Vishing, smishing i pretexting

Choć phishing dominuje w nagłówkach, napastnicy wykorzystują wiele kanałów komunikacji do manipulowania ofiarami. Vishing wykorzystuje rozmowy głosowe, smishing — wiadomości SMS, a pretexting polega na stworzeniu wiarygodnego fałszywego scenariusza (pretekstu), który ma uzasadnić, dlaczego ofiara powinna spełnić żądanie. Ataki te odnoszą sukces nie dlatego, że ofiary są nieświadome, lecz dlatego, że wykorzystują podstawowe ludzkie odruchy: zaufanie do autorytetów, chęć niesienia pomocy oraz skłonność do wykonywania poleceń pod presją.

Vishing (phishing głosowy) wykorzystuje rozmowy telefoniczne do manipulowania ofiarami. Typowe preteksty obejmują podszywanie się pod agenta IRS, który grozi aresztowaniem za niezapłacone podatki, pracownika bankowego działu ds. oszustw ostrzegającego przed podejrzanymi transakcjami, pomoc techniczną twierdzącą, że wykryła wirusa, lub pracownika urzędu wypłacającego świadczenia wymagającego weryfikacji. Napastnicy wykorzystują fałszowanie identyfikatora rozmówcy, aby wyświetlić numer telefonu prawdziwej organizacji. Kampanie vishingowe z użyciem automatycznych połączeń działają na dużą skalę, a następnie łączą zainteresowane ofiary z operatorami. Rozmowa głosowa w czasie rzeczywistym wywiera presję, która utrudnia krytyczne myślenie.

Smishing (phishing SMS-owy) dostarcza przynęty phishingowe za pośrednictwem wiadomości tekstowych. Typowe wiadomości smishingowe podszywają się pod firmy dostarczające przesyłki (FedEx, UPS, USPS) i zawierają fałszywe powiadomienia o śledzeniu przesyłki z odnośnikami do złośliwych stron, ostrzeżenia banków o podejrzanych obciążeniach lub powiadomienia operatorów komórkowych o problemach z kontem. Adresy URL używane w smishingu często korzystają ze skracaczy adresów URL lub domen łudząco podobnych do prawdziwych. Użytkownicy urządzeń mobilnych są prawdopodobnie bardziej podatni na ataki niż użytkownicy komputerów, ponieważ mniejsze ekrany utrudniają sprawdzanie adresów URL, a przeglądarki mobilne często ukrywają pełny adres. Wiadomości SMS budzą również naturalne zaufanie — użytkownicy zwykle reagują na nie szybciej niż na wiadomości e-mail.

Pretexting polega na stworzeniu fałszywego, ale wiarygodnego scenariusza, który zapewnia kontekst dla żądania z zakresu inżynierii społecznej. Bez przekonującego pretekstu żądania poufnych informacji lub wykonania nietypowych działań natychmiast wzbudziłyby podejrzenia. Napastnik stosujący pretexting może podszyć się pod nowego wykonawcę IT, który potrzebuje pomocy w uzyskaniu dostępu do systemów, audytora żądającego dostępu do dokumentacji finansowej albo pracownika firmy dostawczej, który musi zostać „wpuszczony”. Pretekst nie musi być rozbudowany — wystarczy, że będzie na tyle wiarygodny, aby cel nie zatrzymał się w celu weryfikacji przed spełnieniem żądania.

Zasady wywierania wpływu Roberta Cialdiniego wyjaśniają, dlaczego inżynieria społeczna działa. Autorytet — ludzie spełniają polecenia osób postrzeganych jako autorytety (CEO, IRS, policja). Pilność/niedostępność — presja czasu uniemożliwia dokładną ocenę („Działaj w ciągu najbliższych 10 minut”). Dowód społeczny — ludzie robią to, co robią inni. Sympatia — ludzie spełniają prośby osób, którym ufają lub które uważają za godne zaufania. Wzajemność — ludzie czują się zobowiązani do odwzajemniania przysług. Zaangażowanie — gdy ktoś podejmie niewielkie zobowiązanie, zwykle ma skłonność do realizacji większych zobowiązań. Zrozumienie tych zasad pomaga trenerom podnoszącym świadomość bezpieczeństwa tworzyć skuteczniejsze komunikaty przeciwdziałające manipulacji.

Nowoczesna technologia VoIP sprawia, że fałszowanie identyfikatora rozmówcy jest bardzo łatwe. Usługi takie jak SpoofCard, Twilio i różne interfejsy API VoIP pozwalają każdemu ustawić dowolny numer wyświetlany jako identyfikator rozmówcy przed nawiązaniem połączenia. Napastnicy rutynowo podszywają się pod numery obsługi klienta banków, numery agencji rządowych lub własny numer ofiary (tzw. neighbor spoofing). Struktura STIR/SHAKEN (Secure Telephony Identity Revisited / Signature-based Handling of Asserted information using toKENs) została wprowadzona w USA w celu kryptograficznego uwierzytelniania identyfikatora rozmówcy, ale jej wdrożenie jest niepełne. Nigdy nie należy ufać samemu identyfikatorowi rozmówcy podczas weryfikowania tożsamości.

