekawionym zdziwieniem, próbując zrozumieć, dlaczego nadawca miałby sądzić, że to właśnie my jesteśmy odpowiednią osobą, do której należy zwrócić się o pomoc.

Kto pamięta The Spanish Prisoner? Nieszczęśnika o wielkim majątku, który desperacko potrzebował naszej pomocy w opłaceniu okupu, aby mógł wyjść z więzienia. Co zabawne, to oszustwo faktycznie poprzedza e-mail, bo wywodzi się z początku XIX wieku. Jakiś internetowy pionier najwyraźniej postanowił je zdigitalizować.

W dzisiejszych czasach oszustwa e-mailowe znacznie lepiej wykorzystują mocne strony swojego cyfrowego formatu. W przeciwieństwie do niektórych klasycznych oszustw wykorzystują zalety, jakie Internet zaczął oferować na przestrzeni lat — takie jak możliwość łatwego przetwarzania płatności online, większe poleganie na e-mailu w najważniejszej komunikacji czy rozwój mediów społecznościowych, by wymienić tylko kilka.

Oznaki oszustwa od razu na starcie

Zanim przyjrzymy się bliżej różnym rodzajom oszustw e-mailowych, podzielimy się kilkoma ogólnymi zasadami, które możesz zastosować, aby pomóc sobie rozpoznać oszustwo/spam e-mailowy — ponieważ wszystkie mają wspólne elementy — nadawcę, temat wiadomości, treść i być może co najważniejsze, potrzebę, by zostały przeczytane i uznane za wiarygodne.

Nazwa firmy / nadawcy

Zwróć uwagę na:

1. Literówki lub nieprawidłowa stylizacja — Paypal vs. PayPal.

2. Coś, co wydaje się zbyt opisowe lub mało prawdopodobne — AA Car Emergency vs. AA.

3. Firmy, w których nie robisz zakupów / z którymi nie masz do czynienia — Wiadomość od Barclays, gdy bankujesz w Lloyds.

4. Wszystko, co wydaje się dziwne — Od symboli i dziwnie nazwanych firm po nietypowe odstępy — czasem po prostu coś wydaje się nie tak z nadawcą.

Adres e-mail nadawcy

Zwróć uwagę na:

1. Niepasujący adres e-mail — Coś, co nie zgadza się z nazwą firmy.

2. Podobne imitacje — Adres zaprojektowany tak, by wyglądał jak prawdziwa firma. Może to być domena (@paypalcare.com) lub TLD (@paypal.club).

3. Błędy— Literówki lub inne nieprawidłowości w adresie.

Tematy wiadomości

Zwróć uwagę na:

1. Zwroty mające wywołać poczucie pilności — „Ostrzeżenie: Ostateczne wezwanie do zapłaty”.

2. Język obiecujący zbyt wiele — „Zarób £1000 w pięć minut”.

3. Język wywołujący silną reakcję emocjonalną — „Jesteś zatrudniony! Zacznij jutro!”

4. Literówki — Oszuści nie są znani z dobrej gramatyki.

5. Nadmierne użycie interpunkcji lub emoji — Niewiele prawdziwych firm ich używa.

6. Obecność „Re” — Może być użyte, by zasugerować, że już wcześniej odpowiedziałeś, choć tak nie było.

7. Przyciski i załączniki— Zawsze powstrzymuj się od klikania przycisków lub pobierania załączników w podejrzanych e-mailach.

Treść wiadomości

Zwróć uwagę na:

1. Niewiarygodne obietnice— Podobnie jak w wersji z tematem wiadomości, ale w treści jest więcej miejsca na rozwinięcie, co daje możliwość uczynienia kłamstw bardziej przekonującymi.

