Klikli ste? Čo teraz?

Modul 3: Rozpoznanie phishingu · Čas čítania: 12 minút

Cieľ lekcie: Po tejto lekcii budete vedieť, čo robiť v prvých hodinách po kliknutí na odkaz, zadaní hesla, zadaní bankových údajov alebo otvorení prílohy, v správnom poradí, a ako phishing nahlásiť a preposlať ďalej.
Kľúčové pojmy: obmedzenie škody, zmena hesla z čistého zariadenia, odhlásenie relácií, volanie banke, nahlásenie, preposlanie phishingu (napríklad polícii a SK-CERT a zneužitej značke)

Stáva sa to každému

Každý niekedy klikne na nesprávny odkaz. Aj ľudia, ktorí absolvovali tento kurz, aj IT odborníci. Dobrý phishingový e-mail príde v nevhodnej chvíli, s dôveryhodným príbehom. Hanbiť sa nepomáha, rýchlo konať áno. Čím skôr zasiahnete, tým menej môže útočník urobiť s tým, čo získal.

Preto je prvým krokom v každej firme: nahláste to okamžite, kolegovi, ktorý má na starosti IT, alebo vašej IT firme. Dohodnite sa, že ten, kto nahlási kliknutie, dostane poďakovanie a nie pokarhanie (viac o tom v lekcii 9.2). Kto sa bojí trestu, nepovie nič, a útočník tak získa dni navyše.

Najprv zistite: čo presne sa stalo?

To, čo musíte urobiť, závisí od toho, ako ďaleko ste zašli. Zistite to najprv, stručne a úprimne.

Samotné kliknutie zvyčajne nie je vážne: moderné prehliadače sú dobre chránené. Ale kliknutie môže spustiť aj sťahovanie. Ak máte pochybnosti, zaobchádzajte s tým ako so závažnejšou situáciou.

Krok za krokom v prvých hodinách

1. Nahláste to vo firme. Okamžite, aj pri pochybnostiach. Povedzte, čo ste videli, kedy, a čo ste zadali alebo otvorili. Správu si ponechajte: nemažte ju, budete ju potrebovať pri nahlásení.

2. Obmedzte škodu. Otvorili ste prílohu alebo ste niekomu poskytli prístup? Odpojte zariadenie od siete: vypnite wifi, vytiahnite sieťový kábel. Nevypínajte ho hneď, pretože obsah pamäte môže pomôcť pri vyšetrovaní (lekcia 8.3). Na tomto zariadení ďalej nepracujte.

3. Pri peniazoch zavolajte banke. Ak ste zadali bankové údaje alebo schválili platbu, zavolajte okamžite svojej banke, na číslo uvedené na vašej karte alebo na oficiálnej stránke. Čím skôr, tým väčšia šanca, že sa platba dá zastaviť alebo vrátiť. Aj platbu na falošný IBAN po faktúrovom podvode nahláste banke okamžite.

4. Zmeňte heslo z čistého zariadenia. Zmeňte heslo účtu, do ktorého ste ho zadali. Urobte to na inom zariadení než na tom, kde ste otvorili prílohu, pretože tam vás môže sledovať škodlivý program. Adresu napíšte sami alebo použite záložku, nie odkaz zo správy. Ak ste rovnaké heslo použili aj inde, zmeňte ho aj tam (lekcia 2.1).

5. Odhláste relácie a skontrolujte účet. Nové heslo nemusí automaticky vyhodiť útočníka, ktorý je už vnútri. Preto odhláste všetky ostatné relácie (lekcia 2.5) a skontrolujte, čo mohol zmeniť:

• dvojfaktorové overenie: nie je tam pridaná neznáma aplikácia alebo neznáme telefónne číslo?
• obnovovacie údaje: nebol zmenený obnovovací e-mail alebo telefónne číslo?
• pravidlá presmerovania a filtre v poštovej schránke: útočník rád nastaví pravidlo, ktoré presmeruje všetku poštu, alebo len poštu obsahujúcu "faktúra", na svoju adresu alebo ju rovno zmaže. Takto si číta vašu poštu aj potom, čo ste si zmenili heslo;
• odoslané položky: neboli odoslané e-maily, ktoré ste nenapísali vy? V tom prípade musíte upozorniť svoje kontakty.

6. Nahláste a preposlite. Pozrite nižšie.

7. Zistite, či ide o únik osobných údajov. Mohol sa útočník dostať do poštovej schránky, zákazníckej databázy alebo iného prostredia s osobnými údajmi? Potom môže ísť o únik osobných údajov. Podľa GDPR musíte únik osobných údajov nahlásiť bez zbytočného odkladu a ak je to možné do 72 hodín od zistenia Úradu na ochranu osobných údajov SR, pokiaľ to pravdepodobne nepredstavuje riziko pre dotknuté osoby. V každom prípade si to zaznamenajte vo svojom registri únikov. Ako to posúdiť, sa naučíte v lekcii 8.2.

Nahlásenie a preposlanie phishingu

Nahlásenie má zmysel, aj keď sa nič nestalo. Vďaka tomu môže byť falošná stránka rýchlejšie stiahnutá a ostatní sú upozornení.

Polícii a SK-CERT. Podvodný e-mail s podozrivými odkazmi alebo prílohami môžete nahlásiť SK-CERT. Podľa odporúčaní SK-CERT:

• e-mail preposlite najradšej ako prílohu. Pri bežnom preposlaní sa stratia technické údaje (hlavičky z lekcie 3.3). Ak to nejde, napríklad na telefóne, preposlite ho jednoducho normálne;
• ak sa zdá, že e-mail pochádza od banky alebo inej známej firmy, uveďte adresu tejto firmy v kópii (cc);
• sms správy, WhatsApp a iné správy nahláste prostredníctvom polície alebo SK-CERT. Rovnaký postup použite aj pri podozrivom e-maile bez odkazov alebo príloh, a pri podvode cez telefonickú podporu (helpdesk).

