Phishing cez SMS, chat, telefón a QR kódy

Modul 3: Rozpoznanie phishingu · Čas čítania: 12 minút

Cieľ lekcie: Po tejto lekcii dokážete rozpoznať phishing mimo e-mailu: cez SMS a chatovacie aplikácie, po telefóne (aj s napodobneným hlasom), cez QR kódy a cez záplavu prihlasovacích upozornení, a budete vedieť, ako to overiť pri každom kanáli.
Kľúčové pojmy: smishing, podvod typu "priateľ v núdzi", vishing, spoofing čísel, falošný helpdesk, klonovanie hlasu, quishing, bombardovanie cez MFA

Prečo ostatné kanály fungujú tak dobre

Všetko z lekcie 3.1 platí aj tu: naliehavosť, autorita, strach, zvedavosť a odmena. Mimo e-mailu však tieto triky často fungujú ešte lepšie:

• Na telefóne čítate rýchlo. Obrazovka je malá, adresy sú skrátené a často ste práve uprostred niečoho iného.
• Je tam menej techniky, ktorá by pomohla. E-mailový server kontroluje SPF, DKIM a DMARC a má spamový filter. Pri SMS, chate a telefóne je toho oveľa menej.
• Pôsobí to osobnejšie. Správa v chatovacej aplikácii alebo hlas v telefóne vzbudzuje viac dôvery než e-mail.
• Deje sa to naživo. Volajúci sa môže dopytovať, zvyšovať tlak a viesť vás krok za krokom.

Reflex ostáva rovnaký: zastavte sa, overte si to vlastnou cestou, opýtajte sa. To, čo sa líši podľa kanála, je, ako taká kontrola vyzerá.

SMS a chat: smishing a podvod typu "priateľ v núdzi"

Smishing je phishing prostredníctvom SMS. Podvodníci sa vydávajú za organizáciu, od ktorej by ste mohli SMS čakať: dopravcu, banku, štátnu inštitúciu, vášho dodávateľa energie. Podľa holandského NCSC sa to isté deje aj cez chatovacie aplikácie ako WhatsApp a Telegram.

Typický príklad:

Kuriérska služba: váš balík sa nepodarilo doručiť kvôli neúplnej adrese. Naplánujte si nové doručenie: https://koeriersdienst.track-nl.example/z8K

Odkaz čítajte rovnako ako v lekcii 3.2: registrovateľná doména je track-nl.example, a teda nie koeriersdienst.example dopravcu. Na telefóne je to o to zložitejšie, pretože vidíte len začiatok. Podržte odkaz stlačený, aby ste videli celú adresu, alebo ho neotvárajte a choďte si sami do aplikácie alebo na stránku dopravcu.

Číslo alebo meno odosielateľa nič nedokazuje. Odosielatelia SMS správ a telefónne čísla sa dajú falšovať (spoofing). Falošná správa sa tak môže objaviť v tom istom vlákne SMS správ ako skutočné správy od daného odosielateľa. Ani známe meno nad správou teda nie je dôkazom.

Podvod typu "priateľ v núdzi" prebieha cez chatovacie aplikácie:

Ahoj, toto je moje nové číslo, telefón mám rozbitý. Môžete za mňa niečo zaplatiť? Vrátim vám to zajtra. Musí to byť dnes.

Vo firme sa rovnaký trik objavuje ako správa od "riaditeľa" alebo "kolegu" s novým číslom, ktorý rýchlo žiada o platbu alebo darčekové poukazy. Overenie: zavolajte alebo napíšte danej osobe na staré, známe číslo, alebo položte otázku, na ktorú vie odpovedať len skutočná osoba.

Telefón: vishing, falošný helpdesk a klonovanie hlasu

Vishing (voice phishing) je phishing po telefóne. Časté sú tri formy.