2. Wezwania do działania mające na celu uzyskanie danych osobowych — Zwłaszcza adresu lub danych karty.

3. Odniesienia do czegokolwiek, czego nie pamiętasz— Od wydarzeń po usługi, których nigdy nie otrzymałeś

4. Podszywanie się— Ktoś twierdzi, że jest Twoim przyjacielem lub krewnym, ale nie brzmi jak on sam.

Teraz, gdy masz już pewne podstawy dotyczące tego, jak oszuści mogą manipulować różnymi częściami e-maila, przyjrzyjmy się konkretnym przykładom.

Malware

Dla wielu osób ataki malware to prawdopodobnie pierwszy rodzaj złośliwego e-maila, którego naprawdę się baliśmy. Wtedy pewnie nazywaliśmy je po prostu wirusami e-mailowymi. Otwierasz wiadomość, ekran robi się czarny. Koniec gry. Tego typu rzeczy.

W rzeczywistości malware obejmuje szeroką gamę złośliwych ataków — a niektóre z nich są, szczerze mówiąc, znacznie straszniejsze niż szybka śmierć komputera.

Monitorowanie naciśnięć klawiszy? Wykorzystywanie Twojego CPU bez Twojej wiedzy? Szpiegowanie Cię? Wymuszanie wyskakiwania podejrzanych reklam co pięć minut? Tak, malware obejmuje szeroką gamę małych programów, które osadzają się w Twoim komputerze bez Twojej wiedzy, a ich funkcje obejmują wszystko — od działań kojarzonych z niecnymi żartownisiami po pełnoprawnych przestępców. Są podstępne i często trudne do usunięcia — o ile w ogóle wiesz, że tam są.

Jak wykryć malware

Jeśli doświadczasz któregokolwiek z wymienionych powyżej objawów, istnieje duża szansa, że to malware. Mogło to pochodzić z e-maila — ale niekoniecznie. Istnieją też inne sposoby, w jakie te programy mogą osadzić się w Twoim komputerze — pobrania, podejrzane strony internetowe, a nawet złośliwe urządzenia sprzętowe. Jeśli kiedykolwiek znajdziesz pendrive na ulicy, nie sprawdzaj, co na nim jest.

Chroń się przed malware

Ryzykując stwierdzenie oczywistości, wypróbuj oprogramowanie do wykrywania malware. Ale wybierz coś renomowanego.

Jeśli wygooglujesz, jak przede wszystkim zapobiegać malware, najczęstszą radą będzie zainstalowanie oprogramowania antywirusowego. Osobiście nie znam nikogo, kto robiłby to od końca lat 2010., ale kim ja jestem, żeby sprzeciwiać się całej ludzkiej wiedzy i masowemu doświadczeniu ujednoliconemu do jednolinijkowej odpowiedzi od Gemini, podanej w ułamkuułamka sekundy?

To powiedziawszy, ochrona przed zagrożeniami oferowana przez systemy operacyjne jest generalnie lepsza niż we wczesnych latach, szczególnie Windows aktualizuje się, aby chronić przed zagrożeniami, ale co ważniejsze, wiele programów pocztowych wykonuje tę pracę za nas, filtrując podejrzane e-maile, zanim do nas dotrą.

Dobrym pomysłem jest znalezienie dostawcy poczty e-mail, który promuje dobrą ochronę przed malware i skanuje Twoje e-maile, zanim do Ciebie dotrą. Jest to szczególnie przydatne, jeśli chodzi o unikanie ataków psychologicznych (do których zaraz przejdziemy).

Jeśli mówimy o ochronie, a nie zapobieganiu, dobrym pomysłem jest regularne tworzenie kopii zapasowych na wypadek, gdybyś padł ofiarą jednego z tych ataków. Osobiście polecam coś takiego jak Mega Sync, które aktualizuje się za każdym razem, gdy zapisujesz plik.

Phishing

W dzisiejszych czasach najprawdopodobniej spotkasz się z phishingowym oszustwem e-mailowym. Dlaczego? Bo jak chwytliwa melodia albo zapach wiosny, wszyscy jesteśmy podatni na ich urok. Ale jak rozpoznać phishing?

