Prepoznavanje phishinga v spletni pošti

Modul 2: Branje e-pošte · Čas branja: 10 minut

Učni cilj: Po tej lekciji boste prepoznali značilnosti sporočila za phishing, v spletni pošti boste znali preveriti, kam v resnici vodita povezava in odgovor, in vedeli boste, kaj storiti s sumljivim sporočilom in kaj, če ste vseeno kliknili.

Ključni pojmi: phishing, besedilo povezave, prava povezava, ime domene, poddomena, domena dvojnica, Odgovor na, opozorilo o sumljivih naslovih, Prijavi neželeno pošto, drug kanal

Kaj je phishing

Phishing ali spletno ribarjenje je sporočilo, ki Vas skuša pripraviti do tega, da storite nekaj, kar koristi pošiljatelju: da se prijavite na ponarejeni strani, izvedete plačilo, odprete prilogo ali pošljete podatke. Beseda izhaja iz angleške besede fishing, ribarjenje: napadalec vrže vabo in čaka, kdo bo prijel.

Večina phishinga ne cilja na Vaš računalnik, temveč na Vas. Virusa v sporočilu pogosto sploh ni. Sporočilo želi le, da nekaj storite sami. Zato protivirusni program pomaga le omejeno, zelo pa pomaga, če poznate zvijače.

Stalne sestavine

Skoraj vsako sporočilo za phishing uporablja eno ali več teh sredstev:

• Naglica: "v 24 urah", "še danes", "zadnji opomnik". Kdor se mudi, manj preverja.
• Grožnja: Vaš poštni predal bo zaprt, Vaša domena bo potekla, odprt je neporavnan bremenitveni nalog, Vaš paket bo vrnjen.
• Nagrada ali radovednost: vračilo denarja, deljeni dokument, glasovno sporočilo.
• Gumb ali povezava na stran, ki je videti kot stran Vaše banke, Vašega ponudnika ali Vaše spletne pošte.
• Pošiljatelj ali domena, ki je skoraj prava.
• Drugačen naslov za odgovor, tako da Vaš odgovor prispe k prevarantu.

Sporočilo z naglico in povezavo na stran za prijavo si vedno zasluži še en pogled, tudi če je videti urejeno. Dober phishing nima več jezikovnih napak.

Besedilo povezave in prava povezava

V sporočilu sta besedilo, ki ga vidite, in naslov, kamor vodi povezava, dve različni stvari. V izvorni kodi sporočila je to videti takole:

<a href="https://login.weboke.nl.account-check.example/inloggen">
  https://webmail.weboke.si
</a>

Vidite https://webmail.weboke.si, v resnici pa greste na povsem drug naslov. Na računalniku to preverite takole: povezavo ali gumb pokažite z miško, ne da bi kliknili. Na dnu okna brskalnika se prikaže pravi naslov. Na telefonu ali tablici povezavo dlje časa pridržite; prikaže se meni z naslovom na vrhu. Nato ne izberite možnosti za odpiranje.

Branje spletnega naslova

Pravi naslov morate znati tudi dobro prebrati. Oglejte si del med https:// in prvo naslednjo poševnico. Preberite ga od desne proti levi: končnica (.nl, .com, .example) in beseda pred njo skupaj tvorita ime domene. To je del, ki šteje.

• https://webmail.weboke.si/ : ime domene je weboke.nl. Del webmail pred njim pomeni poddomeno; to lahko ustvari samo lastnik domene weboke.nl.
• https://login.weboke.nl.account-check.example/inloggen : ime domene je account-check.example. Vse pred njim ("login.weboke.nl") je poddomena, ki jo je izbral napadalec sam. To je najbolj znana zvijača.
• https://weboke-security.example/ : domena dvojnica. Vsebuje znano ime, vendar je to druga domena, ki jo lahko registrira kdorkoli.
• https://www.example.com@account-check.example/ : vse pred znakom @ se prezre; greste na account-check.example.

Obstajajo tudi domene, ki uporabljajo zvijače s črkami: števko 0 namesto črke o, rn namesto m ali črke iz druge abecede, ki so videti enako. Če takšne razlike s prostim očesom ne opazite, Vam pomaga upravitelj gesel: ta Vaše geslo vpiše samo na pravi domeni (lekcija 1.3).

Pošiljatelj in Odgovor na

V lekciji 2.2 ste videli, da prikazno ime ničesar ne dokazuje in da ima lahko Odgovor na svoj naslov. Pri phishingu se ti dve stvari pogosto združita. Sporočilo naj bi prišlo od "WebOké Support", naslov je support@weboke-security.example, Odgovor na pa kaže na brezplačen e-poštni naslov. Ali pa sporočilo pride s pravega naslova Vašega direktorja, Odgovor na pa kaže na drugo domeno. To slednje pogosto vidite pri prevari CEO: "nujno plačilo", ki naj bi ga direktor zahteval s sestanka.

Spletna pošta nekoliko pomaga. Če naslov pošiljatelja vsebuje znake, ki so podobni običajnim črkam, a to niso, spletna pošta nad sporočilom prikaže opozorilo, da sporočilo vsebuje e-poštne naslove, ki jim morda ni mogoče zaupati. Če vidite to obvestilo, sporočilo obravnavajte kot sumljivo. Če ga ne vidite, to ne pomeni ničesar: večina phishinga preprosto uporablja drugo domeno.

