Phishing spersonalizowany

Istnieje również bardziej niebezpieczna odmiana phishingu, stanowiąca poważniejsze zagrożenie niż masowe ataki. Nazywamy go spear phishingiem – czyli phishingiem spersonalizowanym (ang. spear oznacza włócznię, co metaforycznie wskazuje na ukierunkowany, precyzyjny atak). Jest to rodzaj ataku socjotechnicznego, w którym przestępcy nie działają na oślep, lecz posiadają już pewne specyficzne informacje na temat celu (ofiary), i wykorzystują je celowo do wzbudzenia zaufania, stworzenia wiarygodnego kontekstu komunikacji oraz zmanipulowania osoby do wykonania pożądanych działań.

Kiedy przestępcy posiadają więcej szczegółowych informacji o potencjalnej ofierze – takich jak jej imię i nazwisko, stanowisko, nazwa firmy, relacje zawodowe, ostatnie transakcje, projekty czy nawet szczegóły z życia prywatnego – staje się im po prostu znacznie łatwiej przekonać ją do wykonania jakiegoś działania, którego od niej oczekują. Oszuści wykorzystują te dane, zgromadzone często z różnych źródeł (np. media społecznościowe, publiczne rejestry, poprzednie wycieki danych, strony internetowe firm), aby maksymalnie uwiarygodnić swoją tożsamość i intencje w oczach ofiary.

Ataki spear phishingowe są niezwykle skuteczne, ponieważ wiadomości są precyzyjnie dostosowane, eliminując typowe dla masowego phishingu podejrzenia. Przestępca, który wzbudza zaufanie i wykazuje się pozorną znajomością kontekstu lub nawet okazuje empatię, szybciej namówi nas do wykonania niebezpiecznego działania.

Możemy zostać przekonani np. do:

1. Zainstalowania złośliwego oprogramowania: Oszust, podszywając się pod pracownika wsparcia technicznego lub zaufanego partnera, może przekonać ofiarę, że oferuje jej pilne wsparcie techniczne w rozwiązaniu krytycznego problemu. W rzeczywistości nakłania do zainstalowania oprogramowania (np. fałszywej aplikacji do zdalnego pulpitu), które pozwoli przestępcy na przejęcie zdalnej kontroli nad komputerem ofiary, kradzież danych lub zaszyfrowanie plików w celu żądania okupu.

2. Przekazania poufnych informacji: Atak może polegać na wyłudzeniu haseł, danych finansowych lub kluczowych tajemnic handlowych poprzez przekierowanie na fałszywą stronę logowania (podszywającą się pod bank, system firmowy czy usługę chmurową), która wygląda identycznie jak oryginalna.

3. Wykonania przelewu pieniędzy: W szczególnie niebezpiecznej odmianie spear phishingu, zwanej whaling (atak na „grubą rybę”, czyli na kierownictwo), oszust podszywa się pod prezesa, dyrektora finansowego lub innego członka zarządu, nakłaniając pracownika działu finansowego do pilnego wykonania poufnego przelewu na konto kontrolowane przez przestępców, często pod pretekstem tajnej transakcji lub pilnej płatności.

Spear phishing jest metodą bardziej zaawansowaną i trudniejszą do wykrycia, ponieważ dąży do zminimalizowania wszelkich sygnałów alarmowych poprzez perfekcyjne dopasowanie komunikacji do profilu ofiary. Jest to technika szczególnie często stosowana w atakach na cele korporacyjne i rządowe.

Przykład:

Wyobraźmy sobie panią Annę, która na co dzień korzysta z bankowości elektronicznej. Pewnego popołudnia, w trakcie przeglądania skrzynki mailowej, jej uwagę przykuła wiadomość zatytułowana „Pilne: Zablokowanie konta bankowego! Wymagana natychmiastowa weryfikacja”.

Wiadomość wyglądała bardzo oficjalnie, prawie jak prawdziwa wiadomość od banku. Jej szata graficzna, logotypy, a nawet stopka z adresem i numerami kontaktowymi do złudzenia przypominały autentyczne komunikaty, do których Pani Anna była przyzwyczajona. Co więcej, w polu nadawcy wskazana była nazwa banku, którego klientem jest Pani Anna. Sprawiało to wrażenie, że wiadomość faktycznie pochodzi od zaufanej instytucji finansowej. Treść wiadomości informowała o rzekomej próbie nieautoryzowanego dostępu do konta Pani Anny i konieczności jego natychmiastowego zablokowania w celu ochrony środków. Aby „przywrócić pełną funkcjonalność” i zapobiec trwałemu zablokowaniu dostępu, Pani Anna została poproszona o kliknięcie w załączony link i potwierdzenie swojej tożsamości oraz danych dostępowych.

Przestraszona wizją utraty dostępu do swoich pieniędzy i chcąc jak najszybciej rozwiązać problem, kliknęła w link i podała swoje dane, w tym login i hasło do bankowości internetowej, na stronie, która była idealną kopią witryny banku. Nie zauważyła subtelnych różnic w adresie strony (URL) ani innych, mniej oczywistych sygnałów ostrzegawczych. Uwierzyła, że działa zgodnie z instrukcjami swojego banku, aby zapewnić bezpieczeństwo swoich finansów. Po wprowadzeniu danych na ekranie pojawił się komunikat o „pomyślnej weryfikacji” i obietnica przywrócenia dostępu w ciągu kilku minut. Pani Anna poczuła ulgę, nie zdając sobie sprawy, że właśnie padła ofiarą ataku phishingowego, a jej poufne dane trafiły w ręce cyberprzestępców. Dopiero po kilku godzinach, gdy otrzymała powiadomienie SMS o dużej transakcji wychodzącej, zrozumiała, że została oszukana.

Źródło obrazu:

https://www.bankier.pl/wiadomosc/Kolejna-fala-phishingu-na-celowniku-PKO-BP-7219297.html