Phishing, spear phishing i whaling

Poczta elektroniczna pozostaje najczęstszym wektorem początkowego dostępu w cyberatakach. Phishing wykorzystuje ludzką psychikę — wywołuje poczucie pilności, odwołuje się do autorytetu lub wzbudza strach — aby skłonić odbiorców do kliknięcia złośliwych odnośników, otwarcia zainfekowanych załączników lub ujawnienia danych uwierzytelniających. W przeciwieństwie do luk technicznych, które można naprawić poprawką, podatności człowieka na presję społeczną nie da się wyeliminować aktualizacją oprogramowania. Osoby przygotowujące się do egzaminu Security+ muszą rozumieć pełne spektrum ataków phishingowych — od masowych kampanii kierowanych do milionów przypadkowych odbiorców po wysoce ukierunkowane wiadomości przygotowane dla konkretnej osoby.

Masowy phishing (lub phishing hurtowy) polega na jednoczesnym wysyłaniu tej samej złośliwej wiadomości e-mail do tysięcy lub milionów adresów. Atakujący liczy na ogromną liczbę celów, aby uzyskać niewielki odsetek skutecznych ataków. Typowe przynęty to fałszywe alerty bankowe, powiadomienia o dostawie przesyłki, ostrzeżenia o wygaśnięciu hasła i informacje o zwrocie podatku. Wiadomości są ogólne — atakujący nie zna osobiście ich odbiorców. Mimo niewielkiego stopnia zaawansowania masowe kampanie phishingowe powodują na całym świecie ogromną liczbę ofiar i odpowiadają za większość przypadków kradzieży danych uwierzytelniających.

Spear phishing to ukierunkowana forma phishingu, w której atakujący dostosowuje wiadomość do konkretnej osoby lub niewielkiej grupy. Atakujący wyszukują informacje o celach na LinkedIn, w mediach społecznościowych, w witrynach firmowych i bazach danych pochodzących z wycieków, aby tworzyć przekonujące wiadomości odwołujące się do prawdziwych nazwisk, stanowisk, projektów lub współpracowników. Wiadomość spear phishingowa może wyglądać jak wysłana przez przełożonego celu z pilną prośbą o zatwierdzenie przelewu albo przez dział HR z załącznikiem „aktualizacja świadczeń”. Personalizacja znacznie zwiększa skuteczność w porównaniu z ogólnym phishingiem.

Whaling to spear phishing wymierzony konkretnie w osoby o wysokiej wartości — dyrektorów generalnych, dyrektorów finansowych, członków zarządu i innych członków kadry kierowniczej najwyższego szczebla. Osoby te mają uprawnienia do zatwierdzania dużych transakcji finansowych, dostępu do poufnych danych i obchodzenia zasad bezpieczeństwa. Udany atak whalingowy może nakłonić dyrektora finansowego do autoryzowania przelewu na kwotę wielu milionów dolarów na konto kontrolowane przez atakującego; taki proceder jest znany jako Business Email Compromise (BEC). FBI oszacowało, że roczne straty związane z BEC przekroczyły 3 miliardy dolarów. Cele ataków stanowią również ze względu na dostęp do własności intelektualnej, informacji o fuzjach i przejęciach oraz planów strategicznych.

Angler phishing jest wymierzony w użytkowników platform społecznościowych — atakujący tworzą fałszywe konta obsługi klienta dużych marek i odpowiadają użytkownikom publikującym skargi, nakłaniając ich do odwiedzenia fałszywych stron logowania. Clone phishing polega na skopiowaniu prawdziwej wiadomości e-mail (np. niedawnej faktury lub newslettera), zastąpieniu odnośników lub załączników ich złośliwymi wersjami, a następnie ponownym wysłaniu wiadomości z podrobionego adresu z informacją, że jest to poprawiona wersja. Clone phishing jest szczególnie skuteczny, ponieważ odbiorca rozpoznaje format i nadawcę wiadomości, przez co jego podejrzliwość znacznie maleje.

Pharming przekierowuje ofiary do złośliwych witryn bez konieczności klikania odnośnika phishingowego. Zwykle osiąga się to przez zatruwanie pamięci podręcznej DNS (wstrzyknięcie fałszywych rekordów DNS do resolvera, aby prawidłowa domena wskazywała serwer atakującego) albo przez modyfikację lokalnego pliku hosts ofiary. W przeciwieństwie do phishingu, który wymaga podjęcia działania przez ofiarę, pharming działa nawet wtedy, gdy użytkownik wpisze poprawny adres URL bezpośrednio w przeglądarce. DNSSEC i walidacja certyfikatów HTTPS to podstawowe techniczne mechanizmy ochrony.