Ataki phishingowe są skuteczne dzięki swojej wszechstronności. Czasami phishing nie jest trudny do wykrycia. Może przybierać dowolną formę: dosłownie wszystko, co skłoni kogoś do podania swoich danych osobowych. Pomyśl o dowolnym powodzie, dla którego możesz poczuć się zmuszony do udostępnienia swoich danych osobowych lub wysłania komuś pieniędzy, a to ma potencjał, by stać się phishingowym e-mailem.

Oto tylko kilka przykładów, i pamiętaj, że kluczem do phishingu jest to, że wszystkie te e-maile wyglądają na prawdziwe, ale są fałszywe:

1. Powiadomienie o zresetowaniu hasła.

2. Uzupełnij brakujące dane bankowe.

3. Uzupełnij swój adres pocztowy, aby umożliwić dostawę.

4. Odnów swoją subskrypcję.

5. Jesteś zwycięzcą konkursu!

6. Przyjaciel w potrzebie prosi o pomoc.

7. Powiadomienie o zwrocie podatku.

8. Prośba o datki charytatywne.

Jeśli nie widziałeś jeszcze oszustwa phishingowego, to czy w ogóle jesteś rybką? Są tak wszechobecne, że trudno wyobrazić sobie e-mail bez nich. Ale jest więcej niż jeden sposób na phishing…

Spear phishing i whaling

Spear phishing i whaling są wymierzone w konkretne osoby, często z użyciem bardziej agresywnych taktyk.

Spear phishing wykorzystuje wiedzę osobistą, zwykle pozyskaną z kilku źródeł, aby tworzyć bardziej przekonujące e-maile. Ponieważ jest pisany z użyciem danych osobowych, może odnosić się do prawdziwych znajomych, sytuacji, a nawet bardziej wiarygodnie podszywać się pod bank itp. Jeśli wydaje Ci się, że to mało prawdopodobne, pamiętaj, że większość ludzi ma w sieci więcej publicznie dostępnych informacji, niż im się wydaje.

Gdyby ktoś podszył się pod Twojego znajomego i wspomniał bardzo konkretne wydarzenie, w którym oboje uczestniczyliście dekadę temu, dlaczego miałbyś w to nie uwierzyć? Może minąć chwila, zanim przypomnisz sobie, że szczegółowo opisałeś to na Facebooku i że ten post jest publicznie widoczny. Kiedy poprosi Cię o pożyczenie pieniędzy, być może wyciągniesz pomocną dłoń.

Wszyscy jesteśmy podatni na spear phishing, co czyni go bardziej niebezpiecznym niż bardziej oczywiste oszustwa. Jednym szczęśliwym zastrzeżeniem jest to, że poziom researchu wymagany do skutecznego przeprowadzenia oszustwa spear phishingowego zniechęca większość oszustów. Łatwiej jest im postawić na masowy e-mail, na który odpowie mniej osób. Ale czy to właśnie tutaj AI wkroczy w przyszłości? Musimy zachować czujność.

Whaling

Czym więc jest whaling? Cóż, pod wieloma względami atak whalingowy jest właściwie taki sam jak spear phishing, ale jest ukierunkowany konkretnie na zamożne osoby, takie jak CEO.

Smutna rzeczywistość jest taka, że ich status sprawia zarówno, że bardziej opłaca się poświęcić czas na ich zaatakowanie, jak i że inne czynniki (takie jak ich majątek, odpowiedzialność, brak czasu i szeroka sieć kontaktów) oznaczają istnienie kilku potencjalnych słabości do wykorzystania. Na przykład być może wystarczy przekonać asystenta lub sekretarkę, że mają pieczęć aprobaty CEO. Wygląda więc na to, że komercyjny whaling to zawsze coś złego.

