piątek, Wrzesień 20, 2019
Facebook
Home Tagi Wpis otagowany "Ataki phishingowe"

Ataki phishingowe

W 2019 roku cyberprzestępcy ukradną 2 bln dolarów, czyli kwotę, na którą 38 mln Polaków musiałoby pracować przez 4 lata (!) Przestępczy proceder kwitnie, a jedną z najpowszechniejszych form kradzieży danych pozostaje phishing. W świetle najnowszych badań oszustwa tego typu najszybciej rozwijają się w…serwisach społecznościowych. W pierwszym kwartale 2019 r. przybyło ich aż o 75%. Firma Xopero, producent rozwiązań do backupu i ochrony przed utratą danych, radzi, jak nie dać się „złowić”.

Kosmiczne zarobki cyberprzestępców

Eksperci z Cisco Systems szacują, że w 2019 roku hakerzy zarobią 2 bln dolarów. Dla porównania, Polska wypracuje w tym samym okresie PKB w wysokości ok. 0,5 bln dolarów – czterokrotnie mniej. To, jak ogromną sumę ukradną cyberprzestępcy zobrazować może Wam widok 5 stosów studolarówek sięgających Międzynarodowej Stacji Kosmicznej, która orbituje 400 km nad Ziemią.

Jak “łowi” się w sieci

W kontekście kosmicznych zysków generowanych przez przestępców, rozwój ich działalności nie powinien nikogo dziwić. Jedną z chętniej wykorzystywanych przez nich metod pozostaje phishing. Jest to rodzaj oszustwa internetowego polegającego na wyłudzaniu poufnych danych, zazwyczaj za pomocą wiadomości zawierających złośliwe załączniki lub linki kierujące użytkowników na pozornie autentyczne strony logowania znanych i wiarygodnych instytucji lub firm. Często wystarczy samo kliknięcie, aby jednocześnie zainicjować proces ściągania na komputer złośliwego oprogramowania. Skradzione dane uwierzytelniające wykorzystywane są przez oszustów jako punkt wyjścia do dalszych ataków lub sprzedawane na DarkWebie.

Ulubione marki oszustów

Obie te metody wymagają od przestępców umiejętności podszycia się pod znane firmy i instytucje. Wizerunków których najchętniej używają? Według raportu „Phishers Favorites” na liście 10 ulubionych marek znalazły się m.in. Microsoft, PayPal, Netflix, Facebook czy DHL oraz banki, z których w Polsce najbardziej znany jest Credit Agricole. W tym zestawieniu rośnie jednak znaczenie mediów społecznościowych.

Przeczytaj także:

Wzrost ataków phishingowych w social mediach

W pierwszym kwartale 2019 r. na terenie Ameryki Północnej oraz Europy ilość oszustw w social mediach wzrosła o 74,5%. Na liście ulubionych portali, poza wspomnianym Facebookiem, znalazły się LinkedIn oraz Instagram. Ilość oszustw na Facebooku wzrosła o 155,5%, podczas gdy na Instagramie aż o…1868,8% (!).

Skąd taki wzrost zainteresowania mediami społecznościowymi? Przede wszystkim z powodu ich powszechności. Z danych raportu “Digital 2019” wynika, że konta w social mediach posiada blisko 45% całej populacji.

Z Facebooka korzysta na co dzień 2,23 mld, z Instagrama 1 mld, a z LinkedIna 303 mln ludzi. Spędzają w nich średnio 2 godziny i 16 minut dziennie, czyli ⅓ całkowitego czasu, jaki przebywają w sieci. Z cytowanego raportu wynika również, że średnio co czwarty użytkownik wykorzystuje social media w swojej pracy. Zważywszy na ilość powstających profili firmowych, jak również rosnącą rolę social mediów w komunikacji, również biznesowej, możemy być pewni, że ilość zagrożeń w mediach społecznościowych będzie w dalszym ciągu wzrastać.  

Jak nie dać się “złowić”?         

Wzrost wykorzystania social mediów w celach służbowych to wbrew pozorom ogromny problem dla firm – zauważa Bartosz Jurga, Head of Sales w Xopero Software – z badań wynika, że to pracownicy odpowiadają za 48% naruszeń bezpieczeństwa w firmach i stanowią najsłabsze ogniwo całego systemu ochrony danych biznesowych. Na szczęście, problem został zauważony przez pracodawców, którzy zaczynają edukować swoje zespoły. Tylko w tym roku działania edukacyjne zamierza prowadzić aż 80,6% firm, a blisko połowa zwiększy swoje inwestycje w tym zakresie.

