Wyjaśnienie zagrożeń e-mailowych: phishing, malware, spam, spear phishing i whaling

Zagrożenia e-mailowe występują w różnych formach i rozmiarach, ale zwykle są to złośliwe wiadomości mające skłonić Cię do wysłania pieniędzy, udostępnienia danych finansowych lub przekazania informacji o firmie. Obejmują one zarówno irytujące utrapienia, takie jak spam, malware i wirusy, jak i ukierunkowane ataki o ogromnych skutkach finansowych, takie jak spear phishing, whaling i business email compromise. 

Niektóre są tak oczywiste, że aż śmieszne — nie włożono żadnego wysiłku w ukrycie oszustwa.

Ale nie myśl, że wszystkie są takie. Oszustwa e-mailowe wydają się tylko coraz bardziej podstępne i kreatywne. To ten rodzaj, na który nawet najbardziej obeznany z komputerami przedstawiciel pokolenia Z, wychowany praktycznie z iPadem, spojrzałby dwa razy, zanim by się zorientował. Gdyby nie były tak diabelskie, można by nawet zrobić krok wstecz i podziwiać sam pomysł. Pokażemy Ci, jak rozpoznawać phishing i inne powszechne oszustwa e-mailowe oraz jak się przed nimi chronić.

Czym są zagrożenia e-mailowe?

Zamiast próbować przedrzeć się przez silne cyfrowe zapory, zagrożenia e-mailowe atakują prawdziwych ludzi. Celem jest nakłonienie Cię do kliknięcia złego linku lub ujawnienia hasła. Gdy to zrobisz, atakujący są w idealnej pozycji, by ukraść pieniądze, zainstalować wirusy na Twoim komputerze albo ukraść Twoją tożsamość i przejść do większego celu. 

Dlaczego istnieją zagrożenia e-mailowe?

Zagrożenia e-mailowe istnieją, ponieważ mimo że e-mail jest jedną z najpopularniejszych metod komunikacji na świecie, w rzeczywistości nie jest aż tak bezpieczny. Prawie każda firma na świecie komunikuje się przez e-mail, a aby skontaktować się z dowolnym pracownikiem, wystarczy zdobyć jego adres e-mail. Stamtąd wprawnemu atakującemu łatwo jest zmanipulować sytuację i dostać się do środka. Dzieje się tak, ponieważ: 

1. Każdy ma adres e-mail: E-mail działa jak publiczna skrzynka pocztowa. Każdy, kto ma połączenie z Internetem, może wysłać wiadomość bezpośrednio na Twój telefon lub komputer.

2. E-mail jest stary: Podstawowa technologia stojąca za e-mailem została stworzona dekady temu z wbudowanym zaufaniem. Nie sprawdza automatycznie, czy nadawca jest tym, za kogo się podaje.

3. Ludzi łatwo oszukać: Atakujący mogą podszywać się pod menedżera żądającego pilnej przysługi. Ponadto narzędzia AI mogą również pomagać oszustom pisać wiarygodne wiadomości bez błędów. 

4. Tanie i opłacalne: Wysłanie milionów e-maili nic nie kosztuje. Wystarczy, że jedna osoba da się nabrać, aby oszust ukradł tysiące dolarów.
   

Różne rodzaje zagrożeń e-mailowych 

1. Phishing – najczęstszy rodzaj zagrożenia e-mailowego. Atakujący wysyłają masowe e-maile podszywające się pod popularne marki, takie jak Netflix, Google lub Twój bank, próbując nakłonić Cię do kliknięcia linku prowadzącego do fałszywej strony internetowej, na której wpisujesz swoje hasło.
   

2. Business email compromise (BEC) – oszuści podszywają się pod CEO, menedżera lub zaufanego partnera biznesowego i próbują przekonać kogoś z działu finansowego do przelania pieniędzy bezpośrednio na konto bankowe oszusta.
   

3. Malware i ransomware – w tym ataku e-mail zawiera ukrytego wirusa. Jeśli otworzysz plik, pobierze on oprogramowanie, które kradnie Twoje pliki lub blokuje cały komputer, dopóki nie zapłacisz okupu.
   