Jak chronić się przed spear phishingiem i whalingiem

Poza tym, co wymieniono w naszym ogólnym przewodniku powyżej, powinieneś także skonfigurować silne filtrowanie spamu. Czynnik ludzki to właśnie to, w czym phishingowe e-maile błyszczą. Jeśli malware jest prostą sztuczką, to na pewnym poziomie phishing wymaga naszego współudziału. W końcu to my musimy oddać nasze informacje. Jak już omówiliśmy, robi to, odwołując się do naszej reakcji emocjonalnej.

Dlatego upewnienie się, że w ogóle nigdy nie mamy z tym kontaktu, jest najsilniejszym sposobem walki z tym zjawiskiem. Filtry spamu szukają wielu elementów przy ocenie e-maila, których my jako ludzie nie jesteśmy w stanie wychwycić. Porównują czarne listy, znane wzorce zachowań, a nawet stosują metodę znaną jako filtrowanie bayesowskie. Porównuje ono treść e-maila ze znanym spamem i legalnymi wiadomościami, aby obliczyć prawdopodobieństwo, że jest to spam. Dodatkowo dobre filtry spamu biorą pod uwagę to, co inni użytkownicy oznaczają jako spam, tworząc tak zwaną pętlę informacji zwrotnej od użytkowników.

Przejęta biznesowa poczta e-mail

Nieco różni się to od wszystkiego, czemu przyglądaliśmy się do tej pory, ponieważ wychodzi z przeciwnej strony — z założenia, że legalne konto e-mail zostało przejęte. Nie musi to być konto biznesowe, ale na potrzeby tej sekcji jest kilka ciekawszych czynników do omówienia, jeśli założymy, że jednak nim jest.

Jeśli oszust może nielegalnie uzyskać dostęp do biznesowego konta e-mail, może podszywać się pod pracowników, aby żądać środków, a nawet uzyskać dostęp do innych wewnętrznych systemów, które mogą zawierać wrażliwe dane.

Przejęcie konta biznesowego wykorzystuje również inną społeczną osobliwość obecną w wielu firmach, szczególnie większych: jest mało prawdopodobne, by każdy pracownik znał wszystkich pozostałych. To, w połączeniu z faktem, że od ludzi oczekuje się uprzejmości w środowisku pracy, oznacza, że takie e-maile mają dodatkowe atuty w porównaniu z kontami prywatnymi.

Jak się przed tym chronić

Dopilnowanie, aby wszyscy pracownicy korzystali z uwierzytelniania dwuskładnikowego (email 2FA) i wybierali silne hasła, znacznie zmniejsza ryzyko kradzieży / zhakowania kont. 2FA zapewnia, że właściciel konta zawsze będzie wiedział, jeśli ktoś spróbuje się włamać, a silne hasło utrudnia ataki brute-force.

Możesz także zmniejszyć prawdopodobieństwo przyszłych problemów, natychmiast dezaktywując konta pracowników, którzy odchodzą z firmy. Cmentarzysko nieużywanych kont pokrywających się kurzem to po prostu wypadek czekający, by się wydarzyć.

Fałszywe faktury

Jednym z motywów, które możesz zauważać, jest wykorzystywanie różnych skrajnych emocji. Do tej pory rozważaliśmy strach lub nieuwagę CEO oraz rzekomą obojętność jednego pracownika wobec drugiego. Teraz spróbujmy gniewu.

Ktoś twierdzi, że jesteś mu winien pieniądze, i żąda natychmiastowej spłaty. Jest zły, mówi rzeczy, które sprawiają, że zaczynasz wątpić we własną pamięć, albo tworzy sytuację, co do której nie możesz mieć pewności, że nie jest prawdziwa. Jad i gniew narastają, aż niemal wydaje się łatwiej po prostu zapłacić.

Dla wielu z nas może to nie wydawać się zbyt prawdopodobne, ale być może to właśnie jest w tym najgorsze: są szanse, że „my” nie jesteśmy ich celem. Ich ofiarami będą osoby podatne. Te, które naprawdę mogą nie pamiętać albo bardziej ufają obcym.