Jak edukować? Przedsiębiorcy mogą korzystać z wachlarza możliwości – szkoleń, wewnętrznych newsletterów o zagrożeniach, kontrolowanych ataków phishingowych realizowanych przez działy IT czy bezpłatnych webinarów edukacyjnych dla firm organizowanych cyklicznie na platformie e-Bezpieczna Polska.

Źródło: Xopero Software S.A.

Jak wynika z danych Departamentu Sprawiedliwości USA, oszustwa związane z fałszowaniem tożsamości są jednym z najczęściej stosowanych sposobów kradzieży danych osobowych w Stanach Zjednoczonych. Proceder ten jest także często wykorzystywany w naszym kraju, a dane z ostatnich lat wskazują na wzrost liczby tego typu przestępstw. Tylko w zeszłym roku Policja odnotowała ponad 100 tys. przypadków wyłudzeń dokonanych z wykorzystaniem cudzej tożsamości.

Z kolei – jak podaje InfoDok – każdego dnia w naszym kraju dochodzi średnio do 16 prób dokonania cyberprzestępstw na łączną kwotę 1,3 mln zł. Według ekspertów z F-Secure, hakerzy z różnych zakątków Świata tylko w ciągu jednej godziny podejmują średnio 700 prób cyberataków na naszych obywateli. Cyberoszustwa to cena, jaką płacimy za rozwój technologii, wygodę robienia zakupów przez Internet oraz za możliwość łatwego i szybkiego dokonywana płatności on-line. Aby zwiększyć swoje bezpieczeństwo w sieci, należy poznać najpopularniejsze metody postępowania cyberprzestępców, którzy czyhają na nasze dane. W przeciwnym razie, możemy nie tylko stracić oszczędności życia, ale i wpaść w długi, które znacząco utrudnią nasze plany finansowe.

Nie daj się złowić na phishing i szantaż cyberprzestępców

Frima Symantec oszacowała, że globalnie co sekundę średnio 18 osób pada ofiarą cyberataków, co przekłada się z kolei na roczną stratę w łącznej wysokości 113 mld dolarów. Warto zaznaczyć, że według analiz ekspertów F-Secure Polska nie wyróżnia się na tym tle od innych państw i podąża zgodnie z globalnym trendem wzrostu liczby przestępstw dokonanych w sieci, z których najpopularniejsze dotyczą phishing’u i ataków ransomware.

Phishing polega na podszywaniu się pod inną osobę lub instytucję i wysłaniu wiadomości e-mail bądź sms w celu wyłudzenia określonych informacji, np. danych dotyczących karty kredytowej, danych autoryzacyjnych służących do logowania się do bankowości internetowej itp. A jak to „działa” w praktyce? – Możemy otrzymać wiadomość elektroniczną wyglądem i treścią do złudzenia przypominającą tę, którą mógłby nam wysłać np. bank. Przeważnie nadawca prosi o przekazanie naszych danych, aby np. odzyskać dostęp do interfejsu bankowości elektronicznej lub dokonać transakcji, która z powodu najróżniejszych „błędów” systemowych nie została ukończona. W związku z tym, że treść takich komunikatów wygląda na wiarygodną, a część informacji na nasz temat w niej zawartych się zgadza (phishing polega właśnie na wykorzystaniu prawdziwych danych, które przestępca pozyskał wcześniej z innego źródła), automatycznie wykonujemy to, o co zostaliśmy poproszeni. Przeglądając w pośpiechu pocztę, np. w drodze do pracy, nietrudno o pomyłkę i kliknięcie w link lub odpowiedź na fałszywą wiadomość, co może nas wiele kosztować – wyjaśnia Marcin Dynak, Inspektor ochrony danych w Intrum.

