Vysvětlení e-mailových hrozeb: phishing, malware, spam, spear phishing a whaling

E-mailové hrozby mají mnoho podob, ale obvykle jde o škodlivé zprávy, jejichž cílem je přimět vás k odeslání peněz, sdílení finančních údajů nebo poskytnutí informací o firmě. Sahají od obtěžujících věcí, jako je spam, malware a viry, až po cílené útoky s obrovskými finančními dopady, jako jsou spear phishing, whaling a kompromitace firemního e-mailu. 

Některé jsou tak očividné, že jsou až směšné - do zamaskování podvodu nebylo vloženo vůbec žádné úsilí.

Ale nemyslete si, že jsou všechny takové. E-mailové podvody jsou čím dál zákeřnější a kreativnější. Jsou to přesně ty, na které by se i ten nejzkušenější příslušník generace Z, který vyrůstal s iPadem, podíval dvakrát, než by si uvědomil, o co jde. A kdyby nebyly tak ďábelské, možná byste dokonce ustoupili o krok zpět a obdivovali ten přístup. Ukážeme vám, jak rozpoznat phishing a další běžné e-mailové podvody a jak se před nimi chránit.

Co jsou e-mailové hrozby?

Namísto snahy prolomit silné digitální firewally cílí e-mailové hrozby na skutečné lidi. Cílem je přimět vás kliknout na škodlivý odkaz nebo prozradit své heslo. Jakmile to uděláte, útočníci mají ideální pozici ke krádeži peněz, instalaci virů do vašeho počítače nebo krádeži vaší identity a přesunu na větší cíl. 

Proč e-mailové hrozby existují?

E-mailové hrozby existují proto, že přestože je e-mail jednou z nejoblíbenějších metod komunikace na světě, ve skutečnosti není až tak bezpečný. Téměř každá firma na světě komunikuje e-mailem a ke kontaktování jakéhokoli zaměstnance potřebujete jen jeho e-mailovou adresu. Odtud už je pro zkušeného útočníka snadné zmanipulovat si cestu dovnitř. Je to proto, že: 

1. Každý má e-mailovou adresu: E-maily fungují jako veřejná poštovní schránka. Kdokoli s připojením k internetu může poslat zprávu přímo do vašeho telefonu nebo počítače.

2. E-mail je starý: Základní technologie e-mailu byla vytvořena před desítkami let s vestavěnou důvěrou. Automaticky neověřuje, zda je odesílatel skutečně tím, za koho se vydává.

3. Lidi lze snadno oklamat: Útočníci se mohou vydávat za manažera, který požaduje naléhavou laskavost. Navíc nástroje AI mohou podvodníkům pomoci psát věrohodné zprávy bez chyb. 

4. Levné a výnosné: Odeslání milionů e-mailů nic nestojí. Stačí, aby na trik naletěla jediná osoba, a podvodník může ukrást tisíce dolarů.
   

Různé druhy e-mailových hrozeb 

1. Phishing – nejběžnější typ e-mailové hrozby. Útočníci rozesílají hromadné e-maily vydávající se za populární značky, jako jsou Netflix, Google nebo vaše banka, aby vás přiměli kliknout na odkaz, který otevře falešný web, kde zadáte své heslo.
   

2. Business email compromise (BEC) – podvodníci se vydávají za CEO, manažera nebo důvěryhodného obchodního partnera a snaží se přesvědčit někoho z finančního oddělení, aby převedl peníze přímo na bankovní účet podvodníka.
   

3. Malware a ransomware – při tomto útoku e-mail obsahuje skrytý virus. Pokud soubor otevřete, stáhne software, který ukradne vaše soubory nebo zablokuje celý váš počítač, dokud nezaplatíte výkupné.
   

4. Spoofing a vydávání se za někoho jiného – útočníci změní pole „Od“ v e-mailu tak, aby to vypadalo, že přišel od někoho, komu důvěřujete. Mohou zaměnit písmena za čísla nebo registrovat domény, které vypadají téměř stejně jako skutečné názvy firem.
   

5. QR Code Phishing ("Quishing") –  útočníci posílají e-maily obsahující QR kód uvnitř přílohy PDF.Attackers. Jakmile kód naskenujete fotoaparátem svého smartphonu, odvede vás od bezpečnostních nástrojů počítače na falešnou přihlašovací stránku, kde vás e-mailové filtry nemohou zachránit. 