In zapomnite si iz lekcije 2.2: sporočilo, ki uspešno prestane preverjanje SPF, DKIM in DMARC, je lahko še vedno phishing. Napadalec takrat uporablja svojo lastno, pravo domeno.

Kaj storite s sumljivim sporočilom

1. Ne klikajte, ne odgovarjajte, ne odpirajte priloge. Tudi ne "samo za pogled".
2. Na spletno mesto pojdite sami. Ali sporočilo govori o Vaši banki, Vašem ponudniku ali paketu? Spletno mesto ali aplikacijo odprite tako kot vedno, prek zaznamka ali tako, da naslov vtipkate sami. Če tam ni ničesar, je bilo sporočilo lažno.
3. Ob dvomu pokličite, na številko, ki ste jo že imeli, ne na številko iz sporočila.
4. Prijavite sporočilo. V spletni pošti WebOké z gumbom Prijavi neželeno pošto: sporočilo gre ekipi WebOké za neželeno pošto in v Vašo mapo Neželena sporočila. Če sporočilo govori o Vaši banki, ga posredujte tudi na naslov za prijave te banke. Phishing lahko prijavite tudi pri SI-CERT (https://www.cert.si/).
5. Opozorite sodelavce, če je sporočilo prejelo več ljudi v Vaši organizaciji.

Ste vseeno kliknili ali se prijavili?

To se lahko zgodi vsakomur. Največ pomeni hiter odziv.

• Takoj spremenite geslo, z naprave, ki ji zaupate, in tudi povsod drugod, kjer ste uporabljali isto geslo.
• Vklopite preverjanje v dveh korakih (lekcija 8.1).
• Preverite, ali so v Vašem poštnem predalu sledi. Napadalci, ki pridejo v poštni predal, pogosto ustvarijo filter, ki pošto preusmerja ali skriva, ali pa v Vaši identiteti spremenijo Odgovor na. Pri Nastavitve > Filtri, Nastavitve > Identitete in pri Sporočilo o odsotnosti preverite, ali je tam kaj, česar niste ustvarili sami.
• Ste vpisali podatke za plačilo? Takoj pokličite svojo banko.
• Vaš poštni predal nenadoma pošilja neželeno pošto? To sporočite svojemu ponudniku.

V praksi: tako deluje v spletni pošti

V spletni pošti povezavo pokažete z miško, da na dnu brskalnika vidite pravi naslov. S Podrobnosti vidite naslov pošiljatelja, v oknu za sestavljanje pa vidite, kam gre odgovor. Gumb Prijavi neželeno pošto je nad sporočilom.

Na sliki vidite okno, ki se prikaže, ko kliknete Prijavi neželeno pošto. Priročnik za Roundcube to opisuje v razdelku Prijava neželene pošte z gumbom Prijavi neželeno pošto. V drugi spletni pošti, na primer Gmail ali Outlook.com, deluje podobno: tam se gumb imenuje na primer Prijavi lažno predstavljanje ali Prijavi.

Povzetek

• Phishing deluje z naglico, grožnjo, povezavo na ponarejeno stran in pošiljateljem, ki je skoraj pravi.
• Besedilo povezave in prava povezava se razlikujeta: povezavo pokažite z miško ali jo na telefonu dlje časa pridržite.
• Ime domene preberite od desne proti levi; vse, kar je pred njim, izbere lastnik te domene sam.
• Odgovor na, ki kaže na drugo domeno, in opozorilo o sumljivih naslovih sta znaka za opozorilo; uspešno preverjanje DMARC ne dokazuje ničesar o zanesljivosti.
• Ne klikajte, na spletno mesto pojdite sami, prijavite; če ste vseeno kliknili: spremenite geslo in preglejte svoje filtre in identitete.

Kviz

Naloga

Naloga A2.4: Razčlenitev sumljivega sporočila. Gradivo phishing-1.eml je pod to nalogo. Odprite ga kot besedilo (na primer v Beležnici ali TextEdit, ne v svojem poštnem programu) in poiščite glavi From in Reply-To ter naslov za gumbom v vsebini (href). Vpišite: pravo domeno pošiljatelja, domeno, kamor gumb v resnici vodi, domeno naslova Odgovor na, in izberite, ali sporočilu zaupate. Program primerja Vaše odgovore s ključem odgovorov in pri vsakem vprašanju pokaže, kje v datoteki bi to lahko našli.

Za nadaljnje branje

Kjer so opisani koraki v spletni pošti, veljajo za spletno pošto WebOké; v drugi spletni pošti deluje podobno.

• Roundcube Webmail 11.2: Prijava neželene pošte z gumbom Prijavi neželeno pošto
• Je to e-poštno sporočilo res od WebOké? Kako prepoznati lažno sporočilo (phishing) in uporabiti akcijsko kodo
• Prepoznavanje lažnega e-poštnega sporočila (phishinga): tako preberete povezavo in pošiljatelja
• Prevzet poštni predal ali neželena pošta z Vašega naslova: tako to uredite
• Brezplačen tečaj Varno na spletu za podjetnike 1.2: Lažno predstavljanje, prevara izvršnega direktorja in prevara s fakturo
• Brezplačen tečaj Varno na spletu za podjetnike 3.2: Branje domen in povezav
• Brezplačen tečaj Varno na spletu za podjetnike 3.5: Kliknili ste: kaj zdaj?