Varovanje informacij in povezane teme

Da bi lažje prepoznali spletne napade, opisujem pogoste metode za izvajanje spletnih goljufij, ki smo jih deležni tudi v našem kibernetskem prostoru.

Kibernetski kriminalci nenehno iščejo načine, kako pridobiti denar ali drugačno korist na račun žrtev spletnega kriminala. Pri tem se najbolj pogosto poslužujejo metod socialnega inženiringa, kjer želene informacije pridobijo na način, da pretentajo osebo, ki ima dostop do želenih informacij. Alternativa pridobivanju informacij je izvajanje vdora v informacijski sistem, kar je tehnološko veliko bolj zahtevno in časovno potratno.

Kibernetski kriminalci tako vedno bolj postajajo »psihologi«, kot pa tehnični strokovnjaki. Dobra zaščita zoper napade preko socialnega inženiringa je zgolj in samo redno usposabljanje in ozaveščanje zaposlenih oziroma vseh uporabnikov informacijskih tehnologij.

Splošni nasveti:

• Redno preverjaj statuse svojih uporabniških računov za spletne storitve (uporabljaj kompleksna gesla, izvajaj redno spreminjanje gesel, če je možno uporabi za prijavo metodo večfaktorske avtentikacije),
• Spletna plačila izvajaj vedno samo preko varnih spletnih strani (preveri da je v URL https, priporočljivo je tudi, da preveriš izdan certifikat) in preko varnih povezav (namesto javnega ali splošno dostopnega WiFi omrežja raje uporabi lastno mobilno dostopno točko za izvedbo plačil),
• Zavedaj se, da te banka ne bo nikoli spraševala preko telefonskega klica ali sporočila elektronske pošte glede prijavnih podatkov za dostope do spletnega bančništva,
• Če določena ponudba, ki jo prejmeš izgleda enostavno preveč dobra, da bi bila resnična, to verjetno tudi je,
• Shranjuj svoje zasebne podatke na varen način,
• Bodi previden glede količine in nabora osebnih podatkov, ki jih deliš preko družbenih omrežij. Napadalci lahko zlorabijo te podatke in si s pomočjo njih izdelajo lažno identiteto,
• Če sumiš, da si svoje bančne podatke razkril napadalcem, o tem nemudoma obvesti banko,
• Če sumiš, da si razkril prijavne podatke, nemudoma izvedi ponastavitve gesel na ogroženih računih in na računih, kjer uporabljaš enaka gesla (kar seveda tudi ni ustrezno),
• Poizkuse prevar sporoči in prijavi, tudi če nisi postal žrtev prevare

Napadalec se pretvarja, da je direktor podjetja

Cilj te prevare je, da oseba, ki je pooblaščena za izvedbo plačil dejansko izvede plačilo ponarejenega računa ali izvede nepooblaščeno nakazilo denarja.

Napadalec največkrat izvede neposreden klic do višjega uradnika ali pa mu posreduje sporočilo elektronske pošte. V sporočilu zahteva za popolno zaupnost, ker gre za občutljivo poslovno transakcijo, ki jo je potrebno urediti čimprej. Zahteva glede plačila je nenavadna in ni skladna z ustaljenim postopki podjetja. Zahtevo napadalec pogosto utemelji bodisi z dodatno nagrado ali pa z grožnjo glede kazni, če transakcija ne bo izvedena.

Napad torej temelji na vnemi zaposlenega, da opravi nalogo, ki jo zahteva najvišje vodstvo družbe. Napad spremlja vtis, da napadalci dobro poznajo organiziranost in kulturo podjetja oziroma organizacije, komunikacija pa je izredno prepričljiva.

Napadalec se pretvarja, da je predstavnik poslovnega partnerja

Kontaktira te oseba, ki se predstavlja, da je predstavnik poslovnega partnerja (dobavitelj, ponudnik storitve ali upnik). Kontakt se lahko izvede preko kateregakoli komunikacijskega kanala – preko telefona, pisma, faksa, elektronske pošte, ali kombinacije navedenega. Napadalec potem zahteva, da spremeniš matične podatke o družbi – spremeniti bi bilo potrebno podatke, ki so namenjeni izvedbi plačila prihodnjih računov. Seveda je nov račun pod nadzorom in upravljanjem napadalca.

