Kako deluje phishing sporočilo

Modul 3: Prepoznavanje lažnega predstavljanja (phishing) · Čas branja: 11 minut

Učni cilj: Po tej lekciji boste prepoznali psihološke trike in stalne značilnosti phishing sporočila, tudi če je besedilo brez napak, in se odzvali z refleksom ustavi se, preveri, vprašaj.
Ključni pojmi: nujnost, avtoriteta, strah, radovednost, nagrada, pretext, phishing, napisan z UI, refleks "ustavi se, preveri, vprašaj"

Phishing je zgodba, ne tehnika

Phishing je sporočilo, ki Vas napelje, da storite nekaj, kar je dobro za pošiljatelja in slabo za Vas: kliknete na povezavo, se prijavite na ponarejeno stran, odprete priponko, izvedete plačilo ali posredujete kodo. Tehnika v ozadju je pogosto preprosta. Tisto, kar opravi delo, je zgodba.

Tej zgodbi pravimo pretext: verodostojen povod. "Vaše pošiljke ni bilo mogoče dostaviti." "Vaš poštni predal je poln." "Odprt je račun." "Vaš račun bo blokiran." Dober pretext ustreza Vašemu položaju. Pekarna prejme sporočilo o dobavitelju moke, odvetniška pisarna o sodnem pozivu, spletna trgovina o blokiranem plačilu.

Cilj je skoraj vedno eden od teh štirih:

Pri zadnji vrsti se v tistem trenutku ne zgodi nič hudega. "Kdo pri Vas ureja plačila?" se zdi povsem običajno vprašanje. Vendar lahko napadalec z odgovorom pozneje pošlje veliko bolj prepričljivo sporočilo, namenjeno prav tej osebi. Temu pravimo ciljno lažno predstavljanje (spear phishing) (lekcija 1.2).

Pet gumbov, na katere pritiska phishing

Phishing deluje, ker Vas napelje k dejanju, preden razmislite. Za to pritiska na nekaj stalnih gumbov v naši glavi. Skoraj vsako phishing sporočilo uporabi vsaj dva.

1. Nujnost. "V 24 urah", "še danes", "zadnji opomin". Časovni pritisk je najpomembnejši trik, saj si tako ne vzamete časa za preverjanje.
2. Avtoriteta. Sporočilo naj bi prišlo od nekoga, ki ga jemljete resno: banke, davčnega urada, direktorja, policije, Vašega ponudnika gostovanja, odvetnika.
3. Strah. Vaš račun bo blokiran, prejeli boste globo, Vaši podatki so bili razkriti, Vaša domena poteče, prišlo je do vdora na Vaš račun.
4. Radovednost. "Oglejte si fotografije dogodka", "prejeli ste deljen dokument", "čaka Vas glasovno sporočilo", "obračun plače 2026.pdf".
5. Nagrada. Vračilo denarja, darilni bon, osvojena nagrada, brezplačna nadgradnja, velikо naročilo novega naročnika.

Pozor: ti gumbi se pojavljajo tudi v pristnih sporočilih. Pristen račun ima rok plačila, pristna banka včasih pošlje opozorilo. En sam trik torej ne naredi sporočila lažnega. Sporočilo postane sumljivo, kadar je pritisk velik in sporočilo zahteva nekaj, česar sicer ne bi storili.

Stalne značilnosti, ne glede na besedilo

Poleg trikov imajo phishing sporočila nekaj značilnosti, ki se skoraj vedno ponavljajo:

• Poziv k takojšnjemu dejanju (call to action): gumb, povezava, priponka, telefonska številka, na katero naj bi poklicali.
• Kanal, ki ne ustreza. Vaša banka Vas po e-pošti prosi za prijavo, Vaš dobavitelj Vas prek WhatsAppa prosi za plačilo, Vaš sodelavec Vas prek SMS sporočila prosi za darilne bone.
• Vprašanje, ki ne ustreza. Posredovanje gesla ali prijavne kode, sprememba IBAN, plačilo mimo običajnega postopka, namestitev programske opreme na zahtevo klicatelja.
• Odstopanje pri pošiljatelju ali povezavi. Naslov ali povezava skoraj, a ne povsem, ustreza organizaciji, ki jo pričakujete. Kako to natančno preberete, se boste naučili v lekciji 3.2 in 3.3.
• Zahteva po tajnosti ali obhajanje postopka. "O tem še ne povejte drugim", "sem na sestanku, ne kličite me", "to uredite mimo sistema".

Zadnja značilnost je najmočnejši signal pri prevarah z lažnim direktorjem in lažnimi računi: pristen direktor nima nobenega interesa, da bi preskočili običajno preverjanje.

Zakaj slovnične napake niso več zanesljiv znak

Nekoč ste phishing prepoznali po okornem jeziku, čudnem nagovoru in slabem oblikovanju. To danes ne drži več. Z jezikovnimi modeli (UI) napadalec v nekaj sekundah napiše brezhibno, prijazno sporočilo v katerem koli jeziku, v slogu organizacije, ki jo posnema. Nizozemski NCSC opozarja tudi, da je phishing zaradi UI vse težje prepoznati: manj je jezikovnih napak, prijavne strani pa so videti vse bolj pristne.

Poleg tega phishing včasih prihaja iz pristnega poštnega predala. Če je poštni predal dobavitelja prevzet, napadalec preprosto odgovori znotraj obstoječe korespondence, s podpisom, tonom in prejšnjimi sporočili vred. Temu pravimo ugrabitev niti sporočil (thread hijacking). Pošiljatelj, oblikovanje in jezik so takrat vsi pristni. Ne ujema se le vprašanje: "Imamo nov bančni račun, ali lahko odprt račun plačate nanj?"