Krátký návrat do minulosti

Mnozí z nás si pamatují úplné začátky e-mailových podvodů — zlaté časy, kdy jsme byli naivnější, ale zároveň méně důvěřovali e-mailům. Když jsme dostali podvodnou zprávu, četli jsme ji se zmateným zájmem a snažili se přijít na to, proč si odesílatel myslí, že jsme právě my ta správná osoba, na kterou se obrátit o pomoc.

Kdo si pamatuje na The Spanish Prisoner? Nešťastná duše s velkým bohatstvím, která zoufale potřebovala naši pomoc se zaplacením výkupného, aby mohla být propuštěna z vězení. Zábavné je, že tento podvod ve skutečnosti předchází e-mailu a pochází z počátku 19. století. Nějaký odvážný internetový surfař se ho zjevně rozhodl digitalizovat.

V dnešní době e-mailové podvody mnohem více využívají silné stránky svého digitálního formátu. Na rozdíl od některých původních podvodů využívají výhody, které internet v průběhu let začal nabízet — například možnost snadno zpracovávat platby online, větší závislost na e-mailu pro naši nejdůležitější komunikaci a vývoj sociálních sítí, abychom jmenovali alespoň některé.

Běžné znaky phishingového e-mailu

Než se podíváme blíže na různé typy e-mailových podvodů, podělíme se o několik obecných pravidel, která vám mohou pomoci identifikovat e-mailový podvod/spam — protože všechny mají společné prvky — odesílatele, předmět, text zprávy a možná především potřebu, aby byly přečteny a aby jim bylo uvěřeno.

Název společnosti/odesílatele

Dávejte si pozor na:

1. Překlepy nebo nesprávnou stylizaci — Paypal vs. PayPal.

2. Něco, co působí příliš popisně nebo nepravděpodobně — AA Car Emergency vs. AA.

3. Společnosti, u kterých nenakupujete / se kterými nejednáte — Zpráva od Barclays, když bankujete u Lloyds.

4. Cokoli, co se zdá zvláštní — Od symbolů a bizarně pojmenovaných společností až po podivné mezery — někdy je na odesílateli prostě něco špatně.

E-mailová adresa odesílatele

Dávejte si pozor na:

1. Nesourodou e-mailovou adresu — Něco, co je v rozporu s názvem společnosti.

2. Napodobeniny — Adresu navrženou tak, aby vypadala jako skutečná firma. Může jít o doménu (@paypalcare.com) nebo TLD (@paypal.club).

3. Chyby— Překlepy nebo jiné nesrovnalosti v adrese.

Předměty zpráv

Dávejte si pozor na:

1. Formulace navržené tak, aby vyvolaly naléhavost — „Varování: Poslední výzva k platbě“.

2. Přehnaně slibný jazyk — „Vydělejte 1000 liber za pět minut“.

3. Jazyk vyvolávající silnou emocionální reakci — „Jste přijati! Nastupte zítra!“

4. Překlepy — Podvodníci nejsou známí svou dobrou gramatikou.

5. Nadměrné používání interpunkce nebo emoji — Skutečné firmy je používají jen zřídka.

6. Přítomnost „Re“ — Může být použito k naznačení, že jste již dříve odpověděli, i když jste neodpověděli.

7. Tlačítka a přílohy— Vždy se vyhněte klikání na tlačítka nebo stahování příloh v podezřelých e-mailech.

Text zprávy

Dávejte si pozor na:

1. Neuvěřitelné sliby— Podobně jako u předmětu zprávy, ale v textu je více prostoru pro rozvedení, což dává příležitost udělat lži přesvědčivějšími.

2. Výzvy k akci, které požadují osobní údaje — Zejména adresu nebo údaje o kartě.

3. Odkazy na cokoli, co si nepamatujete— Od událostí po služby, které jste nikdy neobdrželi

4. Vydávání se za někoho jiného— Někdo tvrdí, že je váš přítel nebo příbuzný, ale nezní jako on sám.

Teď, když máte základní představu o tom, jak mohou podvodníci manipulovat s různými částmi e-mailu, podívejme se na konkrétní příklady.

Typy e-mailových hrozeb

Malware

Pro mnohé z nás byly malware útoky pravděpodobně prvním druhem škodlivého e-mailu, kterého jsme se skutečně báli. Tehdy jsme jim nejspíš prostě říkali e-mailové viry. Otevřete to, obrazovka zčerná. Konec hry. Tak nějak.