Napadalec te pokliče, pošlje SMS ali sporočilo elektronske pošte

Lažno predstavljanje (preko elektronske pošte), preko SMS sporočil (SMShing) ali preko glasovnega klica (vishing) so najbolj pogoste metode, ki jih napadalci uporabljajo za izvedbe napadov bančnih strank.

Lažna sporočila elektronske pošte so namenjena temu, da prejemnika zvedejo, da delijo svoje osebne, finančne ali varnostne podatke. Ta sporočila elektronske pošte so videti identično kot legitimna vrsta korespondence, saj vsebujejo ustrezne logotipe, postavitve in ton komunikacije sporočila elektronske pošte. Dodatno imajo sporočila vsebovan parameter nujnosti – bodisi preko uporabljenega jezika komunikacije, bodisi preko potencialne kazni v primeru, da se ne odzoveš pravočasno. Sporočilo lahko prosi celo, da odpreš prilogo ali pa da klikneš povezavo, ki je del sporočila. Navadno je povezava urejena celo tako, da je potrebno za odpiranje klikniti na sliko, da je s tem dodatno skrit dejanski URL strani. Ker sporočila izgledajo zelo legitimna, veliko prejemnikov dejansko odpre povezave, priponke in reagira, kot je zapisano v navodilih napadalca.

Vishing klici (kombinacija besed phishing in voice) je oblika telefonske prevare, pri kateri te želi napadalec preslepiti, da razkriješ svoje prijavne podatke, osebne ali finančne podatke ali pa celo, da jim izvedeš nakazilo denarja.

Smishing (kombinacija SMS in phishing) je poizkus pridobivanja osebnih, finančnih ali prijavnih podatkov preko SMS sporočlila. Napadalec se najpogosteje predstavi kot oseba zaposlena pri zaupanja vredni instituciji, kot na primer banka, izdajatelj plačilnih ali kreditnih kartic,… Prejeto sporočilo te bo pozvalo (seveda z določenim občutkom nujnosti), da odpreš priloženo povezavo do spletnega mesta, da bi preveril/potrdil/posodobil/ponovno aktiviral svoj uporabniški račun. Povezava seveda vodi do ležnega spletnega mesta, telehonska številka pa je od napadalca, ki se pretvarja, da je zaposlen pri zaupanja vrednem podjetju. Cilj je pridobiti podatke, s pomočjo katerih, te lahko kasneje oškodujejo.

Napadalec ustvari poneverjeno spletno stran banke

Sporočila elektronske pošte, ki so lažno posredovana s stani bank običajno vključujejo povezave do poneverjenega spletnega mesta banke, kjer napadalec zahteva, da razkrijete svoje osebne in finančne podatke.

Poneverjena spletna mesta bank so videti skoraj identična svojim izvirnikom. Poneverjena spletna mesta pogosto uporabljajo pojavna okna za vnos bančnih poverilnic. Prave banke takšnih metod ne uporabljajo.

Takšen napad običajno dodatno zaznamuje:

• Nujnost – vsebina sporočila bo govorila o določeni aktivnosti, ki jo je potrebno izvesti nujno, saj te s tem želijo pripraviti, da boš opravljal naloge izven ustaljenih postopkov,
• Slaba zasnova – poneverjene spletne strani imajo pogosto vključene napake v črkovanju ali slovnici,
• Prisotnost pojavnih oken – ta se v primeru napada pogosto uporabijo za zbiranje osebnih, prijavnih ali finančnih podatkov – seveda vanje ne vpisuj podatkov in jih preko pojavnih oken ne posreduj aplikaciji oziroma napadalcu

Napadalec želi romantičen odnos

Ljubezenske prevare se običajno dogajajo na spletnih portalih, ki so namenjeni zmenkom, napadalci pa vseeno pogosto uporabljajo družbena omrežja ali elektronsko pošto.

