Phishing — jak działa, jak go rozpoznać i co robić po kliknięciu
Jak wygląda atak krok po kroku
- RozpoznanieNapastnik zbiera nazwiska, stanowiska i adresy z serwisu firmy, portali branżowych i mediów społecznościowych. Struktura organizacyjna i imię prezesa są jawne — to wystarcza, by wiadomość brzmiała wiarygodnie.
- Przygotowanie przynętyFałszywa faktura, wezwanie do zapłaty, powiadomienie o przesyłce, prośba przełożonego o pilny przelew albo komunikat o wygasającym haśle. Treść dobiera się do roli odbiorcy.
- WysyłkaAdres nadawcy jest podrobiony lub łudząco podobny do prawdziwego. Coraz częściej wiadomość wychodzi z przejętej skrzynki kontrahenta — wtedy nie ma czego wykryć w nagłówkach.
- KliknięcieOdbiorca podaje hasło na fałszywej stronie logowania albo otwiera załącznik. Strona wygląda dokładnie jak oryginalna, bo zwykle jest jego kopią.
- WykorzystanieNapastnik loguje się na konto, zakłada regułę przekierowującą pocztę, obserwuje korespondencję i czeka na moment, w którym podmiana numeru rachunku nie wzbudzi podejrzeń.
Rodzaje phishingu
| Odmiana | Na czym polega | Kto jest celem |
|---|---|---|
| Phishing masowy | Tysiące identycznych wiadomości, licząc na odsetek trafień | Kto popadnie |
| Spear phishing | Wiadomość przygotowana pod konkretną osobę, z prawdziwymi nazwiskami i sprawami | Księgowość, kadry, zarząd |
| Oszustwo na prezesa | Podszycie się pod przełożonego z prośbą o pilny, poufny przelew | Osoby z uprawnieniami do płatności |
| Oszustwo na fakturę | Podmieniony numer rachunku w korespondencji z prawdziwym kontrahentem | Firmy o dużych przelewach do stałych dostawców |
| Smishing | Fałszywy SMS: dopłata do przesyłki, blokada konta, dopłata do rachunku | Wszyscy, prywatnie i służbowo |
| Vishing | Telefon od rzekomego pracownika banku albo działu wsparcia | Osoby starsze i nowi pracownicy |
| Quishing | Kod QR prowadzący na fałszywą stronę — omija filtry, bo w wiadomości nie ma linku | Użytkownicy telefonów służbowych |
Po czym poznać wiadomość phishingową
| Sygnał | Jak to wygląda | Co zrobić |
|---|---|---|
| Presja czasu | „Konto zostanie zablokowane dziś”, „przelew musi wyjść w ciągu godziny” | Pośpiech jest narzędziem ataku. Zwolnić i sprawdzić |
| Adres nadawcy prawie prawdziwy | Zamieniona litera, dodany myślnik, inna końcówka domeny | Rozwinąć pełny adres, nie ufać samej nazwie wyświetlanej |
| Zmiana numeru rachunku | Kontrahent „zmienił bank” i prosi o przelew na nowe konto | Potwierdzić telefonicznie pod numerem z umowy, nie z wiadomości |
| Prośba o hasło lub kod | Link do „potwierdzenia tożsamości”, pytanie o kod z SMS | Żaden bank ani dział wsparcia o to nie prosi |
| Nietypowa prośba przełożonego | Poufność, pominięcie procedury, kontakt tylko mailowy | Zweryfikować innym kanałem — telefonicznie lub osobiście |
| Załącznik, którego nikt nie zamawiał | Faktura, oferta, potwierdzenie w pliku dokumentu lub archiwum | Nie otwierać, przekazać do sprawdzenia |
Oszustwo na fakturę — wariant najdroższy
Największe straty nie biorą się z masowych wysyłek, tylko z cierpliwej odmiany, w której napastnik najpierw przejmuje skrzynkę, a potem miesiącami czyta korespondencję. Uderza dopiero wtedy, gdy zna kwoty, terminy i ton rozmowy między firmami.
Obrona przed tym wariantem jest proceduralna, nie techniczna. Każda zmiana numeru rachunku musi być potwierdzona telefonicznie, pod numerem z umowy — nie z wiadomości, która tę zmianę zgłasza. Ta jedna zasada, przestrzegana bez wyjątków, zamyka najkosztowniejszą ścieżkę ataku.
Co zrobić, gdy ktoś kliknął
- Zmienić hasło i wylogować wszystkie sesjeSamo hasło nie wystarczy — trzeba unieważnić aktywne sesje, bo napastnik jest już zalogowany.
- Sprawdzić reguły skrzynkiPrzekierowania i reguły przenoszące wiadomości do kosza to pierwsze, co zakłada napastnik. Bez ich usunięcia zmiana hasła niewiele daje.