Ve skutečnosti malware zahrnuje širokou škálu škodlivých útoků — a některé z nich jsou upřímně řečeno o dost děsivější než rychlá smrt počítače.

Sledování stisků kláves? Vytěžování vašeho CPU bez vašeho vědomí? Špehování? Vynucování pochybných reklam, které vyskakují každých pět minut? Ano, malware zahrnuje širokou škálu malých programů, které se bez vašeho vědomí usazují ve vašem počítači, a jejich funkce sahají od věcí spojovaných s nekalými vtipálky až po plnohodnotné zločince. Jsou nenápadné a často je těžké se jich zbavit — pokud vůbec víte, že tam jsou.

Jak odhalit malware

Pokud se u vás projevuje některý z výše uvedených příznaků, je velká šance, že jde o malware. Mohl pocházet z e-mailu — ale ne nutně. Existují i jiné způsoby, jak se tyto programy mohou dostat do vašeho počítače — stahování, pochybné weby a dokonce i škodlivá hardwarová zařízení. Pokud někdy najdete na ulici USB disk, nezjišťujte, co na něm je.

Chraňte se před malwarem

S rizikem, že řekneme něco zjevného, vyzkoušejte software pro detekci malwaru. Ale vyberte si něco důvěryhodného.

Když si vygooglíte, jak malwaru vůbec předcházet, hlavní rada zní nainstalovat antivirový software. Osobně neznám nikoho, kdo by to dělal od konce 10. let 21. století, ale kdo jsem já, abych odporoval veškerému lidskému poznání a masové zkušenosti homogenizované do jednořádkové odpovědi od Gemini, naservírované ve zlomkuzlomku sekundy?

To znamená, že ochrana před hrozbami, kterou nabízejí operační systémy, je obecně lepší než v počátcích, zejména Windows se aktualizuje, aby chránil před hrozbami, ale co je důležitější, spousta e-mailového softwaru odvádí práci za nás tím, že odfiltruje podezřelé e-maily dříve, než se k nám dostanou.

Je dobré najít poskytovatele e-mailu, který podporuje kvalitní ochranu proti malwaru a skenuje vaše e-maily ještě předtím, než se k vám dostanou. To je obzvlášť užitečné, pokud jde o vyhýbání se psychologickým útokům (a k těm se za chvíli dostaneme).

Pokud mluvíme o ochraně, nikoli prevenci, je dobré pravidelně zálohovat pro případ, že se stanete obětí některého z těchto útoků. Osobně doporučuji něco jako Mega Sync, který se aktualizuje pokaždé, když soubor uložíte.

Phishing

V dnešní době se s největší pravděpodobností setkáte s phishingovým e-mailovým podvodem. Proč? Protože stejně jako chytlavá melodie nebo vůně jara jsme všichni náchylní k jejich kouzlu. Jak ale můžete phishing rozpoznat?

Phishingové útoky jsou účinné díky své všestrannosti. Někdy není těžké phishing odhalit. Mohou být čímkoli: doslova čímkoli, co někoho přiměje zadat své osobní údaje. Představte si jakýkoli důvod, proč byste mohli cítit potřebu sdílet své osobní údaje nebo někomu poslat peníze, a má to potenciál stát se phishingovým e-mailem.

Zde je jen několik příkladů a mějte na paměti, že klíčem k phishingu je to, že všechny tyto e-maily vypadají skutečně, ale jsou falešné:

1. Oznámení o resetování hesla.

2. Doplňte chybějící bankovní údaje.

3. Doplňte svou poštovní adresu pro umožnění doručení.

4. Obnovte své předplatné.

5. Jste výhercem soutěže!

6. Přítel v nouzi žádající o pomoc.

7. Oznámení o vrácení daně.

8. Žádost o charitativní dary.

Pokud jste ještě neviděli phishingový podvod, jste vůbec ryba? Jsou tak všudypřítomné, že je těžké si bez nich e-mail představit. Ale existuje více než jeden způsob, jak phishing provozovat…

Spear phishing a whaling

Spear phishing a whaling cílí na konkrétní osoby, často agresivnějšími taktikami.

