Phishing

z Wikipédie, slobodnej encyklopédie
Skočit na navigaci Skočit na vyhledávání
Oznam na háčiku: potrebujeme overiť číslo vašej kreditnej karty. Ryba hovorí: nezožer každú návnadu. Chráň svoje dôverné (finančné) informácie.

Phishing (z angl. password fishing – doslova (rybo)lovenie hesiel) je činnosť, pri ktorej sa podvodník snaží pomocou návnady v elektronickej komunikácie vylákať a neoprávnene získať[1] od používateľov osobné údaje ako sú heslá, používateľské mená, podrobnosti o bankových platobných kartách a pod. Podvodník, ktorý využíva phishing sa nazýva phisher.

Princíp[upraviť | upraviť zdroj]

Existuje viacero spôsobov lovenia hesiel. Najčastejšie však phishing prebieha tak, že podvodník (útočník) sa pomocou podvodného (klamlivého) e-mailu (z angl. Email spoofing – doslova vodiť za nos, všeobecnejšie email od falošného odosielateľa) alebo instant messagingu alebo inej komunikácie napríklad na sociálnej sieti alebo webov alebo reklám snaží nasmerovať používateľa na webstránku alebo všeobecnejšie URL adresu, ktorú pripravil práve na tento podvodný účel. Webstránka môže vyzerať ako presná kópia už existujúcej dôveryhodnej stránky, ktorú bežne používateľ navštevuje (napríklad stránka banky[1]) alebo ponúka nejaké výhody po prihlásení. Meno a heslo a ostatné údaje zadané do takejto phishingovej stránky, sa dostanú k podvodníkovi, ktorý ich môže zneužiť sám alebo predať iným.

Informácie, na ktoré býva phishing zameraný[upraviť | upraviť zdroj]

Podľa Google[1] ide o snahu "neoprávnene získať" najmä tieto údaje:

  • používateľské mená a heslá,
  • rodné čísla,
  • čísla bankových účtov,
  • kódy PIN,
  • čísla kreditných kariet,
  • rodné priezvisko vašej matky,
  • dátum narodenia.

Typické znaky phishingu[upraviť | upraviť zdroj]

Phishing môže prebiehať aj tak, že sa rozposielajú e-maily, ktoré oznamujú používateľom zmenu účtu alebo jeho obnovenie a tak lákajú heslá.

Phishingové stránky ponúkajú rôzne „skvelé“ služby (napr. vzácne predmety do MMORPG hier, download hier zdarma po registrácii atp.). Alebo vás phisher kontaktuje ako člen Support teamu, admin a podobne a chce od vás údaje (heslá, čísla účtov), pre overenie. Samozrejme, nikdy žiaden skutočný člen support teamu nekontaktoval zákazníka týmto spôsobom, Banky sa bránia proti phishingu tak, že oznamujú, že nikdy heslá nežiadajú týmto spôsobom.

Typickými znakmi phishingu sú:

  • Falošná emailová adresa odosielateľa. Doména v adrese nezodpovedá organizácii, za ktorú odosielateľ píše. Viditeľný je nesúlad medzi textovou časťou adresy a domény. V dole uvedených príkladoch sú v textovej časti adresy uvedené slovenské banky avšak domény im nezodpovedajú ani doména najvyššej úrovne nie je .sk.
  • Obsah sa týka informácií, na ktoré býva phishing zameraný (pozri hore).
  • Obsah môže byť skomolený, pretože často býva len strojovým prekladom do slovenčiny (pozri príklady)
  • Je zdôrazňovaná urgentnosť správy, tak aby používateľ nad textom veľmi nerozmýšľal a hneď emocionálne konal[2]. Väčšinou na konci býva vyzýva k akcii, ktorá spočíva v kliknutí na link (odkaz URL, obrázok, text a pod.). Namiesto kliknutia je však najlepšou akciou nahlásiť[1] podozrivý email (komunikáciu) prevádzkovateľovi (napríklad ako spam).
  • Spomínaný odkaz URL zvyčajne nevyužíva zabezpečené, šifrované spojenie – adresa sa nezačína reťazcom „https“ (ale len http) [2].
  • Po kliknutí na spomínaný odkaz URL sa zobrazí web stránka, ktorá môže byť graficky nedokonalá, pôsobí ako zle načítaná, nefungujú na nej všetky odkazy alebo obsahuje gramatické chyby. Ak nie je „https“, tak v adresnom riadku prehliadača chýba ikona zeleného zámku. [2]
  • Viaceré prehliadače obsahujú ochranu proti phishingu.[1] Po kliknutí najprv zobrazia upozornenie, že užívateľ sa chystá prejsť na nebezpečné alebo klamlivé webové stránky.[3]

Ochrana pred phishingom[upraviť | upraviť zdroj]

Najlepšia ochrana proti phishingu je nedôverovať stránkam a e-mailom, ktoré chcú vylákať citlivé údaje, hlavne heslá. Zároveň sa odporúča nepoužívať rovnaké prihlasovacie údaje do rôznych služieb.