Zapobieganie

Jeśli założymy, że my nie zapłacimy losowych faktur otrzymanych e-mailem, warto wykorzystać tę okazję, by zasugerować rozmowę z osobami w Twoim otoczeniu, które mają mniejsze doświadczenie online. Zapytaj je, czy potrzebują pomocy w rozpoznawaniu oszustw, i wyjaśnij, że samo to, iż ktoś domaga się pieniędzy, nie czyni jego roszczenia uzasadnionym. W końcu musimy o siebie nawzajem dbać i nikt nie chce patrzeć, jak ktoś wpada prosto w oczywiste oszustwo.

Istnieją zasoby, do których możesz kierować ludzi, a które przeprowadzą ich przez ten temat w przyjazny dla użytkownika sposób.

Oszustwa związane z ofertami pracy

W przeciwieństwie do niektórych innych, te mogą być trudne do zauważenia nawet dla najbardziej doświadczonych z nas. Jednym z powodów jest to, że nie istnieją w próżni e-maila. Gdyby którekolwiek z nas otrzymało znikąd e-mail z informacją, że dostało pracę, od razu wiedzielibyśmy, że to spam. Ale co, jeśli tak to się nie zaczęło?

Co, jeśli oszustwo zaczęło się jako prawdziwe ogłoszenie na prawdziwym portalu z ofertami pracy? Aplikowałeś na nie obok wielu innych prawdziwych ofert i wydawało się równie prawdopodobne jak wszystkie pozostałe. Cóż, wtedy jest to e-mail, którego się spodziewasz — na który nawet liczysz,. I podobnie jak w spear phishingu, tworzy to bardziej rozbudowaną okazję do oszustwa. Ponieważ Ty jesteś teraz chętnym uczestnikiem — przynajmniej na początku.

Ale czego? Te oszustwa mogą przybierać niezliczone formy, ale zasadniczo, podobnie jak dawne schematy piramidowe z przeszłości, proszą o pieniądze z góry pod pretekstem pokrycia kosztów, zakupu sprzętu, a nawet szkolenia na dane stanowisko — i nic z tego nie jest prawdziwe. Czasami w systemie mogą być nawet inne osoby, które również wierzą, że to prawda, i to może sugerować legalność tam, gdzie jej nie ma.

Jak rozpoznać oszustwo związane z ofertą pracy

Istnieją pewne wskazówki, na które możesz zwrócić uwagę podczas ubiegania się o pracę i które mogą wskazywać, że oferta nie jest legalna:

1. Nierealistyczne wynagrodzenia — Jeśli coś jest zbyt piękne, by było prawdziwe, to prawdopodobnie takie jest.

2. Niejasne lub mało prawdopodobne stanowiska — Czy ktoś naprawdę potrzebowałby lub chciałby, aby ktoś pełnił taką rolę?

3. Brak potrzeby rozmowy kwalifikacyjnej — Albo gorliwa oferta pracy bez należytej weryfikacji.

4. Nieprofesjonalna komunikacja — Prośba o więcej danych, niż powinno być wymagane.

5. Brak obecności firmy w internecie — Albo firma, której strona internetowa wygląda trochę podejrzanie. Zdjęcia stockowe, niewiarygodne opinie, brak prawdziwej treści — tego typu rzeczy.

Jednocześnie nie chcesz odrzucać legalnych ofert pracy tylko z powodu źle przygotowanego ogłoszenia. Dlatego najważniejsze, na co trzeba uważać, to każda prośba o pieniądze przed rozpoczęciem pracy. Prawie nie ma sytuacji, w których praca powinna wymagać od Ciebie zapłaty czegokolwiek z góry, a tym bardziej wykonywania jakichkolwiek obowiązków za darmo.

Nieważne, jak bardzo jesteś pewien procesu do tego momentu — w chwili, gdy rozmowa schodzi na przelew pieniędzy, możesz być spokojny — to oszustwo.

Oszustwa romantyczne

Prawdopodobnie najsilniejsza manipulacja emocjonalna ze wszystkich: to, jak się czujemy, gdy jesteśmy zakochani.