Napad prepoznaš na način, da oseba, ki si jo spoznal preko spleta izraža zelo močna čustva do tebe in te prosi za nadaljevanje komunikacije preko zasebnih kanalov (ne preko portala za zmenke). Sporočila napadalca so pogosto slabo napisana in so nejasna. Dodatno je možno opaziti, da njihov spletni profil ni v skladu s tem kar povedo. V določenih primerih se napadalci odločijo tudi za prošnjo, če mu lahko posreduješ svoje intimne slike ali videoposnetke.

Napadalec potrpežljivo čaka in komunicira s tabo, da si tako počasi pridobiva tvoje zaupanje – to lahko traja tudi več tednov ali mesecev. Ko napadalec pridobi zaupanje, pove presunljivo zgodbo in te prosi za denar, podatke o bančnem računu ali plačilni kartici. Če podatkov ali denarja ne pošlješ, te bo napadalec skušal izsiljevati s fotografijami ali posnetki, ki si jih posredoval. Če pošlješ denar, bo napadalec seveda zahteval še več in vedno več…

Napadalec ima pripravljeno tudi celotno vrsto opravičili, glede tega, da mu ne deluje spletna kamera, da ne more potovat, da bi se srečal s tabo, in seveda – zakaj vedno pogosteje potrebuje vedno več denarja.

Kraja osebnih podatkov

Tvoji osebni podatki so zelo dragoceni za kibernetske kriminalce. Zaščititi se pred goljufijami, pomeni tudi varovati svoje osebne podatke.

Tudi, če imaš svoje račune v družbenih omrežjih konfigurirane in določene kot »zasebne« in ustrezno zaščitene ali če si že na splošno previden in ne deliš veliko informacij (slike, videoposnetki, delitve glede stanja oziroma statusa), kibernetski kriminalci uporabijo različne tehnike za pridobivanje dodatnih podatkov, ki jih nato uporabljajo za krajo identitete. Najbolj pogosto ciljajo, pridobivajo in uporabljajo osebne podatke iz nabora ime in priimek, elektronska pošta, številka kreditne kartice,..).

Napadalec lahko pridobljene osebne podatke zlorabi na različne načine, med najbolj tipične pa sodijo:

• Opravljanje nepooblaščenih nakupov s pomočjo tvoje plačilne kartice,
• Odpiranje novih bančnih računov,
• Sklenitev telefonske naročnine,
• Najem posojila,
• Prodati pridobljene osebne podatke drugim napadalcem in goljufom,
• Opravljanje nezakonitih poslov pod tvojo identiteto,

Twishing

Mnogi napadi sledijo navedenim vzorcem, najbolj pogoste oblike napadov, ki so izpeljanke, kot na primer Twishing – gre za kombinacijo besed Twitter in phishing. Napad je izveden na način da napadalec izvede pošiljanje sporočila uporabniku omrežja Twitter, kjer ga preusmeri na lažno spletno stran, z namenom pridobivanja prijavnih podatkov (uporabniško ime in geslo).

Napredne storitve

Druga pogosta oblika napada je pridobivanje podatkov preko dodatne storitve – na primer storitev spremljanja zgodovine ogledov tvojega profila na družbenem omrežju. Ta bo za delovanje potrebovala dostop in vpogled do tvojega profila. V naslednji fazi boš prejel anketo, v katero boš vnesel dodatne osebne podatke. Pošiljatelj ankete bo zaslužil vedno, ko bo nekdo izpolnil anketo. Kdo je dejansko izvedel obiske tvojega profila ne boš izvedel nikoli – napadalec pa je pridobil podatke, ki jih je iskal.

Ali si bil na dogodku?

Naslednja pogosta oblika je izvajanje povpraševanja glede tvojega sodelovanja ali prisotnosti na določenem dogodku. Tako na primer prejmeš sporočilo v katerem je navedeno vprašanje »Ali si ti v tem videu?«. Povezava, ki bo posredovana v sklopu sporočila te preusmeri na izpolnjevanje anketnega vprašalnika, ki služi denar napadalcu (plačilo po izvedeni anketi). Pri tej obliki se pogosto pojavi še kombinacija tveganja, da se ob odpiranju anketnega vprašalnika izvede poizkus okužbe računalnika s škodljivo programsko opremo.