Spear phishing využívá osobní znalosti, obvykle získané z několika zdrojů, k vytváření přesvědčivějších e-mailů. Protože je psán s využitím osobních informací, může přesvědčivěji odkazovat na skutečné přátele, situace nebo se dokonce vydávat za banku apod. Pokud si myslíte, že je nepravděpodobné, aby se to stalo právě vám, mějte na paměti, že většina lidí má online více veřejně dostupných informací, než si uvědomuje.

Kdyby se někdo vydával za vašeho přítele a zmínil velmi konkrétní událost, které jste se oba zúčastnili před deseti lety, proč byste tomu nevěřili? Může chvíli trvat, než si vzpomenete, že jste o tom podrobně psali na Facebooku a že je ten příspěvek veřejně viditelný. Když vás pak požádají o půjčku, možná jim pomůžete.

Všichni jsme náchylní ke spear phishingu, což ho činí nebezpečnějším než zjevnější podvody. Jedinou šťastnou výhradou je, že úroveň průzkumu potřebná k úspěšnému provedení spear phishingového podvodu většinu podvodníků odrazuje. Je snazší vsadit na hromadný e-mail, na který odpoví méně lidí. Ale není právě tady místo, kde v budoucnu nastoupí AI? Musíme zůstat ostražití.

Whaling

Takže, co je whaling? V mnoha ohledech je whalingový útok v podstatě stejný jako spear phishing, ale je specificky zaměřen na bohaté jednotlivce, jako jsou CEO.

Smutnou realitou je, že jejich postavení z nich dělá lepší cíle, do kterých se vyplatí investovat čas, a další faktory (jako jejich bohatství, odpovědnost, nedostatek času a široká síť kontaktů) znamenají, že existuje několik potenciálních slabin, které lze zneužít. Například možná stačí přesvědčit asistenta nebo sekretářku, že mají CEO schválení. Zdá se tedy, že komerční whaling je vždy špatná věc.

Jak se chránit před spear phishingem a whalingem

Kromě toho, co je uvedeno v našem obecném průvodci výše, byste si měli také nastavit silné filtrování spamu. Lidský faktor je skutečně tím, v čem phishingové e-maily vynikají. Jestliže je malware jednoduchý trik, pak phishing na určité úrovni vyžaduje naši spoluúčast. Koneckonců musíme své informace sami vydat. Jak jsme si řekli, dělá to tím, že se odvolává na naši emocionální reakci.

Nejsilnějším způsobem boje proti tomu je tedy zajistit, abychom s tím vůbec nepřišli do kontaktu. Spam filtry při posuzování e-mailu sledují více prvků, které my lidé nedokážeme. Porovnávají blacklisty, známé vzorce chování a dokonce i metodu známou jako bayesovské filtrování. Ta porovnává obsah e-mailu se známým spamem a legitimními e-maily, aby vypočítala pravděpodobnost, že jde o spam. Dobré spam filtry také zohledňují, co ostatní uživatelé označují jako spam, čímž vytvářejí takzvanou smyčku zpětné vazby od uživatelů.

Kompromitovaný firemní e-mail

Tohle je trochu odlišné od všeho, na co jsme se dosud dívali, protože to přichází z opačného úhlu — z představy, že legitimní e-mailový účet byl kompromitován. Nemusí jít o firemní účet, ale pro účely této položky je zajímavější mluvit o některých faktorech, pokud si představíme, že jím je.

Pokud podvodník nezákonně získá přístup k firemnímu e-mailovému účtu, může se vydávat za zaměstnance a žádat o finanční prostředky nebo dokonce o přístup k dalším interním systémům, které mohou obsahovat citlivá data.

Kompromitace firemního účtu také těží z další společenské zvláštnosti, která je vlastní mnoha firmám, zejména těm větším: Je nepravděpodobné, že každý zaměstnanec zná všechny ostatní. To v kombinaci s tím, že se od lidí v pracovním prostředí očekává zdvořilost, znamená, že tyto e-maily mají oproti soukromým účtům další výhody.

Jak se proti tomu chránit

Zajištění toho, aby všichni zaměstnanci používali dvoufaktorové ověřování (email 2FA) a volili silná hesla, výrazně snižuje riziko odcizených/napadených účtů. 2FA zajišťuje, že držitel účtu bude vždy vědět, pokud se někdo pokusí proniknout dovnitř, a silné heslo ztěžuje útoky hrubou silou.

