Phishing

z Wikipédie, slobodnej encyklopédie
Skočit na navigaci Skočit na vyhledávání
Oznam na háčiku: potrebujeme overiť číslo vašej kreditnej karty. Ryba hovorí: nezožer každú návnadu. Chráň svoje dôverné (finančné) informácie.

Phishing je činnosť, pri ktorej sa podvodník snaží pomocou návnady v elektronickej komunikácii vylákať a neoprávnene získať[1] od používateľov osobné údaje ako sú heslá, používateľské mená a ďalšie podrobnosti napríklad o platobných kartách, aby ich mohol zneužiť na nekalé účely ako vydieranie, krádež peňazí alebo identity.

Názov[upraviť | upraviť kód]

Výraz „phishing“ je v angličtine novotvar, ktorý vznikol na základe homofónnej podoby so slovom „fishing“, ktoré znamená rybolov, a naznačuje podobný význam chytania obete na návnadu. (Tiež zjednodušene interpretované aj ako angl. password fishing – doslova (rybo)lovenie hesiel.) Začiatočné písmená „ph-“ sú odkazom na "phreaking”, ktorý využívali v minulom storočí pri svojom experimentovaní s možnosťami telekomunikačných systémov hakeri, ktorí zašli až za hranice legálnosti.[2] Do slovenčiny sa zatiaľ neprekladá. Podvodník, ktorý využíva phishing sa nazýva phisher.

Princíp[upraviť | upraviť kód]

Existuje viacero spôsobov lovenia hesiel. Najčastejšie však phishing prebieha tak, že podvodník (útočník) sa pomocou podvodného (klamlivého) e-mailu (z angl. email spoofing – doslova vodiť za nos, všeobecnejšie email od falošného odosielateľa) alebo instant messagingu, SMS alebo inej komunikácie napríklad na sociálnej sieti alebo webov alebo reklám alebo malware snaží nasmerovať používateľa na webstránku alebo všeobecnejšie URL adresu, ktorú pripravil práve na tento podvodný účel. Webstránka môže vyzerať ako presná kópia už existujúcej dôveryhodnej stránky, ktorú bežne používateľ navštevuje (napríklad stránka banky[1]) alebo ponúka nejaké výhody po prihlásení. Meno a heslo a ostatné údaje zadané do takejto phishingovej stránky, sa dostanú k podvodníkovi, ktorý ich môže zneužiť sám alebo predať iným.

Informácie, na ktoré býva phishing zameraný[upraviť | upraviť kód]

Podľa Google[1] ide o snahu "neoprávnene získať" najmä tieto údaje:

Typické znaky phishingu[upraviť | upraviť kód]

Phishing môže prebiehať aj tak, že sa rozposielajú správy, ktoré oznamujú používateľom zmenu účtu alebo jeho obnovenie a tak lákajú heslá.

Phishingové stránky ponúkajú rôzne „skvelé“ služby (napr. vzácne predmety do MMORPG hier, download hier zdarma po registrácii atp.) alebo vás phisher kontaktuje ako člen support teamu (podpora), admin a podobne a chce od vás údaje (heslá, čísla účtov), pre overenie. Samozrejme, nikdy žiaden skutočný člen support teamu nekontaktoval zákazníka týmto spôsobom. Banky sa bránia proti phishingu tak, že oznamujú, že nikdy heslá nežiadajú týmto spôsobom.

Typickými znakmi phishingu sú:

  • Falošná emailová adresa odosielateľa. Doména v adrese nezodpovedá organizácii, za ktorú odosielateľ píše. Viditeľný je nesúlad medzi textovou časťou adresy a domény. V dole uvedených príkladoch sú v textovej časti adresy uvedené slovenské banky avšak domény im nezodpovedajú ani doména najvyššej úrovne nie je .sk.
  • Obsah sa týka informácií, na ktoré býva phishing zameraný (pozri hore).
  • Obsah môže byť skomolený, pretože často býva len strojovým prekladom do slovenčiny (pozri príklady).
  • Je zdôrazňovaná urgentnosť správy, tak aby používateľ nad textom veľmi nerozmýšľal a hneď emocionálne konal[3]. Väčšinou na konci býva vyzýva k akcii, ktorá spočíva v kliknutí na link (odkaz URL, obrázok, text a pod.). Namiesto kliknutia je však najlepšou akciou nahlásiť[1] podozrivý email (komunikáciu) prevádzkovateľovi (napríklad ako spam).
  • Spomínaný odkaz URL zvyčajne nevyužíva zabezpečené, šifrované spojenie – adresa sa nezačína reťazcom „https“ (ale len http) [3]. Ak nie je „https“, tak v adresnom riadku prehliadača chýba ikona (zvyčajne zeleného) zámku. [3]
  • Po kliknutí na spomínaný odkaz URL sa môže zobraziť web stránka, ktorá môže byť graficky nedokonalá, pôsobí ako zle načítaná, nefungujú na nej všetky odkazy alebo obsahuje gramatické chyby.
  • Viaceré prehliadače obsahujú ochranu proti phishingu.[1] Po kliknutí najprv zobrazia upozornenie, že užívateľ sa chystá prejsť na nebezpečné alebo klamlivé webové stránky.[4]

Ochrana pred phishingom[upraviť | upraviť kód]

  • Najlepšia ochrana proti phishingu je nedôverovať stránkam a e-mailom, ktoré chcú vylákať citlivé údaje, hlavne heslá. Zároveň sa odporúča nepoužívať rovnaké prihlasovacie údaje do rôznych služieb. (Chráňte si svoje heslá a nikomu ich neprezrádzajte. Nezverejňujte vaše citlivé osobné informácie na webe, po telefóne, osobne ani emailom v žiadnom prípade aj keď výzva môže pôsobiť veľmi urgentne.) Podozrivé požiadavky emailom, telefonicky alebo sms na poskytnutie citlivých informácií radšej najprv overiť na zákazníckej linke banky.[5]
  • Niekde už po prezretí URL adresy, ktorú vyžaduje phisher navštíviť, je zrejmé že ide o podvod (adresa nie je na doméne firmy, ktorej by mala byť). Po zájdení myšou nad adresu sa táto zobrazuje celá na spodku prehliadača (v stavovom riadku). Deje sa tak však len na počítačoch (a nie na mobiloch) a existujú možnosti ako v niektorých prehliadačoch skutočnú adresu zmeniť alebo zamaskovať. Pri práci s internetbankingom používajte len šifrované spojenie - stránky s adresou začínajúcou https:// . V prípade pochybností skontrolujte (platnosť) bezpečnostného certifikátu (zvyčajne kliknutím na zobrazený zámok).[5]
  • Nikdy nepracovať s internetbankingom cez nezabezpečené wifi siete (tzv. freewifi). [5]
  • Niektoré prehliadače a emailové klienty (s funkciou DMARC) ako napr. Gmail[6] obsahujú ochranu proti phishingu, ktorú tiež ponúkajú výrobcovia antivírusového softvéru[2] .
  • Pravidelne aktualizujte operačný a antivírusový systém.[7]
  • Najlepším spôsobom ako sa pred týmto útokom ubrániť je úplne ich ignorovať.[7]

Klientov, ktorí majú podozrenie, že na podvod naleteli, banky vyzývajú, aby:

  • Pokiaľ si nie ste istí, ako postupovať nie je hanba kontaktovať banku.[7]
  • Túto okolnosť banke nahlásili.[8] (Banka sa môže snažiť falošné weby zablokovať.)
  • Skontrolovali si stav svojho účtu (SMS notifikácie).[8]
  • Zmenili si prihlasovacie údaje.
  • Prípadne zvýšili stupeň overenia identity na dvojstupňové overenie, čo od bánk od 14.9.2019 vyžaduje EÚ smernica o bezkontaktných platbách a platbách prostredníctvom internetu (Payment Service Directive 2).