Niekde už po prezretí URL adresy, ktorú vyžaduje phisher navštíviť je zrejmé že ide o podvod (adresa nie je na doméne firmy, ktorej by mala byť). Po zájdení myšou nad adresu sa táto zobrazuje celá na spodu prehliadača (v stavovom riadku). Deje sa tak však len na počítačoch (a nie na mobiloch) a existujú možnosti ako v niektorých prehliadačoch skutočnú adresu zmeniť alebo zamaskovať.

Niektoré prehliadače (emailové klienty) ako napr. Gmail obsahujú ochranu proti phishingu, ktorú tiež ponúkajú výrobcovia antivírusového softvéru.

Klientov, ktorí majú podozrenie, že na podvod naleteli, banky vyzývajú, aby:

  • túto okolnosť banke nahlásili. [4] (Banka sa môže snažiť falošné weby zablokovať.)
  • Skontrolovali si stav svojho účtu (SMS notifikácie). [4]
  • Zmenili si prihlasovacie údaje.
  • Prípadne zvýšili stupeň overenia identity na dvojstupňové.

Phishing je príkladom techniky sociálneho inžinierstva používanej na oklamanie používateľov zameraný na využitie slabých miest súčasných bezpečnostných technológií (a ich implementácií).

Príklady podvodného e-mailu (niektoré údaje sú zmenené)[upraviť | upraviť zdroj]

Falošná správa 1 - url adresa otvorí elektronické bankovníctvo ak ste klientom tejto banky a snaží sa previesť z vášho účtu 1,34€[upraviť | upraviť zdroj]

Od: Tatra banka <a @ japanlokad.com>

Predmet: Nova funkcia

Dátum: Sob, 5.Jan 2019 04:38:10


Vážený pán / pani,

Radi by sme Vás informovali, že sme pridali novú funkciu na ochranu vášho účtu pred podvodným pokusom a neoprávneným používaním vašej bankovej karty.

Táto prísada je veľmi dôležitá pre vašu ochranu a pohodlie našich zákazníkov.

Aktivujte ho na svojej banke a odpočítajte veľmi jednoduchú sumu:

1,34 EUR

Ak chcete svoju kreditnú kartu overiť a aktivovať ju vo svojom účte.

Na platbu a aktiváciu :

https: / / moja.tatrabanka.sk/cgi-bin/blablablablablablablablab

Funkcia sa po zaplatení automaticky aktivuje.

Zuzana Povodová

Falošná správa 2 - url adresa otvára nib.vub.sk, ktorý je presmerovaný na ib.vub.sk[upraviť | upraviť zdroj]

Od: VUB Banka <test @ wizgreeting.company>

Predmet: oznámenia

Dátum: Sob, 29.Dec 2018 11:09:47

Komu: <monika.perez @ gmail.com>


Vážený zákazník,

Teraz sme aktualizovali naše ďalšie bezpečnostné prvky v bezpečné a bezpečné zabezpečenie online bankovníctva. Ostatní, ktorí čakajú na aktualizáciu, by mali posilniť autentifikáciu prostredníctvom on-line bankovníctva. Ak chcete potvrdiť svoju totožnosť a zabrániť blokovaniu účtu, navštívte stránku:

https: // nib.vub.sk/portal/blablablb

Toto sú pokyny zaslané všetkým klientom VUB a musia byť dodržané.

Vďaka,

VÚB Banka

Referencie[upraviť | upraviť zdroj]

  1. a b c d e Zabránenie phishingovým útokom a ich nahlásenie [online]. support.google.com, [cit. 2019-01-18]. Dostupné online.
  2. a b c KOSNO, Lukáš. Tatra banka eviduje nárast podvodných e-mailov, vystríha klientov [online]. Živé.sk, [cit. 2019-01-18]. Dostupné online.
  3. Manage warnings about unsafe sites - Computer - Google Chrome Help [online]. support.google.com, [cit. 2019-01-18]. Dostupné online.
  4. a b Martin Hodás: Podvodníci vraj zlepšili svoju slovenčinu, Zive.sk, 2019/01/19 online

Pozri aj[upraviť | upraviť zdroj]