4. Spoofing i podszywanie się – atakujący zmieniają pole „Od” w wiadomości e-mail, aby wyglądało, jakby pochodziła od osoby, której ufasz. Mogą zamieniać litery na cyfry lub rejestrować domeny wyglądające niemal identycznie jak prawdziwe nazwy firm.
   

5. Phishing z użyciem kodów QR („Quishing”) –  atakujący wysyłają e-maile zawierające kod QR w załączniku PDF.Attackers. Gdy zeskanujesz kod aparatem w smartfonie, przenosi Cię on poza narzędzia bezpieczeństwa komputera do fałszywej strony logowania, gdzie filtry e-mail nie mogą Cię uratować. 

Krótki powrót do przeszłości

Wielu z nas pamięta bardzo wczesne dni oszustw e-mailowych — beztroskie czasy, kiedy byliśmy jednocześnie bardziej naiwni, ale też mniej ufni wobec e-maili. Gdy otrzymywaliśmy oszustwo, czytaliśmy je z pełnym konsternacji zainteresowaniem, próbując zrozumieć, dlaczego nadawca uważał, że jesteśmy właściwą osobą, do której należy zwrócić się o pomoc.

Kto pamięta The Spanish Prisoner? Nieszczęsna, bardzo zamożna osoba, która desperacko potrzebowała naszej pomocy w opłaceniu okupu, aby mogła wyjść z więzienia. Co zabawne, to oszustwo jest w rzeczywistości starsze niż e-mail i wywodzi się z początku XIX wieku. Jakiś niezależny Internet Surfer najwyraźniej postanowił je zdigitalizować.

W dzisiejszych czasach oszustwa e-mailowe znacznie lepiej wykorzystują mocne strony swojego cyfrowego formatu. W przeciwieństwie do niektórych klasycznych oszustw wykorzystują zalety, jakie Internet zaczął oferować na przestrzeni lat — takie jak możliwość łatwego przetwarzania płatności online, większe poleganie na e-mailu w najważniejszej komunikacji czy rozwój mediów społecznościowych, by wymienić tylko kilka.

Typowe oznaki phishingowej wiadomości e-mail

Zanim przyjrzymy się bliżej różnym rodzajom oszustw e-mailowych, podzielimy się kilkoma ogólnymi zasadami, które możesz zastosować, aby pomóc sobie zidentyfikować oszustwo/spam e-mailowy — ponieważ wszystkie mają wspólne elementy — nadawcę, temat, treść wiadomości i, co być może najważniejsze, potrzebę, by zostały przeczytane i uznane za wiarygodne.

Nazwa firmy/nadawcy

Zwróć uwagę na:

1. Literówki lub nieprawidłową stylizację — Paypal vs. PayPal.

2. Coś, co wydaje się zbyt opisowe lub mało prawdopodobne — AA Car Emergency vs. AA.

3. Firmy, w których nic nie kupujesz / z którymi nie masz do czynienia — Wiadomość od Barclays, gdy korzystasz z Lloyds.

4. Wszystko, co wydaje się dziwne — Od symboli i dziwnie nazwanych firm po nietypowe odstępy — czasem jest po prostu coś, co wydaje się nie tak z nadawcą.

Adres e-mail nadawcy

Zwróć uwagę na:

1. Niespójny adres e-mail — Coś, co nie pasuje do nazwy firmy.

2. Podobieństwa mające zmylić — Adres zaprojektowany tak, by wyglądał jak prawdziwa firma. Może to być domena (@paypalcare.com) lub TLD (@paypal.club).

3. Błędy— Literówki lub inne nieprawidłowości w adresie.

Tematy wiadomości

Zwróć uwagę na:

1. Zwroty mające wywołać poczucie pilności — „Ostrzeżenie: Ostateczne wezwanie do zapłaty”.

2. Język obiecujący zbyt wiele — „Zarób 1000 £ w pięć minut”.

3. Język wywołujący silną reakcję emocjonalną — „Jesteś zatrudniony! Zacznij jutro!”

4. Literówki — Oszuści nie słyną z dobrej gramatyki.

5. Nadmierne użycie interpunkcji lub emoji — Niewiele prawdziwych firm ich używa.

6. Obecność „Re” — Może być użyte, by zasugerować, że już wcześniej odpowiedziałeś, choć tak nie było.

7. Przyciski i załączniki— Zawsze powstrzymuj się od klikania przycisków lub pobierania załączników w podejrzanych e-mailach.

