Podvodné e-mailové správy a phishing

Phishing je forma podvodu, pri ktorej sa útočník pokúša používateľa nalákať na kliknutie na odkaz alebo otvorenie prílohy, pričom sa vydáva za inú osobu alebo organizáciu, ktorú používateľ pozná alebo ktorej dôveruje.

Cieľom útočníka je podvodom získať od používateľa jeho prihlasovacie údaje, údaje o kreditných kartách alebo infikovať jeho počítač škodlivým kódom.

Phishingové správy často obsahujú znepokojujúce alebo lákavé vyhlásenia, ktoré majú vyprovokovať okamžitú reakciu, prípadne môžu hroziť následkami, ak neodpoviete.

Phishingový útok môže byť vedený prostredníctvom e-mailu, sms (smishing) alebo aj telefónnym volaním (vishing). Najčastejšie sa môžete stretnúť s e-mailovým phishingom zacieleným na používateľov nejakej služby (webmail, internetbanking, kuriérska spoločnosť), alebo na inú skupinu (zamestnancov, podnikateľov, študentov).

Spear phishing je cielený útok zameraný na konkrétneho používateľa, spravidla niekoho z manažmentu alebo finančného oddelenia, ktorého prístupové údaje, dáta alebo oprávnenia sú pre útočníka oveľa cennejšie. Útočník pri ňom používa veľmi dôveryhodnú komunikáciu, ktorú si dôkladne pripravil prieskumom svojho cieľa na sociálnych sieťach a verejných portáloch.

Sextortion je forma vydieračského e-mailu, v ktorom sa útočník vyhráža zverejnením intímnych záberov obete alebo jej histórie prezerania pornografických stránok, ak mu nebude zaplatené výkupné v bitcoinoch alebo poskytnutý ďalší sexuálny obsah. V správe môžu byť uvedené prihlasovacie údaje, často aj s uniknutým heslom, a tvrdenie, že počítač obete bol hacknutý, pri čom bol získaný prístup k súborom, kontaktom, sociálnym sieťam. Vydieranie je založené na tvrdení o získaní nahrávok z webkamery, na ktorej obeť sleduje pornografické stránky, a hrozbe ich zverejnenia. V skutočnosti útočník žiadnymi citlivými nahrávkami nedisponuje, len blafuje.

Prišla vám podorzivá správa alebo telefonát? Chcete si preveriť, či je správa pravá alebo podvodná? Kontaktujte nás .

Ako rozpoznať podvodné správy

Znaky podvodného e-mailu alebo správy

text v cudzom jazyku,
text s pravopisnými a štylistickými chybami (strojovo preložený),
text vyvolávajúci dojem ohrozenia alebo časovej tiesne,
text ohľadom zvýšenia kapacity, kvóty, predĺženia alebo odblokovania účtu,
výzva k zadaniu, overeniu alebo odoslaniu prihlasovacích údajov a hesiel,
výzva k prihláseniu sa alebo kliknutiu na potvrdzovací (aktivačný) odkaz, alebo k inej aktivite pôsobiaci ako odoslaný z dôveryhodného zdroja, bez predošlého vyžiadania príjemcom (napr. ak používateľ práve nie je v procese registrácie nejakej služby),
text žiadajúci potvrdenie, že poznáte daného (aj reálneho) používateľa,
požadovanie úhrady v kryptomene, vydieranie vymyslenou hrozbou (zverejnením údajných kompromitujúcich materiálov, často spojených s vymyslenou návštevou pornostránok),
text obsahujúci niektoré z vašich hesiel získané pri úniku databáz prihlasovacích údajov (ak toto heslo niekde používate, bezodkladne si ho zmeňte),
všeobecné oslovenie "vážený zákazník" pri správe cielenej na aktivitu konkrétneho jednotlivca,
prísľub neočakávanej alebo príliš dobrej odmeny,
príloha bez sprievodného textu,
príloha neočakávaného druhu od dôveryhodného odosielateľa.

Podvodný telefonát

Neznámy volajúci od vás požaduje inštaláciu softvéru alebo inú činnosť, či poskytnutie informácie pod zámienkou riešenia licenčného problému alebo problému s bezpečnosťou, blokovaním konta alebo prekročenia kapacity schránky.
Volajúci môže požadovať finančnú úhradu vo forme darčekových poukazov alebo kryptomeny.
Často komunikuje lámavou angličtinou, ale nie je vylúčené ani volanie v slovenskom jazyku.
Môže sa predstaviť ako zamestnanec známej spoločnosti, napr. Microsoft, banky, právnickej firmy, úradu alebo aj ako zamestnanec STU.
Meno môže byť vymyslené, ale pri cielenom útoku sa môže volajúci vydávať za skutočného zamestnanca inštitúcie.

Osvedčené postupy

Elektronická forma phishingu

Podvodný e-mail alebo podvodná stránka, na ktorú vás e-mail nasmeruje, môžu vizuálne vyzerať autenticky, na nerozoznanie od pravej stránky. Farby, logá aj text a jeho rozloženie môžu byť dokonalo skopírované z reálnej stránky. Pozornosť preto venujte hlavne adrese na ktorú vás smerujú odkazy, menu a adrese odosielateľa správy, štylizácii textu a kriticky zvážte obsah správy, či nemá znaky popísané vyššie.