Bankový pracovník. Niekto volá v mene banky alebo "oddelenia pre odhaľovanie podvodov": sú tam podozrivé platby, vaše peniaze treba "zabezpečiť" alebo musíte nadiktovať kód či schváliť platbu v bankovej aplikácii. Na obrazovke sa niekedy zobrazí aj skutočné číslo banky. Aj to môže byť podvrhnuté. Skutočná banka nikdy nežiada vaše prihlasovacie kódy ani prevod peňazí na "bezpečný účet".

Falošný helpdesk. Niekto volá v mene softvérového dodávateľa, vášho internetového poskytovateľa alebo IT firmy: váš počítač je infikovaný, je problém s účtom. Žiada vás nainštalovať program, ktorý mu umožní sledovať vašu obrazovku na diaľku. Tým prevezme kontrolu nad vaším počítačom. Holandský NCSC to hovorí jednoducho: nikdy nikomu len tak nedávajte vzdialený prístup k vašim zariadeniam.

Napodobnený hlas. Pomocou AI sa dá napodobniť hlas na základe zvukových nahrávok, napríklad z videa alebo odkazu v odkazovej schránke. Klon hlasu vášho riaditeľa alebo rodinného príslušníka vám potom môže zavolať s naliehavou žiadosťou. Svojim ušiam teda už nemôžete slepo dôverovať.

Čo funguje pri všetkých troch:

1. Zložte telefón hneď, ako začne tlak alebo žiadosť o kódy, peniaze či prístup. Nie je to nezdvorilé.
2. Zavolajte späť sami na číslo, ktoré si sami vyhľadáte alebo ste ho už mali: zadná strana vašej platobnej karty, oficiálna stránka, váš vlastný zoznam kontaktov. Nie číslo, ktoré uviedol volajúci.
3. Dohodnite si kontrolnú otázku alebo heslo s ľuďmi, ktorí vás môžu žiadať o peniaze, ako je vedenie firmy a účtovníctvo. Zaznamenajte si tiež, že platby sa nikdy nerobia len na základe telefonátu (lekcia 1.2).

QR kódy: quishing

QR kód je v podstate len odkaz, ktorý neviete prečítať. Quishing je phishing pomocou QR kódu. Dve formy:

• Na ulici alebo v priestore. Nálepka s vlastným QR kódom nalepená cez skutočný, na parkovacom automate, nabíjacej stanici, jedálnom lístku alebo plagáte. Myslíte si, že platíte cez parkovaciu aplikáciu, no zadávate údaje o karte na falošnej stránke.
• V e-maile alebo pdf súbore. "Naskenujte tento kód na potvrdenie svojej schránky." QR kód v obrázku nemôžete skontrolovať myšou. A skenujete ho telefónom, kde sa adresy čítajú ešte horšie.

Holandský NCSC okrem iného odporúča:

• Neskenujte QR kód bez sprievodného textu alebo obrázka a buďte opatrní pri kódoch na verejných miestach.
• Skontrolujte, či je kód skutočne vytlačený na plagáte alebo tabuli, alebo či ide o nalepenú nálepku.
• Používajte skener, ktorý najprv zobrazí, na akú adresu alebo doménu smerujete. V novších verziách Android a iOS to robí fotoaparát automaticky.
• Ak adresu nepoznáte, nepokračujte. Nezadávajte heslo ani platobné údaje, ak si nie ste istí, že stránka je skutočná.

Pri náhľade adresy, ktorý zobrazí fotoaparát, sa pozrite na registrovateľnú doménu, presne ako v lekcii 3.2. Pri parkovacom automate môžete tiež použiť oficiálnu parkovaciu aplikáciu alebo adresu uvedenú priamo na tabuli.

Bombardovanie cez MFA: keď vám telefón stále píska

Mnohé služby posielajú pri prihlásení upozornenie do telefónu: "Pokúšate sa prihlásiť? Schváliť alebo odmietnuť." Ak útočník už má vaše heslo, skúša sa prihlásiť opakovane. Telefón dostáva jedno upozornenie za druhým, niekedy aj uprostred noci. Tomu sa hovorí bombardovanie cez MFA (aj MFA únava). Útočník dúfa, že z podráždenia alebo omylom stlačíte Schváliť. Niekedy k tomu ešte zavolá alebo napíše ako "helpdesk": "Obnovujeme váš účet, stlačte prosím schváliť."

