Hitro kliknite, da (ne) ostanete brez! (1)

Matjaž Ropret • 5. marca 2024 ob 11:39

Kolikor toliko redni uporabniki različnih komunikacijskih storitev ste zagotovo opazili, da vas poskuša pretentati vedno več prevarantskih sporočil. »Če ne boste potrdili podatkov, boste ostali brez računa (ali paketa ali česa tretjega).« V resnici pa ostanete brez denarja. Tudi strokovnjaki za kibernetsko varnost pritrjujejo, da je lažno predstavljanje, t. i. phishing še naprej v porastu. Zato bomo v dveh delih pogledali, kje vse ga srečamo, kakšni so razlogi za to, kako prepoznamo tovrstne poskuse prevar, kaj se lahko zgodi, če slučajno nasedemo, in kakšne opcije za ukrepanje nam v tem primeru sploh ostanejo.

Priložnosti za lahek zaslužek na račun neukih, neprevidnih, naivnih ljudi je v internetnem okolju preprosto preveč, da tega posamezniki in organizirane družbe ne bi poskusili izkoristiti. Če zgolj promil od vsakega milijona naslovnikov »ugrizne v vabo,« je to že tisočkratna povrnitev »naložbe,« ki razpošiljatelje lažnih sporočil stane zelo malo. V ozadju je seveda lahek zaslužek. »Uporabnik žal še vedno ostaja najšibkejši člen, kar napadalci še naprej izkoriščajo. Uporabnikov pa je tudi vedno več in širi se nabor različnih komunikacijskih kanalov, s tem pa tudi število potencialnih tarč, kar za napadalce predstavlja več priložnosti,« je ocenila strokovnjakinja za kibernetsko varnost v Telekomu Slovenije Živa Drobnič Kvartuč. Njen sodelavec Dušan Mitić pa je dodal: »»Socialni inženiring deluje in bo deloval tudi v prihodnje. Lažje je zavesti uporabnika, da klikne na povezavo in vpiše svoje podatke v nek portal, kakor pridobiti dostop do sistema preko drugih metod. Te oblike napada so vedno bolj vezane na finančno korist napadalcev. To je postala »industrija«, zato tudi opažamo znaten porast tovrstnih sporočil.«

Sogovornika pritrjujeta oceni, da se število napadov z lažnim predstavljanjem vsako leto povečuje in ostaja eden glavnih »vektorjev napada,« kot v svoji frazeologiji rečejo strokovnjaki za kibernetsko varnost. Navajeni smo že e-pošte, oblikovane na način, ki nas poskuša pretentati, da jo je poslala naša banka. Na podoben način nepridipravi zlorabljajo tudi identiteto znanih spletnih trgovcev in drugih ponudnikov, češ da moramo potrditi račun, vpisati te ali one podatke in podobno. Vse kakopak z namenom, da bi se dokopali do informacij, ki jim lahko že nekaj sekund kasneje prinesejo pravi plen. Torej do prijavnih podatkov za spletno ali mobilno banko, številke bančne kartice in podobnega, kar jim omogoči hitro prenakazilo denarja z našega bančnega računa na nekega neznanega, s katerega t. i. mule takoj dvignejo denar in sledi se zabrišejo. V zadnjem času je še veliko drugih vsebinskih variacij in dodatnih kanalov, kjer tovrstna sporočila prejemamo. Pogosta o »obvestila dostavnih služb« ali »Pošte Slovenije,« prihajajo po sms-ih, v klepetalne storitve, kot je Whatsapp, v druge platforme za komunikacijo (Discord, MS Teams, Slack), v zasebna sporočila na družabnih omrežjih in še kam. »Ko se ljudje poučijo o zlonamernih e-poštnih sporočilih, potem napadalci zamenjajo taktiko in se osredotočijo na sms-e ali druge kanale. Ta čas imamo v zasebnem življenju največ možnosti, da prejmemo zlonameren sms ali direktno sporočilo preko aplikacij za komunikacijo. V korporativnih okoljih pa napadalci še vedno najpogosteje razpošiljajo e-poštne sporočila, ki pogosto vsebujejo zlonamerne priponke. Te napadalcem omogočajo oddaljen dostop do kompromitirane naprave,« pojasnjuje Dušan Mitić.

V poslovnem okolju so še vedno pogoste t. i. direktorske prevare, pri katerih napadalci pošiljajo sporočila, morda celo kličejo tajnice direktorjev, vodje računovodskih služb in podobne kadre z apeli, naj čimprej nakažejo določen (običajno zelo visok) znesek zaradi te ali one pogodbe. Taktika ustvarjajo časovnega pritiska je tu zelo pogosta, poleg tega najdejo še pravi dan v tednu in morda uro, ko imajo tovrstni zaposleni največ dela in so pri izvrševanju navodil v e-pošti najmanj pozorni. Podobno je sicer tudi pri sporočilih, ki jih dobivate zasebno. Zelo pogosto so napisana tako, da poskušajo postaviti prejemnika v nelagoden položaj. »Mudi se! Ukrepati je treba hitro, sicer boste ostali brez računa ali brez pošiljke.« Kdor temu nasede, klikne in celo vpiše podatke, bo zelo verjetno ostal brez denarja, lahko pa tudi brez digitalnega »jaza.«

»Cilj napadov je lahko finančna korist, pridobitev občutljivih podatkov, lahko pa tudi kraja identitete. Finančna korist je cilj, ko poskušajo napadalci od uporabnikov pridobiti podatke kreditnih kartic ali pa uporabnike usmeriti v nakazila denarja, npr. za plačilo lažnih računov, provizije za »čakajoči paket na pošti« in podobno. Čedalje večjo vrednost za napadalce imajo tudi podatki – tu gre predvsem za poverilnice (uporabniška imena in gesla), lahko tudi za davčne številke, telefonske številke, že prej omenjene številke kreditnih kartic in podobno. V poslovnih okoljih je cilj pridobitev nepooblaščenega dostopa do internih sistemov podjetij, vohunjenje in kraja zaupnih podatkov. Pridobljene podatke (posameznikov ali organizacij) lahko napadalci prodajajo na temnem spletu, jih izkoriščajo za izsiljevanje žrtev in podobno,« namene tovrstnega lažnega predstavljanja opiše Živa Drobnič Kvartuč.

Na več platformah ste prisotni, več možnosti imate, da vas bodo zasuvali z lažnimi sporočili. Bolj znani ste še toliko bolj na udaru zaradi kraje identitete, vendar tudi običajni »anonimni« uporabniki niste ali nismo nič bolj varni pred tovrstnimi poskusi, da nas zavedejo in okradejo. O tem, kako v večini primerov prepoznati, da sporočila niso pristna, kase zaščititi in kako ukrepati po morebiti usodni napaki pa v kratkem drugem delu prispevka o »phishingu.«