Kliknili ste: kaj zdaj?

Modul 3: Prepoznavanje lažnega predstavljanja (phishing) · Čas branja: 12 minut

Cilj učenja: Po tej lekciji boste vedeli, kaj storiti v prvih urah po kliku, vnesenem geslu, vnesenih podatkih o bančnem računu ali odprti priponki, v pravilnem vrstnem redu, in kako prijaviti ter posredovati lažno predstavljanje (phishing).
Ključni pojmi: omejitev škode, sprememba gesla z neokužene naprave, preklic sej, klic banki, prijava, posredovanje lažnega sporočila (na primer SI-CERT in zlorabljeni blagovni znamki)

Zgodi se vsakomur

Vsak enkrat klikne na napačno povezavo. Tudi ljudje, ki so opravili ta tečaj, tudi strokovnjaki za IT. Dobro sestavljeno lažno sporočilo pride ob napačnem trenutku, s pravo zgodbo. Sramovanje ne pomaga, hitro ukrepanje pa. Prej ko ukrepate, manj lahko napadalec stori s tem, kar je pridobil.

Zato je prvi korak v vsakem podjetju: prijavite takoj, sodelavcu, ki skrbi za IT, ali Vašemu IT podjetju. Dogovorite se, da oseba, ki prijavi klik, dobi zahvalo in ne graje (več o tem v lekciji 9.2). Kdor se boji kazni, molči, in takrat ima napadalec na voljo več dni.

Najprej ugotovite: kaj se je natanko zgodilo?

Kaj morate storiti, je odvisno od tega, kako daleč ste šli. To najprej na kratko in iskreno ugotovite.

Samo klik običajno ni resen: sodobni brskalniki so dobro zaščiteni. Toda klik lahko sproži tudi prenos datoteke. Če ste v dvomih, obravnavajte to kot resnejšo situacijo.

Korak za korakom v prvih urah

1. Prijavite znotraj podjetja. Takoj, tudi ob dvomu. Povejte, kaj ste videli, kdaj, in kaj ste vnesli ali odprli. Sporočilo shranite: ne izbrišite ga, potrebovali ga boste za prijavo.

2. Omejite škodo. Ste odprli priponko ali nekomu omogočili dostop? Napravo odklopite iz omrežja: izklopite wifi, izvlecite omrežni kabel. Ne izklopite je takoj, saj lahko to, kar je v pomnilniku, pomaga pri preiskavi (lekcija 8.3). Na tej napravi ne delajte naprej.

3. Pri denarju pokličite banko. Če ste vnesli podatke o bančnem računu ali potrdili plačilo, takoj pokličite banko, na številko na Vaši kartici ali uradni spletni strani. Hitreje ko ukrepate, večja je možnost, da se plačilo zaustavi ali povrne. Tudi plačilo na lažni IBAN po prevari s ponarejenim računom takoj prijavite banki.

4. Spremenite geslo z neokužene naprave. Spremenite geslo računa, kamor ste ga vnesli. To storite na drugi napravi, kot je tista, na kateri ste odprli priponko, saj lahko na slednji program spremlja Vaše vnose. Naslov vtipkajte sami ali uporabite zaznamek, ne povezave iz sporočila. Če ste isto geslo uporabili tudi drugje, ga spremenite tudi tam (lekcija 2.1).

5. Prekličite seje in preverite račun. Novo geslo napadalca, ki je že vstopil, ne vrže vedno samodejno ven. Zato odjavite vse druge seje (lekcija 2.5) in preverite, kaj je morda spremenil:

• dvostopenjsko preverjanje (2FA): ali je dodana neznana aplikacija ali neznana telefonska številka?
• podatki za obnovitev: je bil spremenjen e-poštni naslov ali telefonska številka za obnovitev?
• pravila za posredovanje in filtri v Vašem poštnem predalu: napadalec rad nastavi pravilo, ki vso pošto, ali samo pošto z besedo "račun" v vsebini, posreduje na svoj naslov ali jo takoj izbriše. Tako bere naprej, tudi če ste geslo že spremenili;
• poslani elementi: so bila poslana sporočila, ki jih niste napisali Vi? Potem morate opozoriti svoje stike.

6. Prijava in posredovanje. Glejte spodaj.

7. Preverite, ali gre za kršitev varstva podatkov. Je napadalec imel dostop do poštnega predala, seznama strank ali drugega okolja z osebnimi podatki? Potem gre morda za kršitev varstva podatkov. V skladu z GDPR morate kršitev brez nepotrebnega odlašanja in po možnosti v 72 urah po odkritju prijaviti Informacijskemu pooblaščencu, razen če ni verjetno, da pomeni tveganje za posameznike, na katere se nanaša. V vsakem primeru jo zabeležite v svojo evidenco kršitev. Kako to presoditi, se naučite v lekciji 8.2.

Prijava in posredovanje lažnega sporočila

Prijava ima smisel, tudi če se ni nič zgodilo. Tako lahko lažna spletna stran hitreje izgine, drugi pa so opozorjeni.