Treść wiadomości

Zwróć uwagę na:

1. Niewiarygodne obietnice— Podobnie jak w przypadku tematu wiadomości, ale w treści jest więcej miejsca na rozwinięcie, co daje możliwość uczynienia kłamstw bardziej przekonującymi.

2. Wezwania do działania, które mają wyłudzić dane osobowe — Zwłaszcza adres lub dane karty.

3. Odniesienia do czegokolwiek, czego nie pamiętasz— Od wydarzeń po usługi, których nigdy nie otrzymałeś

4. Podszywanie się— Ktoś twierdzi, że jest Twoim znajomym lub krewnym, ale nie brzmi jak on sam.

Teraz, gdy masz już pewne podstawy dotyczące tego, jak oszuści mogą manipulować różnymi częściami wiadomości e-mail, przyjrzyjmy się konkretnym przykładom.

Rodzaje zagrożeń e-mailowych

Malware

Dla wielu z nas ataki malware to prawdopodobnie pierwszy rodzaj podejrzanego e-maila, którego naprawdę się baliśmy. W tamtych czasach pewnie nazywaliśmy je po prostu wirusami e-mailowymi. Otwierasz, ekran robi się czarny. Koniec gry. Tego typu rzeczy.

W rzeczywistości malware obejmuje szeroką gamę złośliwych ataków — a niektóre z nich są, szczerze mówiąc, o wiele straszniejsze niż szybka śmierć komputera.

Monitorowanie naciśnięć klawiszy? Wykorzystywanie Twojego CPU bez Twojej wiedzy? Szpiegowanie Cię? Wymuszanie wyskakiwania podejrzanych reklam co pięć minut? Tak, malware obejmuje szeroką gamę małych programów, które osadzają się w Twoim komputerze bez Twojej wiedzy, a ich funkcje obejmują wszystko — od rzeczy kojarzonych z niecnymi żartownisiami po działania pełnoprawnych przestępców. Są trudne do wykrycia i często ciężko się ich pozbyć — o ile w ogóle wiesz, że tam są.

Jak wykryć malware

Jeśli doświadczasz któregokolwiek z wymienionych powyżej objawów, istnieje duża szansa, że to malware. Mogło ono pochodzić z e-maila — ale niekoniecznie. Istnieją też inne sposoby, w jakie te programy mogą osadzić się w Twoim komputerze — pobrania, podejrzane strony internetowe, a nawet zainfekowane urządzenia sprzętowe. Jeśli kiedykolwiek znajdziesz pendrive na ulicy, nie sprawdzaj, co na nim jest.

Chroń się przed malware

Ryzykując stwierdzenie oczywistości, wypróbuj oprogramowanie do wykrywania malware. Ale wybierz coś renomowanego.

Jeśli wygooglujesz, jak przede wszystkim zapobiegać malware, najczęstszą radą będzie zainstalowanie oprogramowania antywirusowego. Osobiście nie znam nikogo, kto robiłby to od końca lat 2010., ale kim ja jestem, żeby zaprzeczać całokształtowi ludzkiej wiedzy i zbiorowego doświadczenia ujednoliconych do jednolinijkowej odpowiedzi od Gemini, podanej w ułamkuułamka sekundy?

Trzeba jednak powiedzieć, że ochrona przed zagrożeniami oferowana przez systemy operacyjne jest generalnie lepsza niż we wczesnych latach, zwłaszcza Windows regularnie się aktualizuje, aby chronić przed zagrożeniami, ale co ważniejsze, duża część oprogramowania pocztowego wykonuje tę pracę za nas, filtrując podejrzane e-maile, zanim do nas dotrą.