Takto rozlíšite podvodnú adresu od pravej:

Pravá adresa stránky alebo odkazu zodpovedá reálnemu názvu, v názve hlavnej domény nie je nič pridané, žiadne písmeno nie je nahradené, doména nie je subdoménou cudzej domény (príklady podvodných doménových názvov: studa.sk, stubalogin.sk, stuba.sk.secure.net, gmai.com, outiook.com, zoznann.sk).
Pravá stránka používa protokol https:// a dôveryhodný certifikát vydaný na meno organizácie.
Prehliadače a poštoví klienti zobrazia v oblasti stavového riadku skutočnú adresu, na ktorú smeruje odkaz na stránke alebo v e-maili ešte predtým, než na neho kliknete. Porovnajte si, či text na ktorý klikáte zodpovedá tomuto náhľadu.
- Vyskúšajte si to na týchto odkazoch (všetky sú falošné):
  https://dm.mygls.sk/Account/Login?parcelNumber=801559709
  https://tatrabanka.sk
  Pre potvrdenie odoslania zásielky kliknite sem
  http://dhl.com/sk/platba/skutocnemeno@stuba.sk

Adresa odosielateľa pracovného e-mailu musí zodpovedať obvyklej konvencii pracovných mailov, napr. odosielateľ minedu@gmail.com nie je pravý, pretože veľké firmy a organizácie majú poštové schránky na vlastnej doméne - napr. v tvare: info@minedu.sk)

Ak vás napríklad e-mail v mene organizácie alebo banky vyzve k činnosti (prihlásenie, overenie, aktivácia a pod.), nevykonajte túto činnosť kliknutím na odkaz v e-mailovej správe ale otvorte si webovú stránku v prehliadači zadaním oficiálneho doménového mena (napr. stuba.sk, microsoft.sk, office.com, gmail.com). Tým sa vyhnete aj ťažko rozpoznateľným homografovým útokom, ktoré zamieňajú znaky za vizuálne podobné písmeno, napr. malé l a veľké i.

Moderní poštoví klienti, internetové prehliadače a antivírusové programy blokujú alebo označujú za podozrivé nebezpečné odkazy a súbory, nesnažte sa obísť tieto varovania. Udržujte svoj operačný systém, internetový prehliadač a antivírusový program vždy aktualizovaný.

Pravidelne si zálohujte svoje dáta.

Sexuálne vydieranie (sextortion)

Ak vám prišiel vydieračský e-mail žiadajúci výkupné v bitcoinoch za nezverejnenie sexuálnych nahrávok získaných pri údajnom hacknutí vášho počítača:

nekomunikujte s odosielateľom,
neplaťte výkupné,
nerobte si starosti a nepanikárte,
ak podvodná správa obsahuje vaše aktuálne heslo, bolo získané pri niektorom z veľkých únikov používateľských databáz, a je súčasťou hromadnej vydieračskej kampane - heslo si bezodkladne zmeňte,
nastavte si dvojfaktorovú autentifikáciu všade, kde je k dispozícii,
pri pochybnostiach sa poraďte s vašim IT oddelením alebo správu prepošlite na it.security@stuba.sk pre konzultáciu s CVT,
na správu nereagujte a zmažte ju.

Ak ste sa stali obeťou cieleného sexuálneho vydierania a útočník skutočne má vaše intímne fotografie:

zdôverte sa blízkej osobe, prípadne kontaktujte internetovú linku dôvery https://ipcko.sk,
podporu a ďalšie informácie nájdete aj na stránke https://www.stalosato.sk,
prerušte kontakt s útočníkom,
nemažte komunikáciu - slúži ako dôkaz,
kontaktujte políciu na čísle 158.

Telefonická forma phishingu (voice phishing, vishing)

Cez prijatý telefonický hovor nemáte žiadnu spoľahlivú možnosť overiť si pravosť identity volajúceho. Preto pre vylúčenie pochybností uskutočnite spätné zavolanie na číslo, ktoré je zverejnené v oficiálnom telefónnom zozname. Ak je volajúce číslo zahraničné, z iného mesta alebo nie je dohľadateľné na internete, považujte ho za podvodné a nevolajte naň.

Podozrivého volajúceho môžete tiež požiadať, aby vám jeho požiadavku poslal e-mailom alebo listom. Uveďte, že danú záležitosť nechcete riešiť telefonicky. Ak volajúci z akéhokoľvek dôvodu nebude chcieť poslať jeho požiadavku e-mailom alebo písomne, považujte jeho žiadosť za podvodnú. Ak vám požiadavku následne pošle e-mailom, poraďte sa s vašim IT oddelením alebo ju prepošlite na it.security@stuba.sk pre konzultáciu s CVT.

Ako sa chrániť pred falošnou technickou podporou:

Microsoft neposiela nevyžiadané e-mailové správy ani neuskutočňuje nevyžiadané hovory na to, aby od vás vyžadoval osobné či finančné informácie, prípadne vám poskytol technickú podporu na opravu počítača.
Akákoľvek komunikácia so spoločnosťou Microsoft musí začať od vás.
Ak sa zobrazí automaticky otváraná správa s telefónnym číslom, na toto číslo nevolajte. Chybové hlásenia a upozornenia od spoločnosti Microsoft nikdy neobsahujú telefónne číslo.
Neočakávanému volajúcemu nepovoľujte prístup na vzdialené ovládanie počítača a neprezrádzajte mu svoje prihlasovacie údaje.