Jak sam dodaje, jeżeli w porę nie odkryjemy, że ktoś bezprawnie wykorzystał nasze dane, to nie tylko możemy np. stracić oszczędności swojego życia, ale również popaść w poważniejsze kłopoty finansowe. Ponadto, skradzione informacje mogą posłużyć oszustom do zaciągania kredytów na nasze nazwisko czy do dokonywania drogich zakupów przy wykorzystaniu naszych środków. Nie zapominajmy jednak, że największym zyskiem dla cyberprzestępców są po prostu nasze dane. Wzorce zachowań w Internecie, zwyczaje zakupowe czy nawet poglądy polityczne mogą zostać wykorzystane do dokonania niejednego przestępstwa, często dużo bardziej opłacalnego niż zysk z wyłudzonego kredytu konsumenckiego. W 2018 r. hakerzy uzyskali dostęp do cyfrowych kodów logowania użytkowników Facebooka i wykorzystując lukę w zabezpieczeniach portalu, wykradli dane osobowe aż 29 mln osób.

W trakcie kupowania w sklepie on-line, korzystając z bankowości internetowej lub po prostu przeglądając Internet, możemy także paść ofiarą innego szkodliwego oprogramowania typu ransomware (zbitka wyrazowa angielskich słów okup i oprogramowanie). Cyberprzestępcy poprzez kryptowirusa (najpopularniejsze z nich to tzw. trojany), blokują dostęp do systemu operacyjnego na komputerze lub do poszczególnych aplikacji, uniemożliwiając tym samym odczyt zapisanych w nich informacji, a następnie żądają od ich właściciela „okupu” za przywrócenie urządzenia czy oprogramowania do stanu sprzed ich zainfekowania. W celu uzyskania okupu oszuści wykorzystują różne metody płatności, od tych popularnych, jak tradycyjne przelewy, wiadomości SMS Premium (specjalne wiadomości tekstowe o podwyższonej opłacie) czy usługi pre-paid, po walutę Bitcoin. Ataki ransomware z 2017 r. kosztowały jego ofiary w sumie 4 mld dolarów.

Jak zatem przebiega atak z wykorzystaniem szkodliwego oprogramowania typu ransomware? Po zainfekowaniu naszego komputera na jego ekranie zostaje wyświetlone fałszywe ostrzeżenie opublikowane rzekomo np. przez Policję, informujące o tym, że musimy ponieść karę finansową, np. za naruszenie praw autorskich w związku z nielegalnym pobraniem treści z Internetu. Innym przykładem komunikatu jest informacja o posiadaniu nieoryginalnej wersji systemu Microsoft Windows.

To tylko najpopularniejsze przykłady zagrożeń czyhających na nas w sieci i należy pamiętać, że oszuści – powodowani chęcią uzyskania łatwych i wymiernych korzyści – nieprzerwanie wymyślają nowe sposoby na to, jak wykraść nasze dane i pieniądze.

Przeczytaj także:

Uwaga na dane widniejące w dowodzie osobistym

Nierzadko sami narażamy się na niebezpieczeństwo, przekazując swoje dane w niepowołane ręce. Rozważmy nasypujący przypadek: czy jeżeli podczas aktywności w Internecie, np. w trakcie robienia zakupów lub zamawiania jakiejś usługi, zostaniemy poproszeni o przekazanie newralgicznych danych osobowych widniejących w naszym dowodzie tożsamości (np. PESEL czy seria i numer dokumentu), to powinniśmy się na to zgadzać? – Zdecydowanie należy rozważyć zasadność podawania tego typu danych, ponieważ w niewłaściwych rękach, mogą one posłużyć do wyłudzenia kredytu lub do zaciągania w naszym imieniu innych zobowiązań (np. poprzez zawarcie niekorzystnej dla nas umowy), których konsekwencje mogą wpędzić nas w kłopoty finansowe na długie lata – ostrzega Marcin Dynak, ekspert Intrum.

Skutków kradzieży tożsamości jest zdecydowanie więcej i wszystkie one – w krótszej lub dłuższej perspektywie – odbijają się negatywnie na kondycji finansowej. Dostęp osób nieuprawnionych do naszych danych może posłużyć między innymi do: prowadzenia fałszywej działalności biznesowej, wyłudzania np. zwrotu podatku lub zapłaty od kontrahentów i klientów, kradzieży wypożyczonego samochodu, zawarcia umowy z operatorem telefonii komórkowej, założenia fałszywego konta internetowego lub fałszywego profilu itp. W związku z tym, każdy z nas powinien upewnić się, czy konieczność podawania danych osobowych jest uzasadniona i celowa oraz ustalić, kto prosi o ich podanie. Jeżeli są one potrzebne do zweryfikowania naszej tożsamości np. podczas zakupu biletu lotniczego lub przy zakładaniu zaufanego profilu na stronie internetowej urzędu, to upewnijmy się, że połączenie internetowe jest bezpieczne (będzie oznaczone symbolem zielonej kłódki widniejącej po lewej stronie paska adresu w przeglądarce internetowej). Tego typu rozwiązanie techniczne powinno zapewnić, że informacje, które przesyłamy na tak chronioną witrynę, są i pozostaną prywatne oraz zabezpieczone przed dostępem osób nieuprawnionych.