Mam osobiste doświadczenie z sytuacją, w której ktoś na aplikacji randkowej poprosił o pożyczenie pieniędzy (to obecnie miejsce, gdzie najczęściej dochodzi do tego rodzaju oszustw). Nie jest to tak rzadkie, jak mogłoby się wydawać — a w niektórych przypadkach możemy mieć nawet trudność, by w ogóle pomyśleć o tym jak o oszustwie…

Granice szybko się zacierają, gdy serce zaczyna rządzić rozumem. Być może jakaś część nas myśli nawet: „może robią ze mnie głupca, ale czym jest te dziesięć funtów, jeśli chodzi o miłość?”. Ale ta osoba może spędzać cały dzień na aplikacji randkowej. Jeśli uda jej się namówić dziesięć osób dziennie do przekazania dychy, to wcale nie jest zła dniówka. I z całą pewnością byłoby to uznane za oszustwo.

Jak nie zakochać się w oszustwie romantycznym

Ryzykując, że zabrzmię jak ciocia dobra rada, nie daj się prowadzić sercu. Jeśli rozum mówi Ci, że to oszustwo, to prawdopodobnie nim jest. Nigdy nie dawaj pieniędzy komuś, kogo dobrze nie znasz, bez względu na to, jak bardzo twierdzi, że Cię kocha. To smutny fakt życia, że ludzie wykorzystują skrajne emocje do manipulacji.

Oszustwa związane z nagrodami

Większość z nas pewnie pamięta ulotki przychodzące pocztą z informacją, że wygraliśmy na loterii i musimy zadzwonić pod numer, aby odebrać nagrodę. Chyba było nieuniknione, że to również przeniesie się do e-maili.

Nie ma tu zbyt wiele do dodania ponad to, co zostało już powiedziane w innych sekcjach. Być może możemy po prostu stworzyć życiową mantrę. Jeśli e-mail mówi, że wygrałeś nagrodę, to nie wygrałeś nagrody*.

*Chyba że wygrałeś nagrodę. Ale na pewno nie wygrałeś nagrody. Przestań myśleć o tej nagrodzie.

Zapobieganie

Słuchaj, naprawdę, naprawdę nie wygrałeś nagrody. Kup los na loterię, jeśli musisz — ale kliknij przycisk spamu.

Ochrona siebie i innych

Mówiąc poważnie, niezależnie od tego, czy to spam, czy oszustwo, naprawdę nie ma się z czego śmiać. Ludzie naprawdę cierpią, tracą pieniądze albo później czują się głupio.

Zaproponowaliśmy kilka sposobów ochrony, ale tak naprawdę wszystko sprowadza się do trzech rzeczy:

• Włącz jak najwięcej zabezpieczeń

Cokolwiek oferuje Twój dostawca, czy to 2FA, automatycznie generowane hasła, czy nawet szyfrowanie — nazwij to, skonfiguruj to. To po prostu sprawia, że przejęcie Twojego konta staje się trochę trudniejsze.

• Wybierz dostawcę dbającego o bezpieczeństwo

Dostawca z solidnym oprogramowaniem do zarządzania spamem i częstymi aktualizacjami zabezpieczeń to prawdopodobnie najlepsza forma stałej ochrony dla firmy. Większość oszustw, które opisaliśmy, zaczyna się i kończy na zarządzaniu spamem. Jeśli nigdy ich nie zobaczymy, nigdy nie będą problemem.

• Trzymaj rękę na pulsie

Oszustwa phishingowe nieustannie ewoluują. Ich celem jesteś Ty, a nie Twoja skrzynka odbiorcza, więc to Ty jesteś swoją najlepszą obroną.

Czy stosujesz jakieś praktyki, które pomagają Ci nie dać się nabrać na spam i oszustwa? Chętnie o nich usłyszymy! Zostaw swoje przemyślenia lub pytania w sekcji komentarzy poniżej