Dobrym pomysłem jest znalezienie dostawcy poczty e-mail, który promuje dobrą ochronę przed malware i skanuje Twoje e-maile, zanim do Ciebie dotrą. Jest to szczególnie przydatne, jeśli chodzi o unikanie ataków psychologicznych (a do nich jeszcze za chwilę przejdziemy).

Jeśli mówimy o ochronie, a nie zapobieganiu, dobrym pomysłem jest regularne tworzenie kopii zapasowych na wypadek, gdybyś padł ofiarą jednego z tych ataków. Osobiście polecam coś takiego jak Mega Sync, które aktualizuje się za każdym razem, gdy zapisujesz plik.

Phishing

W dzisiejszych czasach najprawdopodobniej spotkasz się z phishingowym oszustwem e-mailowym. Dlaczego? Bo jak chwytliwa melodia albo zapach wiosny, wszyscy jesteśmy podatni na ich urok. Ale jak rozpoznać phishing?

Ataki phishingowe są skuteczne ze względu na swoją wszechstronność. Czasami wykrycie phishingu nie jest trudne. Mogą być wszystkim: dosłownie wszystkim, co skłania kogoś do wpisania swoich danych osobowych. Pomyśl o dowolnym powodzie, dla którego możesz poczuć się zmuszony do udostępnienia swoich danych osobowych lub wysłania komuś pieniędzy, a ma on potencjał, by stać się phishingowym e-mailem.

Oto tylko kilka przykładów, i pamiętaj, kluczem do phishingu jest to, że wszystkie te e-maile wyglądają na prawdziwe, ale są fałszywe:

1. Powiadomienie o zresetowaniu hasła.

2. Uzupełnij brakujące dane bankowe.

3. Uzupełnij swój adres pocztowy, aby umożliwić dostawę.

4. Odnów swoją subskrypcję.

5. Wygrałeś konkurs!

6. Przyjaciel w potrzebie proszący o pomoc.

7. Powiadomienie o zwrocie podatku.

8. Prośba o datki charytatywne.

Jeśli nie widziałeś phishingowego oszustwa, to czy w ogóle jesteś rybką? Są tak wszechobecne, że trudno wyobrazić sobie e-mail bez nich. Ale jest więcej niż jeden sposób na phishing…

Spear phishing i whaling

Spear phishing i whaling są wymierzone w konkretne osoby, często z użyciem bardziej agresywnych taktyk.

Spear phishing wykorzystuje wiedzę osobistą, zwykle pozyskaną z kilku źródeł, do tworzenia bardziej przekonujących e-maili. Ponieważ jest pisany z użyciem danych osobowych, może odnosić się do prawdziwych znajomych, sytuacji, a nawet bardziej przekonująco podszywać się pod bank itp. Jeśli wydaje Ci się, że to mało prawdopodobne, pamiętaj, że większość ludzi ma w sieci więcej publicznie dostępnych informacji, niż im się wydaje.

Jeśli ktoś podszyłby się pod Twojego znajomego i wspomniał bardzo konkretne wydarzenie, w którym oboje uczestniczyliście dekadę temu, dlaczego miałbyś w to nie uwierzyć? Może minąć trochę czasu, zanim przypomnisz sobie, że szczegółowo opisałeś to na Facebooku i że ten post jest publicznie widoczny. Kiedy poprosi Cię o pożyczenie pieniędzy, być może wyciągniesz pomocną dłoń.

Wszyscy jesteśmy podatni na spear phishing, co czyni go bardziej niebezpiecznym niż bardziej oczywiste oszustwa. Jednym szczęśliwym zastrzeżeniem jest to, że poziom badań wymagany do skutecznego przeprowadzenia oszustwa spear phishingowego zniechęca większość oszustów. Łatwiej jest im postawić na masowy e-mail, na który odpowie mniej osób. Ale czy to właśnie tutaj AI wkroczy w przyszłości? Musimy zachować czujność.

Whaling

Czym więc jest whaling? Cóż, pod wieloma względami atak whalingowy jest właściwie taki sam jak spear phishing, ale jest specyficznie ukierunkowany na zamożne osoby, takie jak CEO.