10 zasad bezpieczeństwa, które powinien znać każdy internauta

Jak zatem chronić swoją tożsamość w Internecie i na co należy zwrócić uwagę, by nie stać się ofiarą cyberprzestępców? Jak zaznacza Marcin Dynak, kupowanie i płacenie on-line może być bezpieczne, wystarczy tylko znać i stosować się do kilku opisanych niżej zasad bezpieczeństwa:

  1. Wybieraj tylko bezpieczne i sprawdzone sklepy internetowe, czyli takie, o których wiadomo, że przestrzegają zasad bezpieczeństwa i stosują odpowiednie zabezpieczenia, dzięki którym dane osobowe ich klientów nie staną się łatwym łupem dla oszustów.
  2. Dokonuj płatności internetowych tylko przy udziale certyfikowanych pośredników.
  3. Nie otwieraj wiadomości e-mail i sms nieznanego pochodzenia oraz zawierających podejrzaną treść. Zwróć szczególną uwagę na wiadomości nakazujące zapłatę zaległych (w tym przypadku fikcyjnych) faktur lub podanie dostępu do konta bankowego albo danych z karty płatniczej.
  4. Zadbaj o bezpieczeństwo haseł dostępu. Hasła powinny składać się z różnych znaków (wielkie i małe litery, znaki specjalne i cyfry) oraz być odpowiednio długie (min. 8 znaków), wtedy będą trudniejsze do złamania. Co nie mniej ważne – nie posługuj się tym samym hasłem dostępu do wielu kont i pamiętaj, aby zmieniać je co jakiś czas.
  5. Nigdy nie podawaj haseł i loginów osobom trzecim.
  6. Sprawdzaj, czy bank lub sklep internetowy, z którego korzystasz, wykorzystuje szyfrowaną wersję protokołu http. Innymi słowy, sprawdź, czy adres strony poprzedza fraza „https” (np. https://www.abcdefghijkl.pl). Jeżeli nie, to takie połączenie nie jest szyfrowane, co znacząco obniża poziom zaufania do takiej witryny i warto rozważyć, czy istnieje potrzeba przekazywać tam swoje dane.
  7. Wykonując przelew bankowy on-line, nigdy nie kopiuj numeru rachunku bankowego z zewnętrznych źródeł, tylko za każdym razem wpisuj go ręcznie.
  8. Nie korzystaj z otwartych, niezabezpieczonych sieci Wi-Fi, czyli tzw. hotspotów, dostępnych w miejscach publicznych, takich jak restauracje, galerie handlowe czy lotniska, nawet jeżeli musisz skorzystać z aplikacji bankowej, aby wykonać szybki przelew. W celu zwiększenia ochrony naszych urządzeń, zasadne wydaje się rozważenie nabycia usługi VPN (z ang. Virtual Private Network), dzięki której przeglądanie Internetu, w tym także korzystanie z usług bankowych czy robienie zakupów, będzie odpowiednio zabezpieczone i niedostępne dla osób trzecich.
  9. Używaj sprawdzonych programów antywirusowych. Dzięki temu dodatkowemu zabezpieczeniu możesz mieć pewność, że zarówno Twoje dane, które udostępniasz w Internecie, jak i informacje, które przechowujesz lokalnie na komputerze lub w smartfonie, będą bezpieczne. Korzystaj tylko z oprogramowania pochodzącego z autoryzowanych, legalnych źródeł.
  10. Dokonuj regularnych aktualizacji oprogramowania na Twoim komputerze.

Źródło: Intrum

Głównym źródłem incydentów i zagrożeń pozostaje bezpośrednie otoczenie firmy. Zgodnie z deklaracjami respondentów, aż w 1/3 ich źródłem były osoby obecnie zatrudnione w firmach.  13% badanych w raporcie na temat stanu bezpieczeństwa informacji w Polsce przeprowadzonego przez PWC  – wskazało na byłych pracowników, zaś 6% na aktualnych usługodawców, konsultantów lub wykonawców. Co ciekawe tylko 4% za źródło uznało klientów, zaś po 2% wskazało na byłych usługodawców i dostawców. 