- Włączyć uwierzytelnianie wieloskładnikoweJeżeli nie było włączone, to jest moment. Wykradzione hasło przestaje wystarczać.
- Ostrzec zespół i kontrahentówZ przejętej skrzynki wychodzą wiadomości do wszystkich, z którymi ta osoba korespondowała.
- Ocenić, czy doszło do naruszenia danych osobowychJeśli w skrzynce były dane osobowe, uruchamia się termin z RODO. Zgłoszenie wymaga opisu zdarzenia, więc zapisy zdarzeń i decyzje trzeba udokumentować od razu.
Pełna procedura z gotowym pismem do wysłania jest w narzędziu zgłoszenie incydentu.
Jak się bronić
| Zabezpieczenie | Przed czym chroni | Nakład |
|---|---|---|
| Uwierzytelnianie wieloskładnikowe | Wykorzystaniem wykradzionego hasła | Niski, największy zysk z całej listy |
| SPF, DKIM i DMARC | Podszywaniem się pod domenę firmy | Jednorazowa konfiguracja rekordów |
| Filtrowanie poczty | Masowymi wysyłkami i znanymi adresami | Zwykle w ramach posiadanej licencji |
| Szkolenia i próbne kampanie | Kliknięciem w wiadomość, która przeszła filtry | Cykliczny, kilka razy w roku |
| EDR na stacjach | Uruchomieniem złośliwego załącznika | Wdrożenie plus bieżąca obsługa alertów |
| Procedura zmiany rachunku | Oszustwem na fakturę | Zerowy koszt, wymaga konsekwencji |
Microsoft podaje, że włączenie uwierzytelniania wieloskładnikowego blokuje ponad 99,9% ataków na konta. Żadne inne pojedyncze działanie nie daje takiej różnicy przy tak niskim nakładzie — dlatego jest pierwszym punktem każdego wdrożenia, a nie ostatnim.
Ustawa o krajowym systemie cyberbezpieczeństwa wymienia wśród wymaganych środków edukację w zakresie cyberbezpieczeństwa — art. 8 ust. 1 pkt 2 lit. i — oraz podstawowe praktyki cyberhigieny — lit. j. Osobno wskazuje uwierzytelnianie wieloskładnikowe — lit. l.
Szkolenie personelu nie jest zatem dobrą praktyką, tylko wymogiem, i to wymogiem cyklicznym — jednorazowe szkolenie sprzed trzech lat go nie wypełnia.
Jeżeli phishing doprowadził do ujawnienia danych osobowych, obowiązuje art. 33 ust. 1 RODO: zgłoszenie organowi nadzorczemu bez zbędnej zwłoki, nie później niż w terminie 72 godzin od stwierdzenia naruszenia. Termin biegnie od stwierdzenia, nie od zakończenia wyjaśniania.
Ustawa o krajowym systemie cyberbezpieczeństwa; rozporządzenie 2016/679 (RODO).
Najczęstsze pytania
Czy filtr antyspamowy nie wystarczy?
Nie. Filtr zatrzymuje wysyłki masowe i znane adresy. Wiadomość napisana pod konkretną osobę, wysłana z przejętej skrzynki prawdziwego kontrahenta, nie ma cech, po których dałoby się ją odrzucić.
Czy uwierzytelnianie wieloskładnikowe da się obejść?
Da się, techniką pośrednika przechwytującego sesję, ale wymaga to znacznie większego wysiłku i trafia w pojedyncze cele. Dla ogromnej większości ataków drugi składnik jest ścianą nie do przejścia.
Jak często szkolić pracowników?
Przynajmniej raz w roku, a nowych pracowników przy wdrożeniu. Skuteczniejsze od szkolenia są próbne kampanie — pokazują realny odsetek kliknięć zamiast deklaracji z ankiety.
Pracownik podał hasło. Czy to naruszenie danych?
Zależy od tego, do czego to hasło dawało dostęp. Jeśli w skrzynce lub systemie były dane osobowe, należy ocenić ryzyko dla osób, których dane dotyczą, i rozważyć zgłoszenie. Ocenę trzeba udokumentować także wtedy, gdy kończy się decyzją o niezgłaszaniu.
Czy da się odzyskać pieniądze z oszustwa na fakturę?
Czasem, jeśli zgłoszenie do banku nastąpi bardzo szybko — liczy się kwestia godzin. Po przejściu środków dalej odzyskanie jest trudne. Dlatego cała obrona koncentruje się na potwierdzaniu zmiany rachunku przed przelewem, nie po nim.
Przeprowadzamy próbne kampanie i szkolenia dopasowane do ról — inaczej rozmawia się z księgowością, inaczej z zarządem. Wynik pokazuje, gdzie naprawdę jest ryzyko.
Porozmawiajmy o szkoleniach Zobacz ofertę cyberbezpieczeństwa