Vo väčšine e-mailových programov sa preposlanie ako príloha volá "Preposlať ako prílohu" alebo podobne.

Zneužitej značke. Ak je zneužité meno banky, dopravcu alebo dodávateľa, dajte to tejto organizácii vedieť cez kanál, ktorý si sami vyhľadáte na jej skutočnej stránke, nie cez samotnú správu. Mnohé organizácie majú vlastnú adresu na nahlasovanie phishingu. Ak ide o vášho vlastného poskytovateľa hostingu alebo e-mailu, nahláste to aj jemu; pri WebOké to môžete urobiť cez tiket, s e-mailom ako prílohou (Databáza znalostí 581).

Podanie trestného oznámenia na polícii. Ak ste prišli o peniaze, alebo došlo k zneužitiu či pokusu o zneužitie, podajte trestné oznámenie. Polícia a SK-CERT poskytujú rady a zbierajú hlásenia, ale vyšetrovanie môže viesť len polícia.

Potom môžete správu vymazať a odosielateľa zablokovať.

Kontrola po týždni

Útok nie je vždy po dni skončený. Nastavte si pripomienku na o týždeň neskôr:

• Objavili sa nové upozornenia o prihlásení alebo neznáme relácie?
• Sú na bankových výpisoch neznáme platby?
• Objavili sa nové pravidlá presmerovania alebo filtre v poštovej schránke?
• Sťažujú sa zákazníci alebo dodávatelia na čudné e-maily z vášho mena? Potom sa vaša poštová schránka možno stále zneužíva na rozosielanie spamu (Databáza znalostí 25).
• Čo sa môžeme poučiť? Bola správa dobre rozpoznateľná, a čo by ju nabudúce odhalilo skôr?

V praxi: takto to vyzerá

Pondelok 9:12. Fatima z Pekárne Example zadá svoje e-mailové heslo na falošnej prihlasovacej stránke "účtovného programu". O 9:15 si všimne, že adresa bola boekhoudpakket.inlog-check.example. Nahlási to Kesovi, ktorý má na starosti IT. O 9:20 Kees zo svojho vlastného notebooku zmení heslo jej poštovej schránky a odhlási všetky relácie. Vo webmaile nájde nové pravidlo: všetka pošta obsahujúca "faktúra" sa posiela na neznámu adresu a potom sa maže. Pravidlo odstráni, zapne dvojfaktorové overenie a skontroluje odoslané položky: nič nebolo odoslané. Fatima prepošle phishingový e-mail ako prílohu SK-CERT. Kees to zaznamená do denníka incidentov a overí, či útočník mohol vidieť osobné údaje. Po týždni znova skontroluje pravidlá a relácie.

Kde sa tieto pravidlá a relácie nachádzajú, sa líši podľa prostredia. Pri WebOké sa presmerovania adresy nachádzajú v Môj WebOké a v DirectAdmin (Forwarders), a pravidlo sa môže nachádzať aj vo webmaile alebo priamo v e-mailovom programe. U iných poskytovateľov to funguje podobne: hľadajte presmerovanie, forwarders, pravidlá alebo filtre.

Zhrnutie

• Každý niekedy klikne. Nahláste to okamžite, bez hanby, a dohodnite sa, že nahlásenie bude odmenené.
• Najprv zistite, čo sa stalo: iba kliknutie, heslo, kód, bankové údaje, príloha alebo vzdialený prístup.
• Poradie: nahlásiť, obmedziť škodu (odpojiť od siete), pri peniazoch zavolať banke, zmeniť heslo z čistého zariadenia, odhlásiť relácie a skontrolovať účet (najmä pravidlá presmerovania), nahlásiť a preposlať, posúdiť únik osobných údajov.
• Podvodný e-mail nahláste polícii a SK-CERT ako prílohu, so zneužitou značkou v kópii; sms a chatové správy nahláste cez políciu alebo SK-CERT. Pri škode: podajte trestné oznámenie.
• Po týždni skontrolujte znova.

Kvíz

Úloha

Úloha A3.5: Postupová karta po kliknutí. Dostanete situáciu a balík kartičiek s krokmi. Vyberte, ktoré kroky sú potrebné, a zoraďte ich do správneho poradia. Program to skontroluje a vysvetlí, prečo má krok nasledovať skôr alebo neskôr.

Ďalšie čítanie

Kroky v článkoch WebOké platia pre prostredie WebOké; u iných poskytovateľov to funguje podobne.

• Je skutočne tento e-mail od spoločnosti WebOké? Ako rozpoznať phishing a použiť akčný kód
• Prevzatá emailová schránka alebo spam z vašej adresy: takto to vyriešite
• Príručka WebOké 3.6: Zobrazenie aktívnych relácií a odhlásenie
• Návod na DirectAdmin 3.7: Bezpečné heslá a čo robiť pri úniku hesla
• Polícia SR, nahlásenie trestného činu: https://www.minv.sk/?policia
• SK-CERT, nahlásenie podvodného e-mailu: https://www.sk-cert.sk/
• Holandské NCSC (Národné centrum kybernetickej bezpečnosti), Phishing: https://www.ncsc.nl/wat-kun-je-zelf-doen/dreiging/phishing