Iné spôsoby krádeže identity[upraviť | upraviť kód]

Phishing je príkladom techniky sociálneho inžinierstva[9] používanej na oklamanie používateľov zameraný na využitie slabých miest súčasných bezpečnostných technológií (a ich implementácií). Špeciálnym prípadom phishingu je spear phishing, ktorý je útokom na úzku skupinu potenciálnych obetí, väčšinou takých, ktorí majú prístup k citlivým informáciám o organizácii a spravidla sú v organizačnom rebríčku vyššie postavení. Takéto emaily sú úzko zamerané a personalizované. Útočníci sa pri tejto technike zvyčajne spoliehajú na diery v systéme (tzv. „exploity“), čiže škodlivé kódy, ktoré využívajú zraniteľnosti softvéru vo vyhliadnutom počítači.“ [10]

Na podobnom princípe ako phishing sú založené aj ďalšie podvody, keď sa podvodníci snažia vylákať dáta prostredníctvom telefonátu (vishing - Voice phishing), či cez sms správu s URL odkazom na podvodnú stránku alebo výzvou na odpovedanie na telefónne číslo (smshing - SMS phishing). Útočníci citlivé údaje skúšajú získať aj cez zavírený počítač alebo mobilné zariadenie prostredníctvom podvodného presmerovania web stránok (pharming).[5]

V roku 2014 slovenské banky zaznamenali 52 prípadov skimmingu (zariadenia v bankomate na skimming platobných kariet). [11] V roku 2017 v Bulharsku a Španielsku zadržali podvodníkov, ktorí inštalovali zariadenia na skimming kariet do viac než štyroch stoviek bankomatov ročne. Kopírovali a klonovali kreditné karty a použili ich na nelegálne transakcie. Počty skimmingových útokov v Európe pritom klesajú a počet incidentov je najnižší od roku 2005. V roku 2015 ich bolo zhruba 3 300. [12] Slovenská banková asociácia odporúča tieto základné opatrenia ako sa brániť proti skimmingu:[11]

  • Pri zadávaní PIN čísla treba druhou rukou dôsledne zakryť klávesnicu, aby kód nedokázala nasnímať prípadná skrytá kamera.
  • Pred použitím bankomatu ho vizuálne skontrolovať, či nebol upravený (pohyblivé časti, ťažšia manipulácia s kartou a pod.).
  • Pravidelne kontrolovať obraty na svojom účte. Nastaviť si sms notifikácie o pohyboch na účte a zároveň kontrolovať aktuálnosť telefonického kontaktu uvedeného v banke.

Príklady podvodného e-mailu (niektoré údaje sú zmenené)[upraviť | upraviť kód]

Falošná správa 1 - url adresa otvorí elektronické bankovníctvo ak ste klientom tejto banky a snaží sa previesť z vášho účtu 1,34€
Od: Tatra banka <a @ japanlokad.com>
Predmet: Nova funkcia
Dátum: Sob, 5.Jan 2019 04:38:10
Vážený pán / pani,
Radi by sme Vás informovali, že sme pridali novú funkciu na ochranu vášho účtu pred podvodným pokusom a neoprávneným používaním vašej bankovej karty.
Táto prísada je veľmi dôležitá pre vašu ochranu a pohodlie našich zákazníkov.
Aktivujte ho na svojej banke a odpočítajte veľmi jednoduchú sumu:
1,34 EUR
Ak chcete svoju kreditnú kartu overiť a aktivovať ju vo svojom účte.
Na platbu a aktiváciu :
https: / / moja.tatrabanka.sk/cgi-bin/blablablablablablablablab
Funkcia sa po zaplatení automaticky aktivuje.
Zuzana Povodová
Falošná správa 2 - url adresa otvára nib.vub.sk, ktorý je presmerovaný na ib.vub.sk
Od: VUB Banka <test @ wizgreeting.company>
Predmet: oznámenia
Dátum: Sob, 29.Dec 2018 11:09:47
Komu: <monika.perez @ gmail.com>
Vážený zákazník,
Teraz sme aktualizovali naše ďalšie bezpečnostné prvky v bezpečné a bezpečné zabezpečenie online bankovníctva. Ostatní, ktorí čakajú na aktualizáciu, by mali posilniť autentifikáciu prostredníctvom on-line bankovníctva. Ak chcete potvrdiť svoju totožnosť a zabrániť blokovaniu účtu, navštívte stránku:
https: // nib.vub.sk/portal/blablablb
Toto sú pokyny zaslané všetkým klientom VUB a musia byť dodržané.
Vďaka,
VÚB Banka



