Phishing: ako spoznať podvodný e-mail — návod pre zamestnancov s príkladmi

Väčšina bezpečnostných incidentov, ktoré riešime u klientov, nezačína prelomením servera, ale e-mailom, ktorý niekto otvoril v pondelok ráno medzi dvadsiatimi inými. Nie je to o hlúposti. Phishingové správy sú dnes napísané bez chýb, kopírujú vizuál skutočných firiem a prichádzajú v momente, keď ich čakáte. Tento návod je pre zamestnancov: čo si všímať, čo robiť pri pochybnosti a čo urobiť, keď už bolo neskoro.

Sedem znakov, že e-mail nie je to, za čo sa vydáva

1. Adresa odosielateľa nesedí so zobrazeným menom. „Microsoft“ píše z adresy na doméne, ktorá s Microsoftom nemá nič spoločné, alebo kolega z adresy s preklepom (datatek, spol. s r. o.-sk.com namiesto datatek.sk). Zobrazené meno si nastaví ktokoľvek.
2. Tlak na čas. „Do 24 hodín“, „inak bude účet zablokovaný“, „pred koncom dňa“. Legitímne firmy a kolegovia na vás takto netlačia e-mailom.
3. Odkaz vedie inam, než hovorí. Text odkazu je portal.microsoft.com, skutočný cieľ (vidíte ho po podržaní kurzora na odkaze) je úplne iná doména. Na telefóne odkaz podržte prstom.
4. Žiadosť o prihlásenie, platbu alebo zmenu údajov. Zadať heslo cez odkaz z e-mailu, zaplatiť faktúru s novým účtom, poslať údaje o zamestnancoch. Toto sú ciele útoku, nie bežná komunikácia.
5. Príloha, ktorú ste nečakali. Faktúra od firmy, s ktorou neobchodujete, „sken dokumentu“ ako HTML alebo ZIP, dokument, ktorý pýta povolenie makier.
6. Iný tón alebo štýl, než má odosielateľ bežne. Kolega, ktorý vždy píše tykaním, zrazu vyká; dodávateľ píše po anglicky.
7. Hlavička „externý odosielateľ“ pri správe, ktorá tvrdí, že je interná. Ak má firma zapnuté označovanie externej pošty, správa „od konateľa“ s týmto štítkom je podvod.

Jeden znak nemusí znamenať nič. Dva naraz znamenajú overiť. Tri znamenajú nahlásiť.

Tri scenáre, ktoré vidíme najčastejšie

1. Faktúra so zmeneným bankovým účtom. Dodávateľ, s ktorým naozaj spolupracujete, pošle faktúru s poznámkou, že zmenil banku. E-mail je zo skutočného účtu dodávateľa, ktorý bol napadnutý, takže filter ho neprepustí ako podozrivý. Účtovníčka účet zmení a platba odíde útočníkovi. Obrana: zmena bankového účtu sa overuje vždy telefonicky na číslo, ktoré máte z predchádzajúcej komunikácie, nie z tej faktúry. Bez výnimky, aj keď sa ponáhľa.

2. „Vaše heslo do Microsoft 365 exspiruje.“ Správa s logom Microsoftu, tlačidlom „Zachovať heslo“ a odkazom na stránku, ktorá vyzerá ako prihlásenie. Po zadaní hesla útočník okamžite získa prístup k pošte a začne z nej posielať ďalšie podvody vašim kontaktom. Obrana: Microsoft nikdy nežiada heslo cez odkaz v e-maile. Heslo meníte len po prihlásení cez známu adresu, ktorú si zadáte sami. Viacfaktorové overenie útok zastaví aj po zadaní hesla.

3. Urgentná správa od konateľa. „Som na rokovaní, nemôžem telefonovať, potrebujem, aby ste dnes zaplatili túto zálohu / kúpili darčekové karty / poslali zoznam zamestnancov s rodnými číslami.“ Meno sedí, adresa je podobná alebo z voľnej e-mailovej služby. Obrana: žiadna platba ani odoslanie osobných údajov na základe samotného e-mailu. Zavolajte konateľovi na jeho číslo. Skutočný konateľ pochopí, podvodník vás bude od telefonátu odhovárať.

Čo robiť, keď si nie ste istí

1. Neklikajte a neotvárajte prílohu. Nič sa nestane, ak legitímny e-mail počká hodinu.
2. Overte iným kanálom. Telefón na známe číslo, osobne, cez Teams. Nie odpoveďou na ten istý e-mail; odpoveď príde útočníkovi.
3. Nahláste to IT. Prepošlite správu ako prílohu alebo použite tlačidlo na nahlásenie, ak ho máte. IT vie zistiť, či rovnaký e-mail dostali aj iní, a zablokovať ho.

Čo robiť, keď ste už klikli

• Zadali ste heslo: ihneď ho zmeňte a zavolajte IT, aby odhlásili všetky prihlásenia a skontrolovali pravidlá preposielania v schránke; útočníci si nastavia tiché preposielanie pošty.
• Otvorili ste prílohu: odpojte počítač od siete a zavolajte IT. Nevypínajte ho, stopy sú dôležité.
• Zaplatili ste: okamžite kontaktujte banku; v prvých hodinách sa platba niekedy dá zastaviť.

A hlavne: nahláste to hneď, aj keď je to nepríjemné. Každý incident, ktorý sme riešili neskoro, bol neskoro preto, že sa niekto hanbil. Firma, ktorá za nahlásenie trestá, sa o útoku dozvie až od banky.

Čo má urobiť firma, aby to nestálo len na ľuďoch

Školenie je nutné, ale nemôže byť jediná vrstva. Minimum, ktoré nastavujeme každému klientovi:

• Viacfaktorové overenie pre všetkých – ukradnuté heslo samo osebe nestačí na prihlásenie.
• SPF, DKIM a DMARC pre vlastnú doménu, aby sa vaša adresa nedala použiť na podvod voči vašim partnerom.
• Kontrola odkazov a príloh v pošte (napr. Safe Links a Safe Attachments v Microsoft 365 Business Premium; čo plán obsahuje, píšeme v článku o licenciách Microsoft 365).
• Označovanie externej pošty štítkom priamo v predmete alebo hlavičke.
• Tlačidlo „Nahlásiť phishing“ v Outlooku, aby bolo nahlásenie otázkou jedného kliknutia.
• Proces pre platby: zmena bankového účtu dodávateľa a platby nad dohodnutý limit vyžadujú overenie telefonicky a druhú osobu.
• Školenie pri nástupe, pripomenutie ročne a simulované phishingové e-maily každé dva až tri mesiace, s výsledkami pre tím, nie pre jednotlivcov na pranieri.

Ako monitoring a prevenciu nastavujeme, opisujeme v časti Prevencia a monitoring. Školenia pre tímy bez vlastného IT robíme formou krátkeho workshopu; čo obsahuje, nájdete v článku Workshop: bezpečná práca s dátami.

Kontrolný zoznam na stenu

Pred kliknutím na odkaz alebo otvorením prílohy:

• Sedí skutočná adresa odosielateľa?
• Čakal som túto správu?
• Tlačí ma na čas?
• Chce prihlásenie, platbu alebo osobné údaje?
• Kam odkaz naozaj vedie?

Dve odpovede nie v poriadku = overiť telefonicky. Pri pochybnosti nahlásiť. Ak chcete pre svoj tím krátke školenie s príkladmi z vašej branže, napíšte nám.