Smutna rzeczywistość jest taka, że ich status sprawia zarówno, że bardziej opłaca się inwestować czas w atak na nich, jak i że inne czynniki (takie jak ich majątek, odpowiedzialność, brak czasu i szeroka sieć kontaktów) oznaczają istnienie kilku potencjalnych słabości do wykorzystania. Na przykład być może wystarczy przekonać asystenta lub sekretarkę, że mają aprobatę CEO. Wygląda więc na to, że komercyjny whaling to zawsze coś złego.

Jak chronić się przed spear phishingiem i whalingiem

Poza tym, co wymieniono w naszym ogólnym przewodniku powyżej, powinieneś także skonfigurować silną filtrację spamu. Czynnik ludzki to właśnie obszar, w którym phishingowe e-maile błyszczą. Jeśli malware to prosta sztuczka, to na pewnym poziomie phishing wymaga naszego współudziału. W końcu to my musimy oddać nasze informacje. Jak już omówiliśmy, robi to, odwołując się do naszej reakcji emocjonalnej.

Dlatego zapewnienie, że nigdy w ogóle się z tym nie zetkniemy, jest najsilniejszym sposobem walki z tym zagrożeniem. Filtry spamu szukają wielu elementów przy ocenie wiadomości e-mail, których my jako ludzie nie jesteśmy w stanie wychwycić. Porównują je z czarnymi listami, znanymi wzorcami zachowań, a nawet stosują metodę znaną jako filtrowanie bayesowskie. Porównuje ono treść e-maila ze znanym spamem i legalnymi wiadomościami, aby obliczyć prawdopodobieństwo, że jest to spam. Ponadto dobre filtry spamu uwzględniają to, co inni użytkownicy oznaczają jako spam, tworząc tak zwaną pętlę informacji zwrotnej od użytkowników.

Przejęty firmowy e-mail

Nieco różni się to od wszystkiego, co do tej pory omawialiśmy, ponieważ wychodzi z przeciwnej strony — z założenia, że legalne konto e-mail zostało przejęte. Nie musi to być konto firmowe, ale na potrzeby tego wpisu jest kilka ciekawszych czynników do omówienia, jeśli założymy, że tak jest.

Jeśli oszust może nielegalnie uzyskać dostęp do firmowego konta e-mail, może podszywać się pod pracowników, aby żądać środków, a nawet dostępu do innych wewnętrznych systemów, które mogą zawierać wrażliwe dane.

Przejęcie konta firmowego wykorzystuje także inną społeczną cechę obecną w wielu firmach, szczególnie większych: mało prawdopodobne, by każdy pracownik znał wszystkich pozostałych. To, w połączeniu z faktem, że od ludzi oczekuje się uprzejmości w środowisku pracy, oznacza, że takie e-maile mają dodatkowe atuty w porównaniu z kontami prywatnymi.

Jak się przed tym chronić

Dopilnowanie, aby wszyscy pracownicy korzystali z uwierzytelniania dwuskładnikowego (email 2FA) i wybierali silne hasła, znacznie zmniejsza ryzyko kradzieży/przejęcia kont. 2FA zapewnia, że właściciel konta zawsze będzie wiedział, jeśli ktoś spróbuje się włamać, a silne hasło utrudnia ataki brute-force.

Możesz także zmniejszyć prawdopodobieństwo przyszłych problemów, natychmiast dezaktywując konta pracowników, którzy odchodzą z firmy. Cmentarzysko nieużywanych kont, na których osiada kurz, to po prostu wypadek czekający, by się wydarzyć.

Fałszywe faktury

Jednym z motywów, które możesz zauważać, jest wykorzystywanie różnych skrajnych emocji. Do tej pory rozważaliśmy strach lub lekkomyślność dyrektora generalnego oraz rzekomą obojętność jednego pracownika wobec drugiego. Teraz spróbujmy gniewu.

Ktoś twierdzi, że jesteś mu winien pieniądze, i domaga się natychmiastowej spłaty. Jest zły, mówi rzeczy, które sprawiają, że zaczynasz wątpić we własne wspomnienia, albo tworzy sytuację, co do której nie możesz mieć pewności, że nie jest prawdziwa. Jad i gniew narastają, aż niemal wydaje się łatwiej po prostu mu zapłacić.

