Jak chronić się przed atakiem phishingowym?

Możesz chronić się przed atakami phishingowymi, wiedząc, jak je rozpoznawać i wdrażając rozwiązania cyberbezpieczeństwa zabezpieczające przed nimi.

Ostatnimi czasy wzrasta liczba ataków phishingowych, ponieważ po prostu działają. Konsorcjum Anti-Phishing Working Group (APWG) odnotowało 1,09 mln ataków phishingowych w drugim kwartale 2022 r.

Ponieważ liczba ataków phishingowych wciąż wzrasta, ważne jest, aby wiedzieć, na czym one polegają. Phishing jest najczęstszym sposobem, w jaki atakujący dostarczają oprogramowanie ransomware, które jest najszybciej rozwijającą się formą złośliwego oprogramowania. Czytaj dalej, aby dowiedzieć się, jak chronić się przed atakami phishingowymi.

Czym jest atak phishingowy?

Atak phishingowy to wyrafinowany atak socjotechniczny, którego celem jest przekonanie ofiary do ujawnienia poufnych informacji, takich jak numery kart kredytowych lub ubezpieczenia społecznego. Większość ataków phishingowych ma formę wiadomości e-mail zamaskowanych tak, aby wyglądały na pochodzące z zaufanych źródeł. Temat wiadomości zwykle zawiera pilną informację mającą na celu skłonienie do natychmiastowych działań, taką jak powiadomienie o naruszeniu konta lub zawieszeniu usługi.

Celem atakującego jest zaalarmowanie odbiorcy i przekonanie go do natychmiastowego podjęcia działań bez zastanowienia – zazwyczaj pobrania załącznika lub kliknięcia linku. To jedno kliknięcie może spowodować infekcję złośliwym oprogramowaniem, co z kolei może doprowadzić do kradzieży prywatnych informacji.

Jak rozpoznać atak phishingowy?

Atakujący często korzysta z wiadomości phishingowych i wiadomości tekstowych, aby nakłonić ofiarę do ujawnienia poufnych informacji. Oto kilka sposobów rozpoznania, czy te wiadomości e-mail i tekstowe są prawdziwe.

Niepoprawna pisownia lub gramatyka. Wiele firm ma redaktorów lub współpracowników, którzy sprawdzają błędy ortograficzne lub gramatyczne przed wysłaniem firmowych wiadomości e-mail. Jeśli otrzymana wiadomość e-mail zawiera wiele błędnie napisanych wyrazów i błędy gramatyczne, jest ona najprawdopodobniej fałszywa i nie należy na nią odpowiadać ani klikać żadnych linków czy załączników.

Prosi Cię o ujawnienie poufnych informacji. Renomowane organizacje nigdy nie poproszą Cię o wysyłanie haseł, numerów kart kredytowych ani innych danych osobowych za pośrednictwem poczty elektronicznej ani wiadomości tekstowych. Nigdy nie wysyłaj poufnych informacji pocztą elektroniczną ani w wiadomości tekstowej, zwłaszcza jeśli nie masz pewności, do kogo je wysyłasz.

Adres e-mail nie pasuje do nazwy użytkownika nadawcy. Część „Od” wiadomości e-mail składa się z dwóch części: nazwy użytkownika (lub aliasu) i adresu e-mail. Alias może być dowolnie wybrany przez nadawcę, ale adresu e-mail nie można zamaskować. Phisherzy zawsze zmieniają alias, aby wyglądał na prawdziwy, np. „Obsługa klienta PayPal”. Ale jeśli adres e-mail w tym przykładzie nie jest adresem PayPal.com, wiadomość jest fałszywa. Zawsze sprawdzaj przed kliknięciem.

Do wiadomości e-mail dołączone są nieoczekiwane załączniki. Prawdziwa wiadomość e-mail od firmy nigdy nie będzie zawierała załącznika ani żądania pobrania plików. Zamiast tego przekieruje Cię na stronę internetową, z której możesz bezpiecznie pobierać pliki, np. raporty. Nawet jeśli wiadomość e-mail pochodzi od rzekomo prawdziwej organizacji, zawsze unikaj otwierania niespodziewanych załączników.

Jak chronić się przed zagrożeniami phishingowymi?

Istnieje kilka środków ostrożności, które możesz podjąć, aby chronić się przed zagrożeniami phishingowymi.

Nie klikaj linku ani załącznika, chyba że masz co do nich pewność

Jeśli otrzymasz wiadomość e-mail, której się nie spodziewasz i zachęca Cię ona do kliknięcia linku lub zawiera załącznik, nie klikaj żadnego z nich. Jest to powszechna taktyka phishingowa, która jest używana przez atakującego do zwabiania niczego niepodejrzewanych ofiar i nakłonienia ich do kliknięcia linku lub załącznika zawierającego złośliwe oprogramowanie.

Nigdy nie odpowiadaj na prośby o informacje

Jest to oczywiste, że jednym z najlepszych sposobów ochrony przed zagrożeniami phishingowymi jest niepodawanie żadnych danych osobowych nieznanym osobom. Może to być ogromnym zagrożeniem dla bezpieczeństwa osobistego, ponieważ może prowadzić do naruszenia większej liczby kont. Jeśli otrzymasz prośbę o prywatne informacje od firmy, takiej jak bank, zadzwoń do niej bezpośrednio, aby sprawdzić, czy żądanie jest prawdziwe i nigdy nie odpowiadaj na wiadomość e-mail ani tekstową.

