Co to jest wyłudzanie informacji?
Ataki mające na celu wyłudzenie informacji dążą do wykradzenia lub naruszenia poufnych danych przez nakłonienie osób do ujawnienia danych osobowych, takich jak hasła i numery kart kredytowych.
Różne typy ataków mających na celu wyłudzenie informacji
Ataki mające na celu wyłudzenie informacji są przeprowadzane przez oszustów udających źródła godne zaufania i mogą ułatwić dostęp do wszystkich typów poufnych danych. Technologie ewoluują, a wraz z nimi cyberataki. Poznaj najbardziej wszechobecne typy wyłudzania informacji.
Wyłudzanie informacji przez pocztę e-mail
Najczęstsza forma wyłudzania informacji. W ataku tego typu są stosowane taktyki, takie jak fałszywe hiperlinki zachęcające odbiorców wiadomości e-mail do udostępnienia danych osobowych. Atakujący często udają dużych dostawców kont, takich jak Microsoft czy Google, a nawet współpracownika.
Wyłudzanie informacji przy użyciu złośliwego oprogramowania
Kolejna często stosowana metoda wyłudzania informacji. Ten typ ataku obejmuje osadzanie złośliwego oprogramowania udającego godny zaufania załącznik (takiego jak życiorys lub wyciąg bankowy) w wiadomości e-mail. W niektórych przypadkach otwarcie załącznika ze złośliwym oprogramowaniem może sparaliżować całe systemy informatyczne.
Spersonalizowane wyłudzanie informacji
Większość ataków mających na celu wyłudzenie informacji ma szeroki zakres, natomiast spersonalizowane wyłudzanie informacji jest ukierunkowane na konkretne osoby i polega na wykorzystywaniu informacji zebranych w wyniku poszukiwań dotyczących ich pracy i życia towarzyskiego. Te ataki są wysoce wyspecjalizowane, co powoduje, że są wyjątkowo skuteczne w pomijaniu podstawowych cyberzabezpieczeń.
Whaling
Gdy przestępcy polują na „grubą rybę”, taką jak prezes firmy lub celebryta, nazywa się to atakiem whaling. Tacy oszuści często przeprowadzają rozległe poszukiwania dotyczące ich ofiar, aby znaleźć dogodny moment na wykradzenie poświadczeń logowania lub innych poufnych informacji. Jeśli masz dużo do stracenia, osoby przeprowadzające atak whaling mają dużo do zyskania.
Wyłudzanie informacji przez SMS
Smishing, stanowiący połączenie słów „SMS” i „phishing”, obejmuje wysyłanie wiadomości SMS udających godne zaufania komunikaty od firm takich jak Amazon lub FedEx. Użytkownicy są szczególnie podatni na oszustwa z użyciem wiadomości SMS, ponieważ są one dostarczane w formacie zwykłego tekstu i wydają się bardziej spersonalizowane.
Wyłudzanie informacji przez telefon
W kampaniach vishingu atakujący z oszukańczych centrów telefonicznych usiłują nakłonić osoby do podania przez telefon poufnych informacji. W wielu przypadkach w tych oszustwach jest stosowana inżynieria społeczna, aby nakłonić ofiary do zainstalowania na urządzeniach złośliwego oprogramowania w postaci aplikacji.
Typowe taktyki wyłudzania informacji
Przebiegła komunikacja
Atakujący umiejętnie manipulują ofiarami, aby wyjawiły poufne dane, przez ukrywanie złośliwych wiadomości i załączników w miejscach, gdzie nie są one zbytnio spostrzegawcze (na przykład w ich skrzynkach odbiorczych poczty e-mail). Łatwo jest założyć, że wiadomości trafiające do skrzynki odbiorczej są wiarygodne, ale zachowaj ostrożność — wiadomości e-mail służące do wyłudzania informacji często wyglądają na bezpieczne i niepozorne. Aby nie zostać ofiarą oszustwa, zastanów się przez chwilę i zanim klikniesz, przyjrzyj się hiperlinkom oraz adresom e-mail nadawców.
Percepcja potrzeby
Użytkownicy padają ofiarami wyłudzania informacji, ponieważ myślą, że muszą podjąć działanie. Na przykład ofiary mogą pobrać złośliwe oprogramowanie udające życiorys, bo pilnie szukają pracowników, lub wprowadzić swoje poświadczenia bankowe w podejrzanej witrynie internetowej, aby ocalić konto, które rzekomo wkrótce wygaśnie. Wytworzenie fałszywej percepcji potrzeby to często stosowany — bo skuteczny — trik. Aby zapewnić bezpieczeństwo danych, działaj z wyjątkową skrupulatnością lub zainstaluj technologię ochrony poczty e-mail, która za Ciebie wykona tę ciężką pracę.