Čo máte robiť:

1. Nikdy neschvaľujte upozornenie, ktoré ste sami nespustili. Ani keď o to niekto žiada.
2. Berte to ako poplach. Neočakávané prihlasovacie upozornenie znamená, že niekto má vaše heslo. Okamžite zmeňte heslo daného účtu, priamo cez stránku alebo aplikáciu.
3. Skontrolujte aktívne relácie a odhláste neznáme relácie (lekcia 2.5).
4. Zvoľte silnejšiu formu dvojfaktorového overenia (2FA), ak je k dispozícii. Pri párovaní čísel (number matching) musíte prepísať číslo z prihlasovacej obrazovky do aplikácie; upozornenie bez tejto obrazovky pred sebou tak nemôžete len tak schváliť. Passkeys a bezpečnostné kľúče (lekcia 2.4) sú ešte silnejšie, pretože nefungujú na falošnej stránke.

V praxi: takto to vyzerá

V Môj WebOké vidíte pod aktívnymi reláciami, kde a kedy ste boli prihlásení, a môžete odhlásiť iné relácie (návod WebOké 3.6). Iné služby, ako váš e-mailový program, účtovný softvér alebo Nextcloud, majú podobný prehľad v bezpečnostných nastaveniach vášho účtu. Po neočakávanom prihlasovacom upozornení sa tam pozrite ako prvé.

Zhrnutie

• Mimo e-mailu fungujú rovnaké triky, no je tam menej techniky, ktorá pomáha, a čítate rýchlejšie.
• Číslo alebo meno odosielateľa na obrazovke nič nedokazuje: dajú sa falšovať.
• Po telefóne: zložte, zavolajte späť sami na známe číslo, nikdy nedávajte kódy, peniaze ani prístup na diaľku. Aj známy hlas môže byť napodobnený.
• QR kódy: všímajte si nálepky, nechajte fotoaparát zobraziť adresu a prečítajte si registrovateľnú doménu.
• Neočakávané prihlasovacie upozornenie je poplach: odmietnuť, zmeniť heslo, skontrolovať relácie.

Kvíz

Úloha

Úloha A3.4: Prečítanie QR kódu bez otvorenia. Program zobrazí QR kód. Naskenujte ho fotoaparátom telefónu, ale odkaz neotvárajte. Prečítajte si adresu, ktorú fotoaparát zobrazí, a vyplňte registrovateľnú doménu a to, či by ste odkaz otvorili. Program to skontroluje.

Úloha D3.4: Dohody pre telefón, chat a upozornenia o prihlásení. Dohodnite si so svojím tímom pravidlá pre spätné volanie, kontrolnú otázku alebo heslo a postup pri neočakávanom prihlasovacom upozornení. Potom na svojom telefóne skontrolujte, či fotoaparát zobrazí adresu QR kódu skôr, než niečo otvorí.

Ďalšie čítanie

Kroky v článkoch WebOké platia pre prostredie WebOké; u iných poskytovateľov to funguje podobne.

• Príručka WebOké 3.6: Zobrazenie aktívnych relácií a odhlásenie
• Návod na Nextcloud 3.6: Zobrazenie, odvolanie alebo vzdialené vymazanie zariadení a relácií
• Holandský NCSC, Sms-phishing ('smishing'): https://www.ncsc.nl/phishing/sms-phishing-smishing
• Holandský NCSC, Ako rozpoznať falošný telefonát?: https://www.ncsc.nl/phishing/hoe-herken-ik-een-neptelefoontje
• Holandský NCSC, QR kódy: https://www.ncsc.nl/phishing/qr-codes
• Nahlásenie podvodu a phishingu: Polícia SR https://www.minv.sk/?policia a SK-CERT https://www.sk-cert.sk/