PWC przeanalizowało też okoliczności, w jakich dochodziło do naruszeń bezpieczeństwa  teleinformatycznego. Aż 41% respondentów zadeklarowało, że były one następstwem błędów popełnionych przez użytkowników systemów. 24% uczestników badania wskazało na wykorzystanie wcześniej wykradzionych danych lub informacji, zaś 21% na błędy w konfiguracji komponentów.

Ataki phishingowe pozostawały w czołówce stosowanych scenariuszy ataków – wciąż co piąty ankietowany deklarował, że jego organizacja padła ofiarą tego prostego mechanizmu.

Poważną sytuację pogarsza dodatkowo fakt, że , większość firm nie próbuje się ubezpieczać od ryzyk cyberbezpieczeństwa. Jedynie co dziesiąta badana przez  PWC spółka posiada polisę ubezpieczeniową od ryzyk cyberbezpieczeństwa. Należy jednak także zauważyć, że oferta tego typu ochrony na rynku polskim nadal jest dosyć ograniczona.

Cyberzagrożenia to nie tylko problem IT, ale poważne ryzyko biznesowe. Prezesi z prawie wszystkich regionów świata zaliczają je do 5 najważniejszych ryzyk dla swojej firmy. Tylko w Europie Środkowo-Wschodniej i Ameryce Łacińskiej obszar ten wciąż nie stanowi priorytetu. Również w Polsce często obserwujemy cyber-ruletkę, liczenie na szczęście i fałszywe przekonanie, że „moja firma jest dobrze zabezpieczona”. Tymczasem, jak od 5 lat pokazują wyniki naszego badania, mamy sporo do nadrobienia. Budżety bezpieczeństwa stanowią średnio zaledwie 3% całkowitych budżetów IT, a blisko połowa firm nie posiada procedur reakcji na incydenty. Czynnikiem, który popycha nas do działania są dopiero wymogi regulacyjne i konieczność dostosowania się do nich. W tym roku wyzwaniem – i jednocześnie szansą – będzie RODO oraz Dyrektywa NIS – komentuje Piotr Urban Partner, Lider usług cyberbezpieczeństwa w regionie Europy Środkowo-Wschodniej.

Eksperci

Paradoksalna sytuacja na rynku obligacji

W ostatnich dniach doszło do dość kuriozalnej sytuacji, polegającej na tym, że rentowność dziesięcio...

W cieniu ustawy „frankowej”, w Sądzie Najwyższym kształtuje się orzecznictwo w sprawach kred

Ostatnie informacje i wydarzenia w świecie kredytów „frankowych”, zostały zdominowane przez kwestię ...

Biegowy biznes z Polski podbije świat. I można do tego podboju dołączyć

Runmageddon – stworzony w Polsce cykl biegów przeszkodowych – to najbardziej nuklearna historia na p...

Straty są nieodłączną częścią inwestycji

Zakończony niedawno maj był najgorszym miesiącem w tym roku dla rynku akcji. Większość parkietów odn...

Uchwała NSA pozwala wygrać z fiskusem

Każde zobowiązanie podatkowe ulega przedawnieniu. Oznacza to, że po upływie terminu przedawnienia or...

AKTUALNOŚCI

Planowane zmiany w składkach ZUS dla przedsiębiorców

Stanowisko Związku Przedsiębiorców i Pracodawcówws. zapowiedzi wprowadzenia proporcjonalnościw skład...

Ważne dla Polski nowe stanowisko Komisji Europejskiej

Odpowiedź Komisji Europejskiej na ostatnie głosowanie Parlamentu Europejskiego w sprawie pakietu mob...

Dlaczego państwo pozwala na nieozusowane umowy zlecenia?

Dlaczego rząd do tej pory nie zmienił szkodliwego art. 9 ustawy o SUS? Federacja Przedsiębiorców Pol...

Parlament wybrał Ursulę von der Leyen jako pierwszą kobietę przewodniczącą Komisji Europejskie

Parlament Europejski 383 głosami za wybrał w tajnym głosowaniu 16 lipca Ursulę von der Leyen na prze...

Wzrost cen może być krótkotrwały

Jak informuje BIEC (Biuro Inwestycji i Cykli Ekonomicznych), wskaźnik Przyszłej Inflacji (WPI), prog...