Fałszywe zaufanie
Przestępcy zwodzą użytkowników przez wytwarzanie fałszywego poczucia zaufania — przez co nawet najbardziej spostrzegawcze osoby padają ofiarą ich oszustw. Podszywając się pod źródła godne zaufania, takie jak Google, Wells Fargo czy UPS, oszuści mogą wmanewrować osobę w podjęcie działania zanim uświadomi sobie ona, że jest nabierana. Wiele wiadomości wyłudzających informacje pozostaje niewykrytych, jeśli nie wdrożono zaawansowanych środków cyberbezpieczeństwa. Chroń swoje informacje prywatne, korzystając z technologii zabezpieczeń poczty e-mail opracowanej po to, by identyfikować podejrzaną zawartość i pozbywać się jej jeszcze, zanim dotrze do Twojej skrzynki odbiorczej.
Manipulacja emocjonalna
Oszuści używają taktyk psychologicznych, aby przekonać ofiary do podjęcia działania, zanim się nad nimi zastanowią. Po zbudowaniu zaufania przez podszycie się pod znane źródło, a następnie wytworzeniu fałszywego poczucia pilności atakujący grają na emocjach, takich jak strach i obawa, aby osiągnąć swoje cele. Ludzie mają tendencje do podejmowania szybkich decyzji, gdy mówi się im, że stracą pieniądze, wpadną w tarapaty prawne lub nie będą już mieć dostępu do bardzo potrzebnego zasobu. Uważaj na wszelkie wiadomości, które wymagają „działania teraz” — mogą one być oszukańcze.
Zagrożenia związane z wiadomościami e-mail służącymi do wyłudzania informacji
Pomyślnie przeprowadzony atak mający na celu wyłudzenie informacji może mieć poważne konsekwencje. Mogą to być skradzione pieniądze, nielegalne obciążenia na kartach kredytowych, utracony dostęp do zdjęć, filmów i plików — a nawet cyberprzestępcy podszywający się pod Ciebie i narażający inne osoby na niebezpieczeństwo.
W pracy zagrożeniem dla pracownika może być utrata środków firmowych, ujawnienie danych osobowych klientów i współpracowników, kradzież poufnych plików lub uniemożliwienie dostępu do nich, nie wspominając o utracie reputacji firmy. W wielu przypadkach szkody mogą być nieodwracalne.
Na szczęście jest dostępnych wiele rozwiązań służących do chronienia przed wyłudzaniem informacji — zarówno w domu, jak i w pracy.
Szybkie wskazówki dotyczące unikania wyłudzania informacji
Nie ufaj nazwom wyświetlanym
Zanim otworzysz wiadomość, sprawdź adres e-mail nadawcy — nazwa wyświetlana może być oszustwem.
Sprawdź, czy nie ma literówek
Błędy pisowni i niepoprawna gramatyka są typowe dla wiadomości e-mail służących do wyłudzania informacji. Jeśli coś wygląda podejrzanie, oflaguj to.
Przyjrzyj się, zanim klikniesz
Umieść kursor na hiperlinkach w zawartości wyglądającej na oryginalną, aby sprawdzić adres linku.
Przeczytaj pozdrowienie
Jeśli wiadomość e-mail jest adresowana do „cenionego klienta”, a nie do Ciebie, zachowaj ostrożność. Prawdopodobnie jest oszukańcza.
Przejrzyj podpis
Sprawdź informacje kontaktowe w stopce wiadomości e-mail. Wiarygodni nadawcy zawsze je dołączają.
Strzeż się pogróżek
Frazy mające wywołać strach, takie jak „Twoje konto zostało zawieszone”, są powszechnie używane w wiadomościach e-mail służących do wyłudzania informacji.
Ochrona przed cyberzagrożeniami
Oszustwa mające na celu wyłudzanie informacji i inne cyberzagrożenia stale ewoluują, jednak istnieje wiele działań, które możesz podjąć, aby się chronić.
Przestrzegaj zasad modelu Zero Trust
Zasady modelu Zero Trust, takie jak uwierzytelnianie wieloskładnikowe, dostęp tylko w niezbędnym zakresie oraz kompleksowe szyfrowanie, chronią Cię przed ewoluującymi cyberzagrożeniami.
Chroń aplikacje i urządzenia
Zapobiegaj wyłudzaniu informacji i innym cyberatakom, wykrywaj je i reaguj na nie dzięki rozwiązaniu Ochrona usługi Office 365 w usłudze Microsoft Defender.