Korzystaj z uwierzytelniania wieloskładnikowego (MFA)

Włączenie uwierzytelniania wieloskładnikowego na wszystkich swoich kontach automatycznie zwiększy cyberbezpieczeństwo. Wynika to z faktu, że uwierzytelnianie wieloskładnikowe (MFA) wymaga, aby użytkownicy identyfikowali się nie tylko za pomocą nazwy użytkownika i hasła. To ostatecznie utrudnia atakującemu kradzież informacji. Jednak musisz zachować ostrożność wobec zagrożeń phishingowych, które udają, że proszą o kod uwierzytelniający; jeśli przypadkowo wyślesz atakującemu kod uwierzytelniający, dasz mu dostęp do konta.

Twórz kopie zapasowe danych

Ciągłe tworzenie kopii zapasowych danych jest niezwykle ważne, zwłaszcza jeśli kiedykolwiek staniesz się ofiarą cyberataku, takiego jak atak phishingowy. Tworząc kopię zapasową danych w bezpiecznym magazynie cyfrowym, masz pewność, że zawsze będziesz mieć dostęp do swoich danych, nawet jeśli dostaną się one w niepowołane ręce.

Zainwestuj w rozwiązanie do zarządzania hasłami

Jedną z mało znanych zalet menedżera haseł jest to, że pomaga chronić Cię przed oszustwami phishingowymi. Dzieje się tak, ponieważ nie będzie on działać na stronie logowania, na której adres URL nie pasuje do adresu URL podanego podczas tworzenia rekordu. Więc nawet jeśli phisher nakłoni Cię do kliknięcia linku, menedżer haseł zapewnia dodatkową warstwę ochrony. Potraktuj to jako ubezpieczenie phishingowe.

Bądź na bieżąco

Niezwykle ważne jest bieżące śledzenie informacji o najnowszych zagrożeniach phishingowych. Możesz łatwo rozpoznać zagrożenia phishingowe i wiedzieć, kiedy wystąpią one w Twoim miejscu pracy lub firmie, której jesteś klientem. Śledzenie najnowszych wiadomości o cyberbezpieczeństwie jest niezwykle ważne dla zachowania bezpieczeństwa online.

Co zrobić, jeśli padniesz ofiarą ataku phishingowego?

Rozpoznanie ataku phishingowego to jedno, ale stanie się jego ofiarą to drugie. Jeśli uważasz, że jesteś ofiarą ataku phishingowego z powodu podania poufnych informacji na stronie internetowej lub kliknięcia załącznika, oto pięć kroków, które należy wykonać.

Krok 1: Odłącz urządzenie od Internetu

Odłączenie urządzenia od Internetu zmniejsza ryzyko rozprzestrzeniania się złośliwego oprogramowania na inne urządzenia znajdujące się w tej samej sieci. Ponadto uniemożliwi to komuś zdalny dostęp do urządzenia lub wykorzystanie go do wysyłania poufnych informacji. Natychmiastowe podjęcie tego kroku jest niezbędne do zabezpieczenia wszystkich urządzeń.

Krok 2: Zmień hasło na wszystkich kontach

Jeśli klikniesz link, który przeniesie Cię na fałszywą stronę internetową, na której spróbujesz się zalogować, atakujący może poznać Twoje dane uwierzytelniające. Jest to rodzaj ataku phishingowego, który nakłania ludzi do myślenia, że odwiedzają dobrze znaną stronę internetową, taką jak konto bankowe lub stronę internetową mediów społecznościowych. Jeśli używasz tych samych danych uwierzytelniających lub ich wariantów, atakujący mogą uzyskać dostęp do innych kont przy użyciu informacji podanych na fałszywej stronie.

Ważne jest upewnienie się, że Twoje dane uwierzytelniające zawsze mają silne, niepowtarzalne hasła, ponieważ może to uniemożliwić atakującemu wyrządzenie dalszych szkód na Twoich kontach. Używając tej samej nazwy użytkownika i hasła do wszystkich kont, ułatwiasz atakującemu uzyskanie dostępu do nich.

Krok 3: Zwracaj uwagę na wyciąg z karty kredytowej pod kątem podejrzanych działań

Ponieważ możliwe jest, że atakujący uzyskał dostęp do kont karty kredytowej lub poufnych informacji, które mogą zostać wykorzystane do wzięcia kredytu, niezwykle ważne jest, aby tego pilnować. Możesz nawet rozważyć zastrzeżenie kredytowe. Zastrzeżenie kredytowe pomaga uniemożliwić atakującemu otwieranie nowych kont na Twoje nazwisko.

Krok 4: Skontaktuj się z firmą lub osobą, pod którą podszywał się atakujący

Powiadomienie firmy, że atakujący podszywa się pod nią, jest ważne dla zapewnienia bezpieczeństwa Tobie, firmie oraz jej klientom i pracownikom. Może ona również podać Ci instrukcje ochrony informacji na Twoim koncie.

Krok 5: Zgłoś próbę phishingu

Możesz zgłosić phishingową wiadomość tekstową do Federalnej Komisji Handlu, przenosząc ją do spamu (7726). Możesz również zgłosić próbę phishingu online na stronie ReportFraud.ftc.gov.