Phishingové triky aneb 10 nejběžnějších podvodů roku 2020

Se svým simulátorem phishingových útoků Sophos Phish Threat odhalila společnost Sophos několik zajímavých statistik, které letos získala od reálných uživatelů tohoto produktu. Simulátor Sophos Phish Threat umožňuje připravit vlastní šablony podvodů, aby organizace mohly vytvářet vlastní phishingové e-maily, ale obsahuje i rozsáhlou sbírku přizpůsobitelných šablon, které jsou pravidelně aktualizovány. Základní myšlenkou je následovat vzhled a chování skutečných podvodů všech typů od Strach vyvolávajících varování před bezprostřední zkázou po nenápadné zprávy sdělující o něco více než Podívejte se prosím na přiložený soubor.

Hledání nejhoršího

Bezpečnostní experti týmu Phish Threat se zaměřili zejména na to, jaké phishingové šablony mají nejlepší, nebo přesněji řečeno nejhorší výsledky. Zda firemní uživatelé e-mailu podlehnou spíše cukru, nebo biči. Výhrůžkám, nebo bezplatným nabídkám. Konkrétním instrukcím, nebo užitečným návrhům. Formulacím s „musíte“, nebo „mohlo by se vám líbit“.

Odpovědi pokrývají širokou škálu témat kolem phishingu, ale jedno mají společné: žádné z nich nespadá do kategorie hrozeb. Většina z testovacích podvodných emailů, na které uživatelé reagovali, se zabývala běžnými, nijak dramatickými problémy, přičemž to byla zjevně zajímavá či důležitá témata. Nic na seznamu deseti nejčastějších nebylo skutečně naléhavé nebo děsivé a všechny zprávy zněly dostatečně pravděpodobně a nekomplikovaně, aby stálo za to je rychle vyřešit.

Desítka nejlepších, resp. nejhorších

1. Etický kodex. Domnělá zpráva z HR oddělení představující nový etický kodex společnosti. S globálním zájmem o zvýšení diverzity na pracovištích a omezení obtěžování řada společností reviduje své interní pokyny pro zaměstnance. Většina zaměstnanců ví, že by si měli nové pokyny přečíst a že je HR tým povinen je uhánět, dokud to neudělají. Takže kliknutí na tento e-mail vypadá jako úkol, který byste měli vyřídit.

2. Zpožděné dodání ročního vyúčtování daní. Simulované upozornění zaměstnancům, že jejich podklady k daňovému přiznání nedorazí v očekávaném termínu. Ať už se příslušné formuláře ve vaší zemi nazývají jakkoli, jde o „nezbytné zlo“, o kterém zaměstnanci vědí, že jej potřebují vyřídit, takže možná budou chtít také zjistit, jak dlouhé to zpoždění bude.

3. Plánovaná údržba serveru. Pro bezpečnostní experty Sophosu bylo překvapením, že se tato zpráva dostala na 3. příčku v tomto hodnocení, protože spíše cynicky předpokládali, že většina lidí tento druh zpráv z IT spíše ignoruje. Už jen proto, že s tímto typem sdělení stejně nemohou nic dělat. Po další úvaze lze však dojít k závěru, že v dnešní době, kdy množství lidí pracuje z domova, se budou zajímat o to, kdy pravděpodobně dojde k odstávce, aby si podle toho mohli naplánovat svoje aktivity.

4. Byl vám přidělen úkol. V případě této zprávy umožňuje nástroj Phish Threat výběr systému na plánování projektů, který daná společnost používá (např. JIRA, Asana aj.), takže e-mail nevypadá jako zjevně falešný. Přestože jde o částečně cílený phishing, organizace by měly předpokládat, že jimi používané podnikové nástroje jsou všeobecně známé a podvodníci si je mohou snadno zjistit, možná dokonce i automaticky.

5. Test nového e-mailového systému. Kdo ze zaměstnanců by nechtěl být nápomocen, když stačí jediné kliknutí?

6. Aktualizace pravidel čerpání dovolených. Kvůli omezením a karanténě v souvislosti s koronavirem se ukazuje, že hlášení a čerpání dovoleným může být v praxi problematické. Mnoho společností kvůli tomu odpovídajícím způsobem upravilo svá pravidla pro čerpání dovolené – a kdo by chtěl riskovat, že přijde o volno?

7. Zapnutá světla u auta. V této zprávě chce být správce budovy evidentně mile nápomocný, když hlásí, že si někdo nechal na parkovišti rozsvícená světla. Ve skutečnosti by ale zaměstnanci měli zpozornět a pojmout podezření, proč správce posílá fotografii, namísto toho, aby jen napsal registrační značku auta.

8. Nedoručená zásilka kurýrní službou. Toto je osvědčený trik, který podvodníci používají už léta. Kvůli nárůstu dodávek do domu vlivem koronaviru je dnes obzvláště důvěryhodný. Ve skutečnosti můžete právě teď očekávat nějakou zásilku – a pokud je to dodavatel, kdo rozhoduje, jakou kurýrní společnost využije, tak ani možná nevíte, kdo vám ji doručí.

9. Zabezpečený dokument. Údajně se jedná o „zabezpečený dokument“ od HR týmu, což je pravděpodobně důvodem, proč se jej neobvyklým způsobem pokusíte zobrazit. Tento trik phishingoví podvodníci často používají jako důvod přesvědčit vás, abyste zadali heslo tam, kde obvykle nemusíte, nebo upravili nastavení zabezpečení ve vašem počítači – zdánlivě kvůli posílení zabezpečení, ale ve skutečnosti k jeho snížení.

10. Zpráva ze sociálních sítí. V daném případě šlo o simulované oznámení ze sítě LinkedIn sdělující příjemci, že „Máte nepřečtené zprávy od Josefa“. Zdá se, že si LinkedIn právě zažívá nárůst popularity, což není překvapivé vzhledem k tomu, kolik lidí přišlo kvůli koronavirové pandemii o práci nebo jim byla zkrácena pracovní doba. Je lákavé kliknout ze strachu, abyste něco nepromeškali, a podvodníci toho rádi využijí.

Autor: Paul Ducklin, bezpečnostní expert společnosti Sophos