Falošná správa 3 - vydieranie mailom pre "návštevu webu pro dospělé" (sex blackmail - môže byť anglicky a obsahovať aj vaše heslo)[13]

Predmet: Bezpečnostní upozornění
Dátum: Február 2019
Ahoj! Jak jste si možná všimli, poslal jsem vám e-mail z vašeho účtu. To znamená, že mám plný přístup k vašemu účtu. Díval jsem se na tebe už několik měsíců. Skutečnost je, že jste byli nakaženi škodlivým softwarem prostřednictvím webu pro dospělé, který jste navštívili.
...
Pokud to chcete zabránit, přeneste částku 252€ na svou adresu bitcoin (pokud nevíte, jak to udělat, pak napište na Google: "Koupit Bitcoin").
...
S pozdravem!

Falošná správa 4 - OTP BANKA - DÔLEŽITÉ SPRÁVY
Od: OTP BANKA SK <blblbla@servis369.com> Predmet: DÔLEŽITÉ SPRÁVY Dátum: Pia, 20.Sep 2019 13:37:23 Vážený zákazník, Z dôvodu našej nedávnej bezpečnostnej kontroly vašich služieb OTP BANKA požadujeme, aby ste si overili údaje o vašom účte zaregistrované u nás, aby ste sa uistili, že váš účet nebol porušený. Jednoducho kliknite na náš odkaz na zabezpečený server a prihláste sa a overte svoje údaje. ZOBRAZIŤ NA BEZPEČNÝ SERVER:https: //otpdirekt.otpbanka.sk/login/login_main_jelszoalapu.jsp Zabezpečenie účtu je jednou z našich najvyšších priorít. Ak neoveríte svoj účet do 48 hodín, povedie to k pozastaveniu prístupu k vášmu online účtu. Ospravedlňujeme sa za nepríjemnosti. S pozdravom, OTP BANK SK

Referencie[upraviť | upraviť kód]

  1. a b c d e Zabránenie phishingovým útokom a ich nahlásenie [online]. support.google.com, [cit. 2019-01-18]. Dostupné online.
  2. a b What are Phishing scams and anti-phishing protection [online]. www.eset.com, [cit. 2019-05-05]. Dostupné online.
  3. a b c KOSNO, Lukáš. Tatra banka eviduje nárast podvodných e-mailov, vystríha klientov [online]. Živé.sk, [cit. 2019-01-18]. Dostupné online.
  4. Manage warnings about unsafe sites - Computer - Google Chrome Help [online]. support.google.com, [cit. 2019-01-18]. Dostupné online.
  5. a b c d Ako to je naozaj. Opatrenia proti phishingu [online]. www.sbaonline.sk, [cit. 2019-09-23]. Dostupné online.
  6. Manage suspicious emails with DMARC - G Suite Admin Help [online]. support.google.com, [cit. 2019-05-05]. Dostupné online.
  7. a b c Nenechajte sa dolapiť lovcami údajov | mBank.sk [online]. www.mbank.sk, [cit. 2019-10-02]. Dostupné online.
  8. a b Martin Hodás: Podvodníci vraj zlepšili svoju slovenčinu, Zive.sk, 2019/01/19 online
  9. Bezpečnostná študovňa » Bezpečnostné hrozby a zraniteľnosti » Sociálne inžinierstvo [online]. Computer Security Incident Response Team Slovakia - csirt.gov.sk, [cit. 2019-10-09]. Dostupné online.
  10. ŽIVÉ.SK. Spear phishing: Cielený podvod priamo na vás [online]. Živé.sk, 2019-10-09, [cit. 2019-10-09]. Dostupné online.
  11. a b Ako ochrániť svoje peniaze. Opatrenia proti skimmingu [online]. www.sbaonline.sk, [cit. 2019-09-23]. Dostupné online.
  12. TREND.SK. Zatkli kartový gang. Na klonovanie zneužíval bankomaty [online]. www.etrend.sk, [cit. 2019-05-05]. Dostupné online.
  13. SLÍŽEK, David. "Poslal jsem vám e-mail z vašeho účtu." E-maily se šíří další vlna vyděračského spamu [online]. Lupa.cz, [cit. 2019-06-19]. Dostupné online. (po česky)

Pozri aj[upraviť | upraviť kód]