Vaš račun je potekel

»Vaš račun je potekel«, »prosim za potrditev naslova elektronske pošte« in sporočila s podobno vsebino v predmetu ali vsebini sporočila pogosto predstavljajo poizkuse napadov, kjer napadalec želi pridobiti tvoje osebne in/ali prijavne podatke.

Darilne kartice

Priljubljena metoda za izvedbo kraje osebnih podatkov je tudi goljufija z darilnimi karticami ali karticami popustov za priljubljene blagovne znamke. Cilj teh prevar je pridobiti osebne podatke ali pa izvesti prijavo na določene nadstandardne, drage storitve. Te se mesečno spreminjajo in prevzemajo novo obliko in vedno zveni prelepo, da bi bilo res – zahtevana storitev ali izdelek ne bosta nikoli prispeli.

Brezplačni vzorci

Metoda s promocijo brezplačnih preizkusov oziroma testnih izdelkov uporablja opise izdelkov ali storitev ter opise kako so brezplačne uporabe ali preizkusa.

Dodatno je potrebno izpolniti anketne vprašalnike (prvi vir zaslužka spletnega napadalca), ki vsebujejo osebne podatke (drugi vir dohodka napadalca) in te naročijo na določene storitve ali proizvode, kjer je zaslužek skrit v stroških pošiljanja (tretji vir dohodka napadalca).

Zasluži z delom od doma

»Zaslužite z delom od doma« je vedno bolj pogost način zaslužka ali dodatnega zaslužka. Na spletu je veliko portalov, ki omogočajo izvedbo dodatnega zaslužka s pomočjo dela od doma. Pri tem je potrebno biti pozoren – vsako delo, ki za začetek zahteva plačilo, je verjetno goljufivo. Oglase za zaslužek z delom od doma lahko zaslediš na različnih spletnih straneh, kjer ti ponudnik dela za pričetek proda komplet, v katerem je navedeno vse kar potrebuješ za opravljanje dela od doma (prvi zaslužek napadalca), dodatno zahteva še kup osebnih podatkov – kot davčna številka in kopija osebnega dokumenta (podatke lahko zlorabi za odpiranje bančnih računov, najeme posojil – drugi zaslužek napadalca ali pa za prodajo na črnem trgu – tretji zaslužek napadalca). Nekatere ponudbe za delo so lahko tudi krinke za opravljanje pranja denarja. Te ponudba zahtevajo, da prejmete plačila na svoj bančni račun za provizijo in potem posredujete denar tujemu podjetju. Osebam, ki za provizijo posredujejo pri prenosih sredstev se na področju kibernetske varnosti pravi »finančne mule« ali na kratko »mule«. Aktivnost je seveda nezakonita.

Pomagaj mi

»Pomagaj mi, prosim« bi lahko poimenovali naslednjo metodo zbiranja osebnih podatkov in izvajanja kibernetičnega kriminala. Napadalec se pretvarja, da je daljni sorodnik, ki potrebuje pomoč – največkrat gre za finančno pomoč. Kontaktiral te bo preko družbenega omrežja, telefona, elektronske pošte ali SMS sporočila – odvisno od tega katere osebne podatke je o tebi že uspel pridobiti. Napadalec ti bo predstavil svojo stisko in te prepričeval za izvedbo nakazila denarja.

Naložbene prevare

Navadno vključujejo ponudbe za donosne naložbene priložnosti, kot so delnice, obveznice, kriptovalute, redke kovine, naložbe v zemljišča, nepremičnine ali alternativno energijo.

Znaki za tovrstno prevaro so navadno:

• Prejemanje nepričakovanega telefonskega poziva,
• Obetanje hitrih donosov in zagotovil, da je naložba varna,
• Ponudba je na voljo za časovno omejeno obdobje,

Ponudba je na voljo samo zate in pošiljatelj te prosi, da je ne deliš z drugimi