Phishing jest bez wątpienia jedną z najpopularniejszych metod wykorzystywanych przez cyberprzestępców do przeprowadzania złośliwych ataków, niezależnie od tego, czy chcą oni wykraść czyjąś tożsamość, czy też rozprzestrzeniać złośliwe oprogramowanie. Od momentu pojawienia się phishingu ten wektor ataku tylko zyskuje na popularności — i nie wygląda na to, żeby miał wkrótce zniknąć.
Spis treści
- Jak działa smishing?
- Najczęstsze tematy wykorzystywane w atakach smishingowych
- Jak chronić się przed atakami smishingowymi
- Nie daj się nabrać
Anti-Phishing Working Group (której członkiem jest firma Avast) to organizacja non-profit, która od 2003 roku pomaga w walce z phishingiem. W swoim najnowszym raporcie kwartalnym grupa odnotowała 877 536 ataków phishingowych.
Dzisiaj chciałbym poruszyć temat rodzaju phishingu, o którym nie mówi się zbyt często, mimo że w ostatnich latach zyskał on dużą popularność wśród cyberprzestępców: smishing.
Smishing, czyli phishing za pośrednictwem SMS-ów, jest popularną taktyką wśród cyberprzestępców, ponieważ wykorzystuje powszechne stosowanie wiadomości tekstowych. Wykorzystuje on również zaufanie, jakim ludzie darzą wiadomości tekstowe pochodzące z zaufanych źródeł, takich jak banki czy agencje rządowe. Ponadto SMS-y mają wyższy wskaźnik otwarć w porównaniu z e-mailami, co zwiększa prawdopodobieństwo, że ofiary zobaczą wiadomość smishingową i na nią odpowiedzą.
Jak działa smishing?
Taktyki stosowane w tych wiadomościach są podobne do oszustw e-mailowych. Wiadomości tekstowe często budują poczucie pilności i starają się sprawiać wrażenie, że czas ma kluczowe znaczenie, co może zwiększyć prawdopodobieństwo, że ofiara podejmie natychmiastowe działania bez zastanowienia. W połączeniu z wysokim wskaźnikiem otwarć (niektóre badania marketingowe szacują wskaźnik otwarć SMS-ów nawet na 98%) jasno wyjaśnia to, dlaczego ten wektor ataku jest atrakcyjny dla cyberprzestępców.
Kolejną zaletą dla cyberprzestępców jest to, że większość filtrów spamu została stworzona w celu wykrywania i blokowania wiadomości phishingowych, a nie SMS-ów. Dodatkową korzyścią dla cyberprzestępców jest to, że SMS-y są otwierane na urządzeniach mobilnych, które – choć często są uważane przez użytkowników za bezpieczniejsze – mają znacznie mniejszą liczbę urządzeń chronionych oprogramowaniem antywirusowym niż komputery osobiste (na których ludzie są bardziej świadomi ryzyka związanego z brakiem ochrony).
Najczęstsze tematy wykorzystywane w atakach smishingowych
Zapoznanie się z prawdziwymi przykładami cyberataków jest ostatecznie najlepszym sposobem na rozpoczęcie rozpoznawania wiadomości smishingowych. Oto kilka najczęstszych ataków smishingowych; jednak nigdy nie należy lekceważyć środków, do których uciekają się cyberprzestępcy.
- Powiadomienia finansowe: Smisherzy zazwyczaj wysyłają wiadomości tekstowe podszywając się pod bank lub instytucję finansową, twierdząc, że na koncie ofiary wystąpiła podejrzana aktywność i nakłaniając ją do kliknięcia w link w celu rozwiązania problemu.
- Powiadomienia o dostawie paczek: Atakujący mogą również wysyłać fałszywe powiadomienia o dostawie, twierdząc, że paczka nie mogła zostać dostarczona, i prosząc odbiorcę o kliknięcie linku w celu śledzenia przesyłki.
- Powiadomienia podatkowe: Istnieją również wiadomości smishingowe podszywające się pod rządowe agencje podatkowe, takie jak IRS lub inne agencje podatkowe, proszące odbiorcę o kliknięcie linku w celu rozwiązania jakiejś sytuacji.
- Oszustwa charytatywne: Smisherzy podają się za organizację charytatywną lub non-profit, prosząc ofiary o darowiznę i podając link do przekazania wpłaty.
- Oszustwa loteryjne: Wiadomości te informują, że odbiorca wygrał konkurs lub loterię i proszą o kliknięcie w link w celu odebrania nagrody.
Jak chronić się przed atakami smishingowymi
Oto jak uniknąć tych podejrzanych wiadomości i chronić swoje dane osobowe:
1. Nie ufaj, tylko weryfikuj
Jeśli otrzymasz SMS-a od swojego banku lub znanej firmy, nie traktuj go jako prawdziwego. Znajdź oficjalny numer kontaktowy firmy i zadzwoń do niej bezpośrednio, zamiast klikać w linki zawarte w wiadomości.
2. Zwracaj uwagę na sygnały ostrzegawcze w wiadomościach
Podejrzane SMS-y często zawierają:
- Błędy gramatyczne i ortograficzne.
- Poczucie pilności: „Twoje konto zostanie zablokowane za 24 godziny!”
- Skrócone adresy URL (np. linki bit.ly). Legalne firmy zazwyczaj wysyłają pełne adresy URL lub linki, którym można zaufać.
3. Unikaj klikania linków
Nawet jeśli wiadomość wygląda na autentyczną, najlepiej unikać wszelkich linków. Niektóre linki mogą prowadzić do fałszywych stron zaprojektowanych w celu kradzieży danych lub zainstalowania złośliwego oprogramowania na Twoim urządzeniu.
4. Nie odpowiadaj
Odpowiedź potwierdza oszustowi, że Twój numer jest aktywny. Może on zacząć wysyłać jeszcze więcej wiadomości phishingowych (lub, co gorsza, udostępnić Twój numer innym oszustom). Po prostu ją usuń.
5. Skonfiguruj uwierzytelnianie dwuskładnikowe
Włącz 2FA na swoich kontach bankowych, w poczcie e-mail i mediach społecznościowych. W ten sposób, nawet jeśli smisher zdobędzie Twoje hasło, nadal będzie potrzebował dodatkowego kodu uwierzytelniającego, aby uzyskać dostęp do Twojego konta.
6. Korzystaj z oprogramowania zabezpieczającego
Aplikacje zabezpieczające mogą wykrywać i blokować ataki phishingowe. Solidna aplikacja antywirusowa może pomóc chronić Cię przed złośliwymi linkami i aplikacjami, które próbują uzyskać dostęp do Twoich danych osobowych.
7. Zgłaszaj próby smishingu
Zgłaszanie tych wiadomości pomaga innym uniknąć wpadnięcia w tę samą pułapkę. Podejrzane SMS-y możesz zgłaszać swojemu operatorowi komórkowemu.
Nie daj się nabrać
Ważne jest, aby zachować czujność i ostrożność podczas otrzymywania wiadomości tekstowych od nieznanych lub nieoczekiwanych nadawców, zwłaszcza jeśli zawierają one linki lub prośby o podanie poufnych informacji. Nigdy nie klikaj w linki ani nie podawaj danych osobowych w odpowiedzi na otrzymaną wiadomość tekstową bez uprzedniego zweryfikowania tożsamości nadawcy. Bardzo ważne jest również zainstalowanie ochrony na telefonie, dzięki czemu nawet w przypadku kliknięcia w złośliwy link będziesz chroniony.
Źródło zdjęć: depositphotos.com
Materiał przygotowany przez CORE - Norton, Avast i AVG w Polsce