Phishing: co to jest i jak wykryć fałszywy mail
Co to jest phishing?
Phishing (wymawiany jak angielskie „fishing”) to forma oszustwa przez e-mail, SMS lub czat. Nadawca „łowi” coś od ciebie: hasło do logowania, płatność, dane bankowe albo dostęp do twoich systemów. Wiadomość udaje, że pochodzi od kogoś, komu ufasz, żeby skłonić cię do kliknięcia lub odpowiedzi bez zastanowienia.
Większość phishingu to robota masowa: ta sama fałszywa wiadomość trafia jednocześnie do tysięcy osób w nadziei, że część z nich da się nabrać. Istnieje też phishing ukierunkowany (czasem nazywany „spear phishingiem”), w którym atakujący dopasowuje wiadomość do ciebie lub twojej firmy, z twoim prawdziwym nazwiskiem albo nazwiskiem współpracownika. Taki trudniej rozpoznać, bo wygląda na osobisty.
Jak rozpoznać phishing: sygnały
Rzadko jedna rzecz zdradza fałszywego maila; to suma sygnałów uruchamia dzwonek alarmowy. Sprawdź po kolei:
- Nadawca prawie się zgadza. Wyświetlana nazwa może wyglądać na prawdziwą, ale stojący za nią adres e-mail się różni: dziwna domena, dodatkowe znaki albo lekko przekręcona nazwa firmy. Kliknij nazwę nadawcy, żeby zobaczyć pełny adres.
- Link prowadzi gdzie indziej. Najedź kursorem na link (bez klikania) i sprawdź, dokąd naprawdę prowadzi. Jeśli różni się od tekstu albo to dziwny adres strony, miej się na baczności.
- Ktoś cię pogania. „Twoje konto zostanie zablokowane w ciągu 24 godzin”, „zapłać teraz, inaczej dostaniesz karę”. Presja i groźby mają sprawić, że zadziałasz szybko i bez zastanowienia.
- Prośba jest niespodziewana. Faktura, której się nie spodziewasz, reset hasła, o który nie prosisz, szef, który nagle mailem prosi o pilną płatność. Niespodziewane to powód, żeby sprawdzić dwa razy.
- Treść jest „nie do końca w porządku”. Dziwne powitanie („Drogi kliencie” bez twojego imienia), toporny język, błędy albo logo, które wygląda trochę inaczej.
- Ktoś prosi o poufne informacje. Prawdziwy bank czy usługa nigdy nie prosi mailem o pełne hasło lub kod PIN.
Bardziej szczegółowe przykłady maili phishingowych pomogą ci jeszcze szybciej rozpoznać schemat.
Jak działa phishing
Atak phishingowy przebiega zwykle w trzech krokach. Najpierw przynęta: wiarygodna wiadomość, która naśladuje zaufanego nadawcę. Potem haczyk: link do fałszywej strony, która wygląda dokładnie jak prawdziwy ekran logowania, albo załącznik ze złośliwym oprogramowaniem. Na koniec łup: jeśli wpiszesz swoje dane na fałszywej stronie, trafiają one prosto do atakującego.
Żeby wyglądać wiarygodnie, oszuści często nadużywają nazwy prawdziwej firmy. Mogą też sfałszować nazwę nadawcy, tak że mail wygląda, jakby pochodził od kogoś, kogo znasz; to tak zwany spoofing. Jak sprawić, żeby nikt nie wysyłał maili w imieniu twojej domeny, przeczytasz w artykule o tym, jak zapobiec spoofingowi.
W ostatnich latach rzuca się w oczy, jak dopracowany potrafi być phishing. Kiedyś fałszywy mail roił się od błędów, dziś często wygląda profesjonalnie, z poprawnymi logo i płynnym językiem. Nie ufaj więc ślepo temu, że „wygląda na prawdziwy”. Liczy się suma sygnałów i zdrowy rozsądek: czy spodziewam się tej wiadomości, czy nadawca się zgadza i czy ktoś wywiera na mnie presję? Te pytania chronią cię lepiej niż wygląd maila.
Na co trzeba uważać
Poza rozpoznawaniem liczą się twoje nawyki. Kilka zasad, które oszczędzą ci sporo kłopotów:
- Nie klikaj, wejdź samodzielnie. Nie ufasz wiadomości od banku lub usługi? Nie korzystaj z linku, tylko wpisz adres w przeglądarce samodzielnie albo użyj oficjalnej aplikacji.
- Sprawdź innym kanałem. Współpracownik lub dostawca prosi mailem o pilną płatność albo podaje zmieniony numer konta? Zadzwoń. Jeden telefon zapobiega większości szkód.
- Nie otwieraj niespodziewanych załączników. Zwłaszcza plików zip czy dokumentów, które „trzeba włączyć”. Jeśli masz wątpliwości, nie otwieraj ich.
- Nigdy nie wpisuj danych logowania po kliknięciu linku z maila. Kodu 2FA też nie. Prawdziwa usługa nie zmusza cię do tego mailem.
- Oszustwo jednak się udało? Od razu zmień dane hasło (i wszędzie tam, gdzie używasz tego samego hasła), włącz weryfikację dwuetapową i zgłoś to osobie odpowiedzialnej za IT lub danej instytucji. Szybkie działanie ogranicza szkody.
A w Mailflux?
Nie musisz zatrzymywać phishingu w pojedynkę. W Mailflux filtrowanie spamu, phishingu i złośliwego oprogramowania oparte na uczeniu maszynowym jest w standardzie w każdym planie: wiele fałszywych wiadomości zostaje zatrzymanych, zanim dotrą do twojej skrzynki odbiorczej. System stale się uczy, więc nadąża za nowymi sztuczkami.
Do tego każdy plan obejmuje ochronę antywirusową i przed złośliwym oprogramowaniem; w planach Pro i Premium dostajesz ochronę premium przed złośliwym oprogramowaniem, czyli dodatkową, mocną warstwę przeciw szkodliwym załącznikom. A ponieważ wysyłasz maile z własnej domeny, technicznymi ustawieniami (SPF, DKIM, DMARC) możesz pomóc zapobiec temu, żeby oszuści nadużywali twojej nazwy. Więcej na ten temat w artykule e-mail we własnej domenie. Filtr wyłapuje wiele. Resztę robi twoja uważność.
FAQ
Najczęściej zadawane pytania
Czym phishing różni się od spamu?
Spam to niezamówiona reklama lub wysyłka masowa: irytująca, ale zwykle nie bezpośrednio szkodliwa. Phishing to celowe oszustwo, które ma ukraść twoje dane, pieniądze lub dostęp. Filtr antyspamowy wyłapuje jedno i drugie, ale phishing jest groźniejszy, bo świadomie próbuje nakłonić cię do działania.
Kliknięcie w link phishingowy: co teraz?
Bez paniki, ale działaj szybko. Jeśli niczego jeszcze nie wpisano, zwykle nic poważnego się nie stało. Zamknij stronę. Jeśli wpisano dane, od razu zmień to hasło (i wszędzie tam, gdzie go używasz ponownie), włącz 2FA i powiadom osobę odpowiedzialną za IT lub daną usługę.
Czy filtr antyspamowy może zatrzymać cały phishing?
Nie, żaden filtr nie wyłapuje wszystkiego. Dobry filtr oparty na uczeniu maszynowym zatrzymuje lwią część, ale ukierunkowany lub nowy phishing czasem się prześlizguje. Dlatego twoja uważność pozostaje niezbędna: sprawdzaj nadawcę i linki i podchodź krytycznie do niespodziewanych lub pilnych próśb.