Bezpieczny dostęp
Chroń użytkowników przed wyrafinowanymi atakami, jednocześnie zabezpieczając organizację przed zagrożeniami opartymi na tożsamości.
Często zadawane pytania
-
Podstawowym celem każdego oszustwa służącego do wyłudzania informacji jest kradzież poufnych informacji i poświadczeń. Zachowaj ostrożność w przypadku każdej wiadomości (telefonicznej, e-mail lub SMS) z prośbą o poufne dane lub udowodnienie tożsamości.
Atakujący ciężko pracują nad tym, aby imitować znane podmioty, i będą używać tych samych logo, projektów oraz interfejsów co marki lub osoby, które już znasz. Zachowaj czujność i nie klikaj linku ani nie otwieraj załącznika, dopóki nie masz pewności, że dana wiadomość jest wiarygodna.
Oto kilka wskazówek, jak rozpoznać wiadomość e-mail służącą do wyłudzania informacji:
- Zagrożenia wymagające pilnej uwagi lub wezwania do działania (na przykład: „Otwórz natychmiast”).
- Nowi lub mało aktywni nadawcy — każdy, kto wysyła do Ciebie wiadomość e-mail po raz pierwszy.
- Niepoprawna pisownia i gramatyka (często z powodu nieudolnych tłumaczeń z języka obcego).
- Podejrzane linki lub załączniki — pod tekstem hiperlinku kryją się linki z innego adresu IP lub innej domeny.
Subtelne literówki (na przykład „micros0ft.com” lub „rnicrosoft.com”)
-
- Zapisz tyle szczegółów dotyczących ataku, ile jesteś w stanie sobie przypomnieć. Zanotuj wszelkie informacje, które mogły zostać przez Ciebie udostępnione, takie jak nazwy użytkowników, numery kont lub hasła.
- Natychmiast zmień hasła na kontach, które mogły zostać zaatakowane, oraz wszędzie indziej, gdzie mogło być używane to samo hasło.
- Potwierdź, że używasz uwierzytelniania wieloskładnikowego (lub dwuskładnikowego) dla każdego konta, z którego korzystasz.
- Powiadom wszelkie odpowiednie podmioty, że naruszono zabezpieczenia Twoich informacji.
- Jeśli skradziono Ci pieniądze lub jesteś ofiarą kradzieży tożsamości, zgłoś to lokalnym organom ścigania oraz Federalnej Komisji Handlu. Podaj szczegóły zanotowane w kroku 1.
Jeśli sądzisz, że nieświadomie zostałaś(-eś) ofiarą ataku mającego na celu wyłudzenie informacji, oto kilka rzeczy, które należy zrobić:
Pamiętaj, że Twoje informacje wysłane do atakującego prawdopodobnie zostały szybko ujawnione innym przestępcom. Spodziewaj się otrzymywania nowych wiadomości e-mail, SMS-ów i połączeń telefonicznych służących do wyłudzania informacji.
-
Jeśli otrzymano podejrzaną wiadomość w skrzynce odbiorczej programu Microsoft Outlook, wybierz pozycję Zgłoś wiadomość na wstążce, a następnie wybierz pozycję Wyłudzanie informacji. To najszybszy sposób na usuniecie wiadomości ze skrzynki odbiorczej. W usłudze Outlook.com zaznacz pole wyboru obok podejrzanej wiadomości w skrzynce odbiorczej, wybierz strzałkę obok pozycji Wiadomość-śmieć, a następnie wybierz pozycję Wyłudzanie informacji.
Jeśli skradziono Ci pieniądze lub jesteś ofiarą kradzieży tożsamości, zgłoś to lokalnym organom ścigania oraz skontaktuj się z Federalną Komisją Handlu. Ta agencja prowadzi całą witrynę internetową poświęconą rozwiązywaniu problemów tego typu.
-
Nie. Wyłudzanie informacji jest co prawda najczęstsze przez e-mail, ale oszuści używają także połączeń telefonicznych, wiadomości SMS, a nawet wyszukiwań w sieci Web w celu uzyskania poufnych informacji.
-
Wiadomości e-mail ze spamem to niechciane komercyjne wiadomości-śmieci zawierające treści nieistotne lub reklamowe. Mogą one reklamować sposoby na szybkie wzbogacenie się, nielegalne oferty lub fałszywe rabaty.
Wyłudzanie informacji to bardziej ukierunkowana (i zwykle lepiej zamaskowana) próba uzyskania poufnych danych przez nakłonienie ofiar do dobrowolnego podania informacji o koncie i poświadczeń.
Obserwuj rozwiązania zabezpieczające firmy Microsoft