Dla wielu z nas może to nie wydawać się zbyt prawdopodobne, ale być może właśnie to jest w tym najgorsze: istnieje duża szansa, że „my” nie jesteśmy ich celem. Ich ofiarami będą osoby podatne na manipulację. Ci, którzy być może naprawdę nie pamiętają, albo bardziej ufają obcym.

Zapobieganie

Jeśli założymy, że my nie zapłacimy losowym fakturom, które otrzymujemy e-mailem, warto wykorzystać tę okazję, by zasugerować rozmowę z osobami w twoim otoczeniu, które mają mniejsze doświadczenie w internecie. Zapytaj ich, czy potrzebują pomocy w rozpoznawaniu oszustw, i wyjaśnij, że samo to, iż ktoś domaga się pieniędzy, nie oznacza, że jego roszczenie jest uzasadnione. W końcu musimy dbać o siebie nawzajem i nikt nie chce patrzeć, jak ktoś wpada prosto w oczywiste oszustwo.

Istnieją zasoby, do których możesz kierować ludzi, a które przeprowadzą ich przez to w przyjazny dla użytkownika sposób.

Spam a phishing a malware

Spam jest najmniej niebezpieczny z tej trójki. Marketingowcy i reklamodawcy wysyłają mnóstwo automatycznych wiadomości promujących oferty rabatowe i produkty. Choć usuwanie ich ze skrzynki odbiorczej jest uciążliwe, nie próbują one aktywnie ukraść Twoich pieniędzy ani zaszkodzić Twojemu komputerowi.

Phishing jest natomiast znacznie bardziej niebezpieczny. Te e-maile nakłaniają Cię do kliknięcia złośliwego linku, który prowadzi do fałszywej strony logowania zaprojektowanej w celu kradzieży poufnych informacji, takich jak nazwy użytkownika i hasła.

Malware często przychodzi ukryte jako niewinny załącznik w otrzymanej wiadomości e-mail. Po otwarciu może zainstalować na Twoim urządzeniu niebezpieczne programy, które rejestrują naciśnięcia klawiszy, kradną prywatne pliki lub blokują dostęp do całego systemu.

Kluczowa różnica:

• Spam próbuje Ci coś sprzedać.

• Phishing próbuje nakłonić Cię do ujawnienia swoich danych.

• Malware próbuje bezpośrednio zainfekować Twój komputer.

Ochrona siebie i innych

Mówiąc poważnie, niezależnie od tego, czy to spam, czy oszustwo, naprawdę nie ma się z czego śmiać. Ludzie naprawdę cierpią, tracą pieniądze albo później czują się głupio.

Zaproponowaliśmy kilka sposobów ochrony, ale tak naprawdę sprowadza się to do trzech rzeczy:

Włącz jak najwięcej zabezpieczeń

Cokolwiek oferuje Twój dostawca, czy to 2FA, automatycznie generowane hasła, czy nawet szyfrowanie — jak zwał, tak zwał. Skonfiguruj to. Po prostu sprawia to, że przejęcie Twojego konta jest trochę trudniejsze.

Wybierz dostawcę dbającego o bezpieczeństwo

Dostawca z silnym oprogramowaniem do zarządzania spamem i częstymi aktualizacjami zabezpieczeń to prawdopodobnie najlepsza forma stałej ochrony dla Twojej firmy. Większość opisanych przez nas oszustw zaczyna się i kończy na zarządzaniu spamem. Jeśli ich nigdy nie zobaczymy, nigdy nie staną się problemem.

Trzymaj rękę na pulsie

Oszustwa phishingowe nieustannie ewoluują. Ich celem jesteś Ty, a nie Twoja skrzynka odbiorcza, więc to Ty jesteś swoją najlepszą obroną.

Czy stosujesz jakieś praktyki, które pomagają Ci nie dać się nabrać na spam i oszustwa? Chętnie o nich usłyszymy! Zostaw swoje przemyślenia lub pytania w sekcji komentarzy poniżej