Phishing prek SMS-sporočil, klepeta, telefona in kode QR

Modul 3: Prepoznavanje lažnega predstavljanja (phishing) · Čas branja: 12 minut

Učni cilj: Po tej lekciji boste prepoznali phishing zunaj e-pošte: prek SMS-sporočil in klepetalnih aplikacij, po telefonu (tudi z oponašanim glasom), prek kod QR in prek poplave prijavnih obvestil, in boste vedeli, kako preveriti pristnost za vsak kanal posebej.
Ključni pojmi: smishing, prevara »prijatelj v stiski«, vishing, lažno prikazovanje številk (spoofing), lažna podpora, kloniran glas, quishing, bombardiranje z MFA

Zakaj drugi kanali delujejo tako dobro

Vse iz lekcije 3.1 velja tudi tukaj: nujnost, avtoriteta, strah, radovednost in nagrada. Zunaj e-pošte pa trike pogosto delujejo še bolje:

• Na telefonu berete hitro. Zaslon je majhen, naslovi so skrajšani, poleg tega pogosto počnete nekaj drugega hkrati.
• Manj tehničnih zaščit pomaga. Strežnik za e-pošto preverja SPF, DKIM in DMARC ter ima filter za neželeno pošto. Za SMS, klepet in telefon tega praktično ni.
• Deluje bolj osebno. Sporočilo v klepetalni aplikaciji ali glas po telefonu zbuja več zaupanja kot e-pošta.
• Dogaja se v živo. Klicatelj lahko sprašuje naprej, stopnjuje pritisk in Vas vodi korak za korakom.

Refleks ostaja enak: ustavite se, preverite po svoji lastni poti, vprašajte. Razlikuje se le, kako ta preverba izgleda pri posameznem kanalu.

SMS in klepet: smishing in prevara »prijatelj v stiski«

Smishing je phishing prek SMS-sporočil. Prevaranti se izdajajo za organizacijo, od katere bi lahko pričakovali sporočilo: prevoznika, banko, državno službo, Vašega dobavitelja energije. Po navedbah nizozemskega centra za kibernetsko varnost (NCSC) se enako dogaja prek klepetalnih aplikacij, kot sta WhatsApp in Telegram.

Tipičen primer:

Kurirska služba: Vaše pošiljke ni bilo mogoče dostaviti zaradi nepopolnega naslova. Načrtujte novo dostavo: https://koeriersdienst.track-nl.example/z8K

Povezavo preberite tako, kot v lekciji 3.2: registrirljiva domena je track-nl.example in torej ne koeriersdienst.example prevoznika. Na telefonu je to še posebej zahtevno, saj vidite le začetek naslova. Pridržite prst na povezavi, da vidite celoten naslov, ali pa je sploh ne odprite in sami pojdite na aplikacijo ali spletno stran prevoznika.

Številka ali ime pošiljatelja ne dokazuje ničesar. Pošiljatelje SMS-sporočil in telefonske številke je mogoče ponarediti (spoofing). Zaradi tega se lahko lažno sporočilo znajde v istem nizu sporočil kot prava sporočila tega pošiljatelja. Tudi znano ime nad sporočilom torej ni dokaz.

Prevara »prijatelj v stiski« poteka prek klepetalnih aplikacij:

Živijo, to je moja nova številka, telefon se mi je pokvaril. Ali mi lahko nekaj plačate? Jutri Vam vrnem. Potrebujem to še danes.

V podjetju se enak trik pojavi kot sporočilo »direktorja« ali »sodelavca« z novo številko, ki hitro želi plačilo ali darilne bone. Preverite: pokličite ali pišite osebi na staro, znano številko, ali pa postavite vprašanje, na katero lahko odgovori samo prava oseba.

Telefon: vishing, lažna podpora in klonirani glasovi

Vishing (glasovni phishing, voice phishing) je phishing po telefonu. Pogoste so tri oblike.

Bančni uslužbenec. Nekdo pokliče v imenu banke ali »oddelka za goljufije«: obstajajo sumljiva plačila, Vaš denar je treba »zavarovati«, ali pa morate posredovati kodo ali v bančni aplikaciji potrditi plačilo. Na zaslonu se včasih prikaže celo prava številka banke. Tudi to je lahko ponarejeno. Prava banka nikoli ne prosi za Vaše prijavne kode ali za nakazilo denarja na »varen račun«.

Lažna podpora. Nekdo pokliče v imenu ponudnika programske opreme, Vašega ponudnika interneta ali Vašega IT-podjetja: Vaš računalnik je okužen, pojavila se je težava z računom. Prosi Vas, da namestite program za oddaljeni dostop, da lahko »pogleda skupaj z Vami«. S tem prevzame nadzor nad Vašim računalnikom. Nizozemski NCSC to pove preprosto: nikomur kar tako ne dovolite oddaljenega dostopa do Vaših naprav.

Oponašani glas. Z UI je mogoče posnemati glas na podlagi zvočnih posnetkov, na primer iz videoposnetka ali glasovne pošte. Kloniran glas Vašega direktorja ali družinskega člana lahko nato pokliče z nujno prošnjo. Svojim ušesom torej ne morete več slepo zaupati.

Kaj deluje pri vseh treh:

1. Odložite slušalko takoj, ko se pojavi pritisk ali ko Vas prosijo za kode, denar ali dostop. To ni nevljudno.
2. Sami pokličite nazaj na številko, ki ste jo sami poiskali ali jo že imeli: hrbtno stran Vaše bančne kartice, uradno spletno stran, Vaš lastni seznam stikov. Ne na številko, ki jo navede klicatelj.
3. Dogovorite se za kontrolno vprašanje ali geslo z ljudmi, ki Vas lahko prosijo za denar, kot so vodstvo in računovodstvo. Zapišite tudi, da se plačila nikoli ne izvajajo zgolj na podlagi telefonskega klica (lekcija 1.2).

