„Tato zpráva je z webmailu středisko zpráv do všech webmail účet vlastníků. Jsme ukončit všechny nepoužívané e-mailových účtů vytvořit prostor pro nových účtů. Chcete-li zabránit svému účtu byly ukončeny, budete muset aktualizovat, že vyplnit odkaz.“ Pokud najdete podobný dárek ve své e-mailové schránce, někdo na vás zkouší phishingový útok.
Phishing, do češtiny překládaný i jako „rhybaření“, je pokus o získání přihlašovacích údajů, ať už do internetového bankovnictví nebo třeba do informačního systému. Obvykle se šíří e-mailem, není to ale obyčejná nevyžádaná pošta. „U klasického spamu nehrozí primární nebezpečí, nikdo se vás nesnaží přímočaře okrást nebo vám napadnout účet, pouze vám chce něco prodat,“ vysvětluje Jan Soukal z Computer Incident Response Teamu Masarykovy univerzity, který se zabývá řešením bezpečnostních incidentů v univerzitní počítačové síti. Rozdíl je i v tom, že phishingový útočník se snaží zastrašit. „Když vám někdo oznámí, že vypršela platnost vašeho účtu a máte rychle někam kliknout a obnovit si to, jste najednou pod tlakem,“ dodává Jan Vykopal ze stejného týmu. Když se ale uživatel nechá nachytat, útočník získá přístup k jeho účtu a může rozesílat phishingové maily z jeho adresy. Takový útok pak vypadá věrohodně a je mnohem snazší ulovit na něj další „rhyby“, jejichž přihlašovací údaje je možné zneužít.
Jak phishing rozpoznat?
„Pokud je zpráva napsána česky, tak je často strojově přeložená. Hlavně si ale uvědomte, že provozovatel ISu nebo vaše banka vám nikdy nepošle e-mail s žádostí, abyste někam vyplnili svoje heslo,“ upozorňuje Vykopal. Nespoléhejte ani na adresu odesílatele, neboť ji není těžké zfalšovat tak, aby vypadala důvěryhodně. „Přihlašujte se jenom na stránce, kterou znáte a na které jste zvyklí se přihlašovat. Pokud se ocitnete někde jinde, tak je to podezřelé, a pokud vám odkaz na takovou stránku přijde mailem, můžete jej rovnou smazat,“ radí Soukal.
V posledních týdnech je phishing čím dál větším problémem i na univerzitě. „Pokud se útočníkovi podaří z někoho vylákat přihlašovací údaje, phishing se pak šíří mezi lidmi, kteří spolu normálně komunikují, například v rámci fakulty nebo univerzity, a není v lidských silách to automaticky ani ručně detekovat. My se snažíme šíření zabránit, ale vždy jsme krok za útočníky,“ říká Soukal.
Bezpečnostní tým eviduje jen v prostředí univerzity několik případů napadených účtů měsíčně. Také proto spustil tým akci Phishing na vlastní kůži, neboť nejsilnějším prvkem, který může šíření phishingu zabránit, je právě uživatel. „Přihlášeným účastníkům zkoušíme poslat phishingové maily a vyprovokovat je k nějaké akci, jako to dělá typický útočník,“ popisuje Soukal. Uživatelé si mohou vyzkoušet vlastní odolnost vůči podvodným e-mailům. „Máme možnost zjistit, zda uživatel na naši podvodnou stránku přišel nebo jestli něco vyplnil, na rozdíl od skutečných podvodníků ale žádná data neukládáme,“ dodává. Navíc se nikdo nemusí bát, že by se v případě neúspěchu někde objevilo jeho jméno.
Zapojit se můžete přes web security.ics.muni.cz, kde jsou další tipy, jak se phishingu bránit.