Prijavite SI-CERT. Lažno sporočilo s sumljivimi povezavami ali priponkami lahko prijavite SI-CERT (https://www.cert.si/). Priporočeno:

• sporočilo pošljite po možnosti kot priponko. Pri navadnem posredovanju se tehnični podatki (glave iz lekcije 3.3) izgubijo. Če to ni mogoče, na primer na telefonu, ga preprosto posredujte naprej;
• če sporočilo izgleda, kot da prihaja od banke ali drugega znanega podjetja, dodajte naslov tega podjetja v kp (cc). Mnoge organizacije imajo lastna prijavna mesta za lažna sporočila;
• sms, WhatsApp in druga sporočila ne pošiljajte na ta naslov, temveč jih prijavite preko ustreznega obrazca ali kanala, ki ga navaja SI-CERT. Enak kanal uporabite tudi za sumljivo sporočilo brez povezav ali priponk, in za prevaro prek telefonskega klica (lažna služba za pomoč uporabnikom).

V mnogih poštnih programih se posredovanje kot priponka imenuje "Posreduj kot priponko" ali podobno.

Zlorabljeni blagovni znamki. Če je zlorabljeno ime banke, prevoznika ali dobavitelja, to sporočite tej organizaciji preko kanala, ki ga sami poiščete na njihovi uradni spletni strani, ne preko prejetega sporočila. Mnoge organizacije imajo lasten naslov za prijavo lažnega predstavljanja. Če gre za Vašega lastnega ponudnika gostovanja ali e-pošte, pošljite tudi tja; pri WebOké je to mogoče z zahtevkom (ticket), s sporočilom kot priponko (Baza znanja 581).

Ovadba pri policiji. Če ste izgubili denar, ali je prišlo do zlorabe ali poskusa zlorabe, vložite ovadbo. SI-CERT svetuje in zbira prijave, vendar sam ne preiskuje. To lahko stori samo policija.

Nato lahko sporočilo izbrišete in pošiljatelja blokirate.

Pregled po tednu dni

Napad se ne konča vedno po enem dnevu. Nastavite opomnik za teden dni kasneje:

• Ali so nova obvestila o prijavi ali neznane seje?
• So na bančnih izpiskih neznana plačila?
• So nova pravila za posredovanje ali filtri v poštnem predalu?
• Se stranke ali dobavitelji pritožujejo nad čudno pošto v Vašem imenu? Potem je Vaš poštni predal morda še vedno zlorabljen za pošiljanje neželene pošte (Baza znanja 25).
• Kaj se lahko naučimo? Je bilo sporočilo dobro prepoznavno, in kaj bi ga naslednjič prej razkrilo?

V praksi: tako je videti

Ponedeljek, 9:12. Fatima iz Pekarne Example vnese svoje e-poštno geslo na ponarejeni prijavni strani "računovodskega programa". Ob 9:15 opazi, da je bil naslov boekhoudpakket.inlog-check.example. Prijavi to Keesu, ki skrbi za IT. Ob 9:20 Kees s svojega prenosnika spremeni geslo njenega poštnega predala in odjavi vse seje. V spletni pošti najde novo pravilo: vsa pošta z besedo "račun" gre na neznan naslov in se nato izbriše. Odstrani pravilo, vklopi dvostopenjsko preverjanje in preveri poslane elemente: nič ni bilo poslano. Fatima pošlje lažno sporočilo kot priponko SI-CERT. Kees to zabeleži v dnevnik incidentov in preveri, ali je napadalec morda videl osebne podatke. Po tednu dni ponovno preveri pravila in seje.

Kje se nahajajo ta pravila in seje, se razlikuje glede na okolje. Pri WebOké so posredovanja naslova v Moj WebOké in v DirectAdmin (Forwarders), pravilo pa je lahko tudi v spletni pošti ali v samem poštnem programu. Pri drugih ponudnikih deluje podobno: iščite po izrazih posredovanje, forwarders, pravila ali filtri.

Povzetek

• Vsak kdaj klikne. Prijavite takoj, brez sramu, in se dogovorite, da je prijava nagrajena.
• Najprej ugotovite, kaj se je zgodilo: samo klik, geslo, koda, bančni podatki, priponka ali dostop na daljavo.
• Vrstni red: prijava, omejitev škode (iz omrežja), klic banki pri denarju, sprememba gesla z neokužene naprave, preklic sej in pregled računa (predvsem pravil za posredovanje), prijava in posredovanje, presoja kršitve varstva podatkov.
• Lažno sporočilo pošljite kot priponko SI-CERT, z zlorabljeno blagovno znamko v kp (cc); sms in sporočila v klepetu preko ustreznega obrazca. Ob škodi: ovadba.
• Po tednu dni ponovno preverite.

Kviz

Naloga

Naloga A3.5: Stopnje po kliku. Prejmete situacijo in sklad kartic s koraki. Izberite potrebne korake in jih razvrstite v pravilen vrstni red. Program preveri in pojasni, zakaj mora biti korak prej ali kasneje.

Za nadaljnje branje

Koraki v člankih WebOké veljajo za okolje WebOké; pri drugih ponudnikih deluje podobno.

• Je ta e-pošta res poslana s strani WebOké? Prepoznavanje lažnega predstavljanja (phishing) in uporaba kode za akcijo
• Prevzet poštni predal ali neželena pošta z Vašega naslova: tako to uredite
• Priročnik WebOké 3.6: Prikaz in odjava aktivnih sej
• Priročnik DirectAdmin 3.7: Varna gesla in kaj storiti ob uhajanju gesla
• SI-CERT, prijava lažnih sporočil: https://www.cert.si/
• SI-CERT, prijava prevar preko sms, WhatsApp in drugih kanalov: https://www.cert.si/
• SI-CERT, lažno predstavljanje (phishing): https://www.cert.si/