Phishing to wiadomość, która udaje, że pochodzi od kogoś zaufanego, na przykład z banku, od firmy kurierskiej, pracodawcy lub znajomego, żebyś kliknął(-a) link, otworzył(-a) plik albo podał(-a) hasło. Trafia do Ciebie e-mailem, SMS-em, w komunikatorach i podczas rozmów telefonicznych. Takie wiadomości bywają przekonujące, ale mają kilka wspólnych cech.
Czego zwykle chce wiadomość phishingowa?
Niemal każda wiadomość phishingowa chce jednej z trzech rzeczy. Chce, żebyś zalogował(-a) się na stronie kontrolowanej przez nadawcę, otworzył(-a) załącznik instalujący coś szkodliwego albo wysłał(-a) pieniądze lub informacje z powodu wymyślonego problemu. Historia wokół prośby się zmienia, ale cel pozostaje ten sam.
Do najczęstszych historii należą zablokowane konto, niedoręczona przesyłka, nieopłacona faktura, nieoczekiwany zwrot pieniędzy, nagroda albo krewny, który ma kłopoty i potrzebuje pilnej pomocy. Każdą wiadomość z prośbą o hasło, kod weryfikacyjny, płatność lub kopię dokumentu tożsamości traktuj jako coś, co trzeba sprawdzić, zanim cokolwiek zrobisz.
Po czym poznać wiadomość phishingową?
Żaden pojedynczy sygnał nie dowodzi, że wiadomość jest fałszywa, a dobre fałszerstwa potrafią uniknąć ich wszystkich. Mimo to warto za każdym razem sprawdzić:
Presję. Wiadomość mówi, że masz kilka godzin, że konto zostanie zamknięte albo że stanie się coś złego, jeśli poczekasz.
Adres nadawcy, który jest podobny, ale błędny, na przykład z zamienioną literą lub dodatkowym słowem w domenie.
Link, którego widoczny tekst nie zgadza się z miejscem docelowym. Na komputerze możesz najechać na niego kursorem, a na telefonie nacisnąć go i przytrzymać, aby zobaczyć adres.
Nieoczekiwany załącznik, zwłaszcza plik zip, nieznaną fakturę lub plik, który prosi o włączenie makr.
Prośbę o płatność kartami podarunkowymi, kryptowalutami lub przelewem na nowe konto.
Co zrobić, zanim klikniesz?
Zatrzymaj się i zwolnij. Nadawca liczy na presję, więc kilka minut spokoju odbiera mu sporą część przewagi. Nie odpowiadaj, nie dzwoń pod numer podany w wiadomości i nie otwieraj linku ani załącznika.
Następnie sprawdź informację inną, zaufaną drogą. Otwórz aplikację firmy lub sam(-a) wpisz jej adres w przeglądarce i poszukaj tego samego komunikatu na swoim koncie. Zadzwoń pod numer z karty lub z oficjalnej strony firmy. Jeśli wiadomość wygląda na pochodzącą od współpracownika lub krewnego, skontaktuj się z nim w inny sposób, na przykład telefonicznie, i zapytaj, czy ją wysłał.
Dlaczego SMS-y i rozmowy też są częścią phishingu?
Phishing nie ogranicza się do e-maila. Częste są SMS-y o paczkach, opłatach drogowych czy alertach bankowych, a także telefony od osób podających się za pracowników banku lub pomocy technicznej. Dzwoniący może sprawić, że numer na ekranie będzie wyglądał niemal dowolnie, więc wyświetlony numer niczego nie dowodzi.
Prawdziwy bank nie poprosi o przelanie pieniędzy na „bezpieczne konto”, a prawdziwa pomoc techniczna nie zapyta o kod, który właśnie dotarł na Twój telefon. Jeśli rozmówca wywiera presję czasu, rozłącz się i oddzwoń, korzystając z numeru, który sam(-a) znalazłeś(-aś). To samo dotyczy wiadomości głosowych oraz próśb o pieniądze wysyłanych z przejętego konta znajomego.
Co zrobić, jeśli już kliknięto lub wpisano hasło?
Zdarza się to także ostrożnym osobom, a szybkie działanie naprawdę ma znaczenie. Wykonaj te kroki po kolei:
Odetnij problem. Jeśli otworzyłeś(-aś) plik i podejrzewasz, że coś uruchomił, wyłącz połączenie z siecią na tym urządzeniu i nie włączaj go, dopóki nie zostanie sprawdzone.
Zmień hasło do konta, którego dotyczy sprawa, najlepiej na innym urządzeniu. Jeśli to samo hasło było użyte gdzie indziej, zmień je także tam.
Włącz weryfikację dwuetapową, najlepiej z kluczem dostępu (passkey) lub aplikacją uwierzytelniającą, i wyloguj inne sesje w ustawieniach konta.
Jeśli podałeś(-aś) dane karty lub konta bankowego, od razu skontaktuj się z bankiem. Poproś o zablokowanie karty lub monitorowanie nietypowej aktywności.
Poszukaj zmian, których nie wprowadzałeś(-aś), takich jak nowe reguły przekazywania w poczcie, nowe adresy odzyskiwania lub nieznane logowania.
Zgłoś wiadomość serwisowi, pod który się podszywała, i poinformuj znajomych, jeśli z konta wysyłano wiadomości w Twoim imieniu.
Jak ograniczyć szkody, jakie może wyrządzić phishing?
Nie powstrzymasz każdej wiadomości przed dotarciem do Ciebie, dlatego celem jest ograniczenie szkód, gdy jedna się przedrze. Używaj innego hasła do każdego konta i trzymaj je w menedżerze haseł, który dodatkowo pomaga, bo nie uzupełni hasła na stronie z niewłaściwym adresem. Klucze dostępu idą dalej, ponieważ nie da się ich w ogóle wpisać na fałszywej stronie.
Aktualizuj telefon i aplikacje oraz uważaj na aplikacje i pliki spoza oficjalnych sklepów. Ogranicz to, co przechowujesz w miejscach, które otwiera jedno skradzione hasło. Kopie paszportu, dokumentów podatkowych czy umów nie muszą leżeć w skrzynce e-mail, gdzie jedna udana wiadomość phishingowa mogłaby ujawnić je wszystkie.
Tu może pomóc Revault. Przechowuje zdjęcia, dokumenty i pliki w zaszyfrowanym sejfie na Twoim urządzeniu, bez konta Revault, które dałoby się wyłudzić. Nie powstrzyma to wysłania fałszywej wiadomości do Ciebie, ale trzyma najwrażliwsze pliki z dala od skrzynki i kont w chmurze. Żadne narzędzie nie zastąpi rozsądku, więc najlepszy nawyk jest prosty: gdy wiadomość żąda czegoś pilnego, najpierw sprawdź to inną drogą.