Pracownicy działów pomocy technicznej są głównymi celami vishingu, ponieważ ich zadaniem jest pomaganie użytkownikom — tworzy to naturalne napięcie między obsługą a procedurami bezpieczeństwa. Typowy atak wygląda następująco: napastnik dzwoni, podając się za starszego rangą pracownika, który pilnie potrzebuje zresetowania konta, ponieważ został zablokowany przed ważnym spotkaniem. Połączenie autorytetu i pilności może skłonić dobrze intencjonowanego pracownika pomocy technicznej do pominięcia etapów weryfikacji. Słynne włamanie na Twittera w 2020 roku rozpoczęło się od ataków vishingowych na pracowników Twittera, dzięki którym uzyskano dostęp do wewnętrznych narzędzi. Działy pomocy technicznej potrzebują rygorystycznych procedur weryfikacji tożsamości, których nie można uchylać niezależnie od pilności sprawy.

Atak polegający na zamianie karty SIM łączy vishing i inżynierię społeczną wymierzone w obsługę klienta operatora komórkowego. Napastnik dzwoni do operatora, podając się za ofiarę, odpowiada na pytania weryfikujące tożsamość (korzystając z danych pochodzących z wycieków lub mediów społecznościowych) i przekonuje pracownika do przeniesienia numeru telefonu ofiary na kartę SIM kontrolowaną przez napastnika. Po przejęciu numeru wszystkie kody MFA wysyłane SMS-em trafiają do napastnika, co umożliwia przejęcie kont pocztowych, bankowych i kryptowalutowych. Zamiana kart SIM była wykorzystywana do kradzieży kryptowalut o wartości milionów.

Wykrywanie ataków inżynierii społecznej wymaga połączenia zgłoszeń pracowników z rejestrowaniem zdarzeń technicznych. Każdy pracownik powinien wiedzieć, jak zgłaszać podejrzane połączenie lub wiadomość tekstową — najlepiej za pomocą przycisku dostępnego jednym kliknięciem w poczcie elektronicznej albo dedykowanego aliasu e-mail (phishing@company.com). Wskaźniki techniczne obejmują dzienniki połączeń pokazujące przychodzące połączenia ze sfałszowanych numerów, alerty SIEM dotyczące resetowania haseł przez dział pomocy technicznej po wcześniejszych połączeniach przychodzących oraz zmiany dostępu do kont poza godzinami pracy. Po incydencie rejestry połączeń telefonicznych i wiadomości SMS są, obok dzienników poczty elektronicznej i zdarzeń uwierzytelniania, kluczowymi artefaktami kryminalistycznymi.

Ochrona przed pretextingiem wymaga ustanowienia procedur weryfikacji, których pracownicy przestrzegają konsekwentnie, niezależnie od odczuwanej presji. Najważniejsze zasady obejmują: zawsze weryfikować tożsamość za pośrednictwem odrębnego, ustalonego kanału przed realizacją nietypowych żądań; ustanowić system haseł umownych do komunikacji z kadrą kierowniczą; szkolić pracowników, aby wiedzieli, że osoby mające władzę w organizacji nie obrażą się na prośbę o weryfikację; oraz tworzyć kulturę bezpieczeństwa, w której przestrzeganie procedur jest nagradzane, nawet jeśli powoduje niewielkie niedogodności. Niezapowiedziane testy inżynierii społecznej pozwalają sprawdzić, czy szkolenia są skuteczne w praktyce.

Na egzaminie Security+ należy wyraźnie rozróżniać kanały phishingu. Phishing odbywa się za pośrednictwem poczty elektronicznej. Vishing wykorzystuje głos lub telefon. Smishing wykorzystuje wiadomości SMS. Pharming przekierowuje DNS bez konieczności kliknięcia. Wszystkie te ataki mają ten sam cel — skłonić ofiarę do ujawnienia danych uwierzytelniających, przelania pieniędzy lub zainstalowania malware — ale mechanizm dostarczenia i środki przeciwdziałania są różne. Poczta elektroniczna ma zabezpieczenia techniczne (SPF/DKIM/DMARC/sandboxing), natomiast głos i SMS mają znacznie mniej kontroli technicznych, dlatego szkolenia użytkowników z zakresu bezpieczeństwa są w tych kanałach jeszcze ważniejsze.

Sprawdź swoją znajomość zagadnień CompTIA Security+ (SY0-701) omówionych w tej lekcji.

W tej lekcji nauczyli się Państwo, że vishing wykorzystuje rozmowy telefoniczne i fałszowanie identyfikatora rozmówcy do podszywania się pod autorytety oraz wyłudzania danych uwierzytelniających lub nakłaniania do określonych działań, smishing dostarcza przynęty phishingowe za pośrednictwem SMS-ów, w których użytkownicy urządzeń mobilnych mają ograniczoną widoczność adresów URL, a pretexting tworzy wiarygodne fałszywe scenariusze uzasadniające nietypowe żądania — ochronę zapewniają rygorystyczne procedury weryfikacji tożsamości, potwierdzanie poza kanałem komunikacji oraz szkolenia pracowników. Następnie omówimy fizyczną inżynierię społeczną, w tym tailgating i baiting.