Kode QR: quishing

Koda QR je pravzaprav le povezava, ki je ne morete prebrati. Quishing je phishing s kodo QR. Dve obliki:

• Na ulici ali v prostoru. Nalepka z lastno kodo QR čez pravo, na parkirnem avtomatu, polnilni postaji, jedilnem listu ali plakatu. Mislite, da plačujete v aplikaciji za parkiranje, v resnici pa vnesete podatke kartice na lažni strani.
• V e-pošti ali datoteki PDF. »Skenirajte to kodo, da potrdite svoj e-poštni predal.« Kode QR v sliki ne morete preveriti z miško. Skenirate pa jo s telefonom, kjer naslove slabše preberete.

Nizozemski NCSC med drugim svetuje:

• Ne skenirajte kode QR brez spremnega besedila ali slike in bodite previdni pri kodah na javnih mestih.
• Preverite, ali je koda res natisnjena na plakatu ali tabli, ali pa je nanjo nalepljena nalepka.
• Uporabite skener, ki najprej pokaže, na kateri naslov ali domeno se povezujete. Novejše različice Androida in iOS to prikažejo samodejno prek fotoaparata.
• Če naslova ne prepoznate, ne nadaljujte. Ne vnašajte gesla ali plačilnih podatkov, če niste prepričani, da je stran pristna.

Pri primeru naslova, ki ga pokaže fotoaparat, bodite pozorni na registrirljivo domeno, povsem tako kot v lekciji 3.2. Pri parkirnem avtomatu lahko uporabite tudi uradno aplikacijo za parkiranje ali naslov, naveden na sami tabli.

Bombardiranje z MFA: ko telefon kar naprej piska

Mnoge storitve ob prijavi pošljejo obvestilo na Vaš telefon: »Ali se poskušate prijaviti? Potrdite ali zavrnite.« Če napadalec že ima Vaše geslo, se bo znova in znova poskušal prijaviti. Na telefon prihaja eno obvestilo za drugim, včasih sredi noči. Temu pravimo bombardiranje z MFA (tudi utrujenost od MFA). Napadalec upa, da boste iz razdraženosti ali po pomoti pritisnili Potrdi. Včasih zraven še pokliče ali piše kot »podpora«: »Obnavljamo Vaš račun, le potrdite.«

Kaj storiti:

1. Nikoli ne potrdite obvestila, ki ga niste sami sprožili. Tudi če Vas kdo za to prosi.
2. Vzemite to kot alarm. Nepričakovano prijavno obvestilo pomeni, da nekdo pozna Vaše geslo. Takoj spremenite geslo tega računa, prek same strani ali aplikacije.
3. Preglejte aktivne seje in odjavite neznane seje (lekcija 2.5).
4. Izberite močnejšo obliko dvostopenjskega preverjanja, če je na voljo. Pri ujemanju številk (number matching) morate v aplikacijo prepisati številko s prijavnega zaslona; obvestila brez tega zaslona pred seboj potem ne morete kar tako potrditi. Passkeyi in varnostni ključi (lekcija 2.4) so še močnejši, ker ne delujejo na lažni strani.

V praksi: tako to izgleda

V Moj WebOké lahko pod aktivnimi sejami vidite, kje in kdaj ste se prijavili, in lahko odjavite druge seje (navodilo WebOké 3.6). Druge storitve, kot so Vaš e-poštni program, program za računovodstvo ali Nextcloud, imajo podoben pregled v varnostnih nastavitvah Vašega računa. Tja najprej poglejte po nepričakovanem prijavnem obvestilu.

Povzetek

• Zunaj e-pošte delujejo isti triki, le da manj tehničnih zaščit pomaga in berete hitreje.
• Številka ali ime pošiljatelja na zaslonu ne dokazuje ničesar: oboje je mogoče ponarediti.
• Po telefonu: odložite slušalko, sami pokličite nazaj na znano številko, nikoli ne posredujte kod, denarja ali oddaljenega dostopa. Tudi znan glas je lahko oponašan.
• Kode QR: bodite pozorni na nalepke, pustite, da fotoaparat pokaže naslov, in preberite registrirljivo domeno.
• Nepričakovano prijavno obvestilo je alarm: zavrnite, spremenite geslo, preglejte seje.

Kviz

Naloga

Naloga A3.4: Branje QR kode brez odpiranja. Program prikaže kodo QR. Skenirajte jo s fotoaparatom telefona, vendar povezave ne odprite. Preberite naslov, ki ga pokaže fotoaparat, in vnesite registrirljivo domeno ter odgovorite, ali bi povezavo odprli. Program odgovor preveri.

Naloga D3.4: Dogovori za telefon, klepet in prijavna obvestila. S svojo ekipo se dogovorite o tem, kako poteka vračanje klica, o kontrolnem vprašanju ali geslu ter o tem, kaj storiti ob nepričakovanem prijavnem obvestilu. Nato na svojem telefonu preverite, ali fotoaparat pred odpiranjem prikaže naslov kode QR.

Za nadaljnje branje

Koraki v člankih WebOké veljajo za okolje WebOké; pri drugih ponudnikih je postopek podoben.

• Priročnik WebOké 3.6: Prikaz in odjava aktivnih sej
• Priročnik za Nextcloud 3.6: Naprave in seje ogled, preklic ali daljinski izbris
• SI-CERT, nasveti o lažnih sporočilih in phishingu: https://www.cert.si/
• SI-CERT, prepoznavanje lažnih telefonskih klicev: https://www.cert.si/
• SI-CERT, nasveti o kodah QR: https://www.cert.si/
• SI-CERT, prijava goljufij in phishinga: https://www.cert.si/