Pravděpodobnost budoucích problémů můžete také snížit tím, že okamžitě deaktivujete účty zaměstnanců, kteří firmu opustí. Hřbitov nepoužívaných účtů, na které sedá prach, je jen nehoda čekající na svou příležitost.

Falešné faktury

Jedním z motivů, kterých si možná všímáte, je zneužívání různých emočních krajností. Dosud jsme se zabývali strachem nebo neopatrností generálního ředitele a domnělou lhostejností jednoho zaměstnance vůči druhému. Teď se podívejme na hněv.

Někdo tvrdí, že mu dlužíte peníze, a požaduje okamžité splacení. Je rozzlobený, říká věci, kvůli kterým začnete pochybovat o vlastních vzpomínkách, nebo vytváří situaci, u které si nemůžete být jistí, že není skutečná. Zášť a hněv pokračují, až se téměř zdá jednodušší jim zaplatit.

Mnohým z nás to nemusí připadat příliš pravděpodobné, ale možná je na tom to nejhorší právě tohle: Je pravděpodobné, že „my“ nejsme jejich cílem. Úspěšní budou u zranitelných lidí. U těch, kteří si to možná opravdu nepamatují nebo více důvěřují cizím lidem.

Prevence

Pokud budeme předpokládat, že my nezaplatíme náhodné faktury, které dostaneme e-mailem, možná stojí za to využít této příležitosti a navrhnout rozhovor s lidmi ve vašem okolí, kteří mají méně zkušeností online. Zeptejte se jich, zda nepotřebují pomoc s rozpoznáním podvodů, a vysvětlete jim, že to, že někdo požaduje peníze, ještě neznamená, že je jeho nárok oprávněný. Koneckonců se musíme navzájem chránit a nikdo nechce vidět, jak někdo bez váhání naletí na zjevný podvod.

Existují zdroje, na které můžete lidi odkázat a které je tím provedou uživatelsky přívětivým způsobem.

Spam vs phishing vs malware

Spam je z těchto tří nejméně nebezpečný. Marketéři a inzerenti posílají obrovské množství automatizovaných zpráv propagujících slevové nabídky a produkty. I když je otravné je mazat z doručené pošty, aktivně se nesnaží ukrást vaše peníze ani poškodit váš počítač.

Phishing je naopak mnohem nebezpečnější. Tyto e-maily vás přimějí kliknout na škodlivý odkaz, který vás zavede na falešnou přihlašovací stránku navrženou ke krádeži citlivých informací, jako jsou vaše uživatelská jména a hesla.

Malware často přichází zamaskovaný jako neškodná příloha v e-mailu, který obdržíte. Po otevření může do vašeho zařízení nainstalovat nebezpečné programy, které zaznamenávají stisky kláves, kradou vaše soukromé soubory nebo vám zablokují přístup k celému systému.

Hlavní rozdíl:

• Spam se vám snaží něco prodat.

• Phishing se vás snaží přimět, abyste prozradili své údaje.

• Malware se snaží přímo infikovat váš počítač.

Jak chránit sebe i ostatní

Vážně řečeno, ať už jde o spam nebo podvod, rozhodně to není nic k smíchu. Lidé jsou skutečně poškozeni, přicházejí o peníze nebo se potom cítí hloupě.

Navrhli jsme několik způsobů, jak se chránit, ale ve skutečnosti se to dá shrnout do tří věcí:

Zapněte co nejvíce zabezpečení

Ať už váš poskytovatel nabízí cokoli, ať už je to 2FA, automaticky generovaná hesla nebo dokonce šifrování — prostě cokoli. Nastavte si to. Jen to váš účet o něco více ztíží unést.

Vyberte si poskytovatele zaměřeného na bezpečnost

Poskytovatel s výkonným softwarem pro správu spamu a častými bezpečnostními aktualizacemi je pravděpodobně vaší nejlepší formou průběžné ochrany jako firmy. Většina podvodů, které jsme popsali, začíná i končí správou spamu. Pokud je nikdy neuvidíme, nikdy nepředstavují problém.

Mějte přehled o dění

Phishingové podvody se neustále vyvíjejí. Cílí na vás, ne na vaši doručenou poštu, takže vy sami jste svou nejlepší obranou.

Používáte nějaké postupy, které vám pomáhají nenaletět spamu a podvodům? Rádi si je poslechneme! Zanechte své názory nebo otázky v sekci komentářů níže