Zato ne gledate, kako je sporočilo videti, temveč kaj od Vas zahteva. Phishing redko prepoznate po eni sami značilnosti, temveč po celotni sliki.

Refleks: ustavi se, preveri, vprašaj

Ni Vam treba poznati vsakega trika posebej. Potrebujete en sam refleks, ki ga uporabite vsakič, ko sporočilo od Vas nekaj zahteva.

Ustavite se. Čutite naglico, strah, radovednost ali veselje? To je ravno pravi trenutek, da ne kliknete. Sporočilo za trenutek odložite. Pristne organizacije Vam skoraj vedno dajo dovolj časa, da to preverite.

Preverite po svoji lastni poti. Ne nadaljujte prek samega sporočila. Ne kliknite na povezavo, ne pokličite številke iz sporočila in ne odgovarjajte na e-pošto. Sami obiščite stran prek svojega zaznamka ali tako, da naslov vtipkate, ali pokličite na številko, ki ste jo že imeli (Vaše lastno knjigovodstvo, hrbtno stran Vaše bančne kartice, uradno stran). Ali je račun res odprt? Ali je pošiljka res na poti?

Vprašajte. Če še vedno dvomite, vprašajte sodelavca ali osebo, ki naj bi sporočilo poslala, prek drugega kanala. V svoji ekipi se dogovorite, da tako vprašanje nikoli ni odveč. Raje desetkrat po nepotrebnem vprašate, kot da enkrat plačate.

Ta refleks deluje tudi pri popolnem sporočilu iz vdrtega poštnega predala. Preverjanje po lastni poti napadalca povsem obide, saj ta ni v Vašem zaznamku in ne na telefonu Vašega dobavitelja.

V praksi: tako je videti

Trije posnemani primeri sporočil, ki jih Pekarna Example (info@example.com) prejme v enem jutru. Vsa imena so izmišljena.

Sporočilo 1: pošiljka

Od: Kurirska služba <service@koeriersdienst-track.example>
Zadeva: Dostava ni uspela: potrebno je ukrepanje
Spoštovana stranka, danes smo poskusili dostaviti pošiljko. Naslov je bil nepopoln. V 48 urah načrtujte novo dostavo in plačajte stroške ponovne dostave v višini 1,95 evra, sicer bo pošiljka vrnjena pošiljatelju.

Triki: nujnost (48 ur), strah (vrnitev pošiljke), majhen znesek, da ne razmišljate. Cilj so podatki Vaše kartice. Preverite: ali pričakujete pošiljko? Pošiljko poiščite prek strani ali aplikacije samega prevoznika.

Sporočilo 2: dobavitelj

Od: Dobavitelj moke <administratie@leverancier.example>
Zadeva: RE: račun 2026-0412
Pozdravljeni, kot dogovorjeno Vam pošiljamo račun. Pozor: zaradi menjave banke odslej plačujte na naš nov račun. Ali lahko to uredite še danes? Tako bomo lahko načrtovali dobavo v petek.

Triki: avtoriteta (znan dobavitelj, obstoječa korespondenca), nujnost, nagrada (dobava). Pošiljatelj je lahko pristen: poštni predal dobavitelja je morda prevzet. Preverite: pokličite dobavitelja na številko iz svojega lastnega knjigovodstva, ne iz tega sporočila.

Sporočilo 3: knjigovodski program

Od: Knjigovodski program <noreply@boekhoudpakket.example>
Zadeva: Vaša naročnina bo začasno ustavljena
Vašega zadnjega plačila nismo mogli obdelati. V 24 urah se prijavite in posodobite svoje plačilne podatke, sicer izgubite dostop do svojega knjigovodstva.
[Prijava]

Triki: strah, nujnost, avtoriteta. Ali pošiljatelj ustreza, boste prebrali v lekciji 3.3; kam vodi gumb, v lekciji 3.2. Preverite: sami odprite aplikacijo ali zaznamek knjigovodskega programa. Če tam ni obvestila, je sporočilo lažno.

Povzetek

• Phishing deluje prek zgodbe (pretext), ki ustreza Vašemu položaju, s ciljem pridobiti prijavne podatke, denar, dostop do Vaše naprave ali informacije.
• Pet gumbov: nujnost, avtoriteta, strah, radovednost in nagrada. Večinoma sta hkrati prisotna dva ali več.
• Slovnične napake niso več zanesljiv znak: UI piše brezhibna sporočila, vdrti poštni predali pa pošiljajo pristna sporočila.
• Poglejte, kaj sporočilo od Vas zahteva in prek katerega kanala, ne kako je videti.
• Refleks: ustavite se, preverite po svoji lastni poti, ob dvomu vprašajte.

Kviz

Naloga

Naloga A3.1: Prepoznavanje trikov. Prejmete šest posnemanih sporočil. Za vsako sporočilo izberite, kateri triki so uporabljeni (nujnost, avtoriteta, strah, radovednost, nagrada) in kaj storite: ga preprosto obravnavate ali ga najprej preverite po svoji lastni poti. Program preveri Vaše odgovore in za vsako sporočilo pojasni, kaj ste morda spregledali.

Za nadaljnje branje

Koraki v člankih WebOké veljajo za okolje WebOké; pri drugih ponudnikih deluje podobno.

• Je ta e-pošta res poslana s strani WebOké? Prepoznavanje lažnega predstavljanja (phishing) in uporaba kode za akcijo
• Nizozemski NCSC, Kako prepoznam phishing e-pošto?: https://www.ncsc.nl/phishing/hoe-herken-ik-een-phishing-e-mail
• Nizozemski NCSC, Phishing: https://www.ncsc.nl/wat-kun-je-zelf-doen/dreiging/phishing
• SI-CERT, za prijavo goljufij in phishinga: https://www.cert.si/