Jedną z najważniejszych umiejętności związanych z phishingiem jest analizowanie adresów URL w celu wykrywania technik podszywania się. Atakujący stosują kilka metod: typosquatting (paypa1.com, g00gle.com), triki z subdomenami (paypal.com.attacker.com — prawdziwą domeną jest attacker.com), skracacze adresów URL, które ukrywają rzeczywisty cel, oraz ataki homograficzne z użyciem znaków Unicode przypominających znaki ASCII (xn--pple-43d.com wykorzystuje cyrylicką literę „а”, aby podszyć się pod apple.com). Specjaliści ds. bezpieczeństwa powinni zawsze najechać kursorem na odnośnik przed jego kliknięciem i bezpiecznie rozwijać skrócone adresy URL za pomocą narzędzi do ich analizy.

Szkolenie użytkowników w rozpoznawaniu phishingu wymaga nauczenia ich konkretnych sygnałów ostrzegawczych. Należy sprawdzać: adres nadawcy (czy nazwa wyświetlana odpowiada rzeczywistej domenie e-mail?), nagłówki wiadomości (czy Return-Path lub Reply-To różni się od adresu From?), język pilności lub groźby, wywierający presję na szybkie działanie, niezamówione załączniki lub nieoczekiwane prośby o zresetowanie hasła oraz odnośniki, których cel nie odpowiada opisowi. Obecność jednego sygnału powinna wzbudzić podejrzenia, a kilka sygnałów jednocześnie zdecydowanie wskazuje na phishing. Organizacje powinny określić jasną procedurę zgłaszania podejrzanych wiadomości e-mail.

Wiele kampanii phishingowych kieruje ofiary do fałszywych stron logowania, które wyglądają identycznie jak legalne witryny. Atakujący kopiują kod HTML/CSS prawdziwych witryn i umieszczają go w domenach łudząco podobnych do oryginalnych lub na zhakowanych stronach. Nowoczesne narzędzia evilginx2 i Modlishka działają jako odwrotne serwery proxy, przekazując ofiarę do prawdziwej witryny, a jednocześnie przechwytując tokeny sesji w czasie rzeczywistym — omijając nawet MFA. Użytkownicy powinni zwracać uwagę na ikonę kłódki (HTTPS), ale pamiętać, że HTTPS potwierdza jedynie szyfrowanie połączenia, a nie legalność witryny. Dzienniki Certificate Transparency ujawniają witryny phishingowe korzystające z domen łudząco podobnych do prawdziwych.

Złośliwe załączniki dostarczają malware bezpośrednio do punktu końcowego ofiary. Typowe formaty to dokumenty pakietu Office z włączonymi makrami (.docm, .xlsm), które uruchamiają skrypty VBA po włączeniu makr przez użytkownika, pliki PDF z osadzonym kodem JavaScript lub odnośnikami, obrazy dysków ISO/IMG (wykorzystywane do omijania mechanizmów ochrony Windows Mark of the Web) oraz skompresowane archiwa (.zip, .rar) zawierające pliki wykonywalne, którym nadano mylące rozszerzenia. Organizacje powinny domyślnie wyłączać makra pakietu Office za pomocą zasad grupy oraz konfigurować bramy pocztowe tak, aby blokowały pliki wysokiego ryzyka.

Ochrona kadry kierowniczej przed atakami typu whaling wymaga połączenia zabezpieczeń technicznych i procedur. Od strony technicznej należy wymusić stosowanie DMARC w celu odrzucania sfałszowanych wiadomości, które rzekomo pochodzą z domeny organizacji, skonfigurować bramę pocztową tak, aby dodawała banery do wiadomości zewnętrznych, oraz objąć kadrę kierowniczą uwierzytelnianiem MFA odpornym na phishing (FIDO2). Od strony proceduralnej przed zatwierdzeniem przelewów lub udostępnieniem poufnych danych należy ustanowić procedury weryfikacji poza kanałem komunikacji (skontaktować się bezpośrednio z osobą składającą żądanie, korzystając ze znanego numeru telefonu), niezależnie od tego, jak pilnie brzmi wiadomość. Kadrę kierowniczą należy szkolić konkretnie w zakresie scenariuszy whalingu, ponieważ ogólne szkolenia z podnoszenia świadomości bezpieczeństwa często nie docierają do najwyższego kierownictwa.

Sprawdź swoją znajomość zagadnień CompTIA Security+ (SY0-701) omówionych w tej lekcji.

W tej lekcji nauczyli się Państwo, że phishing masowy wykorzystuje dużą skalę, aby trafić do niewielkiego odsetka przypadkowych odbiorców, spear phishing jest ukierunkowany i spersonalizowany, a do tworzenia przekonujących wiadomości dla konkretnych osób wykorzystuje rozpoznanie OSINT, natomiast whaling wymierzony jest w kadrę kierowniczą mającą uprawnienia do dysponowania finansami i poufnymi danymi — ochronę zapewniają DMARC, uwierzytelnianie MFA odporne na phishing oraz procedury weryfikacji poza kanałem komunikacji. Następnie omówimy ataki głosowe i SMS-owe: vishing, smishing oraz pretexting.