Whaling, czyli phishing na grubą rybę. Na co uważać?

Przeczytaj także: Spear phishing nęka biznesową pocztę e-mail

Dziś właściwie nie ma już dnia, w którym nie usłyszelibyśmy o cyberatakach wymierzonych w instytucje państwowe, przedsiębiorstwa, czy w indywidualnych użytkowników. Działania hakerów są nie tylko uciążliwe, ale najczęściej również wiążą się ze stratami finansowymi.

Jedną z najpopularniejszych obecnie metod ataku jest phishing - z ostatnich danych CERT wynika, że odpowiada on za około 54% wszystkich incydentów.

Obserwacja krajobrazu cyberzagrożeń dowodzi również, że phishing może przyjmować różne formy. Mamy tzw. spear-phishing, czyli atak personalny, obierający za cel konkretną osobę, przedsiębiorstwo lub organizację. Jeśli cyberprzestępcy podszywają się z kolei pod osobę z zarządu, to wówczas mamy do czynienia z tzw. łowieniem wielorybów, czyli whalingiem.

– Hakerzy „wielorybnicy” najczęściej atakują w trakcie urlopu, wakacji. Liczą na to, że czujność ofiary i innych pracowników firmy może być mniejsza. Warto pamiętać, że zanim zaczną działać, skrupulatnie śledzą osobę, pod którą chcą się podszyć. W trakcie ataku mogą powoływać się na szczegóły zwiększające ich wiarygodność. Na przykład, śledząc aktywność w mediach społecznościowych, mogą dzielić się wrażeniami z atrakcji wakacyjnych. Dzięki temu mogą wyłudzić dostęp do danych lub systemu firmy. W takiej sytuacji jedynym ratunkiem może okazać się ubezpieczenie – ostrzega Aleksander Chmiel z EIB SA.

Na co zatem szczególnie uważać? Oto 3 przykłady „wyjazdowych” działań hakerów:

Email lub telefon od osoby z zarządu
Najczęściej „wielorybnicy” przesyłają do firmy fałszywą wiadomość e-mail, która zazwyczaj zawiera prośbę o podanie danych dostępowych do bankowości elektronicznej czy informacji o karcie kredytowej. Hakerzy mogą też próbować pozyskać je telefonicznie. Innym sposobem jest dodanie do wiadomości załącznika uruchamiającego instalację złośliwego oprogramowania śledzącego lub powodującego blokadę komputera odbiorcy czy nawet całego systemu firmowego.

– Zdarza się też, że przestępcy łączą formy kontaktu, żeby uwiarygodnić wysłaną wiadomość i zmniejszyć czujność odbiorcy. Dzwonią, podszywając się pod osobę z zarządu i mówią na przykład, że należy pilnie wykonać przelew dla kontrahenta, a za chwilę wyślą wiadomość ze szczegółami. Taki mail może zawierać dane konta przestępcy czy złośliwy załącznik lub link – dodaje Aleksander Chmiel.

Atak na publiczne lub hotelowe Wi-Fi
Bardzo często przestępcy wykorzystują do ataku otwarte lub słabo zabezpieczone sieci publiczne, np. hotelowe lub punkty Wi-Fi w popularnych miejscowościach wypoczynkowych. Włamując się do nich, mogą zarówno śledzić i kopiować zachowania w Internecie, jak i instalować złośliwe oprogramowanie na urządzeniach, które łączą się poprzez tę sieć. Dlatego korzystając z publicznych punktów dostępu, warto zachować szczególną ostrożność i nie logować się przez nie do poczty służbowej czy bankowości internetowej, chyba że istnieje możliwość skorzystania z dodatkowych zabezpieczeń, jak np. maszyna wirtualna.

Przejęcie kontroli nad urządzeniem prywatnym
Idąc na urlop, wiele osób ma zwyczaj wyłączać sprzęty służbowe, zostawiać je przed wyjazdem w pracy lub domu. Korzystają więc wyłącznie z urządzeń prywatnych, nawet jak muszą załatwić wyjątkową, pilną sprawę służbową. Z tego też korzystają przestępcy. Urządzenia prywatne są zazwyczaj o wiele słabiej zabezpieczone lub nie posiadają w ogóle dodatkowej ochrony. Dlatego łatwiej przejąć nad nimi kontrolę, podszyć się pod ofiarę i wyłudzić pieniądze z firmy. Czasem przestępcy nie potrzebują też dostępu do całego urządzenia lub systemu operacyjnego. Wystarczy, że przejmą dane logowania do serwisu społecznościowego i za jego pośrednictwem skontaktują się z przedsiębiorstwem.

Zarząd na celowniku

Kadra zarządzająca przedsiębiorstw od dawna jest wyjątkowo wrażliwa na personalne ataki hakerów. Są dwa główne powody. Po pierwsze: skuteczny atak na członka zarządu zwiększa prawdopodobieństwo wyłudzenia pieniędzy. Po drugie: czasem łatwiej zhakować członka zarządu niż innych przedstawicieli firmy. Przyczyn jest kilka. Jednym z głównych grzechów wielu przedsiębiorstw jest prowadzenie jednolitych szkoleń IT dla całej firmy. Przez to menedżerowie mogą nie w pełni zdawać sobie sprawę z zagrożenia, co z kolei może skutkować mniejszą dbałością o bezpieczeństwo. Ponadto, osoby te podróżują częściej niż inni pracownicy, więc korzystają z wielu punktów dostępu do Internetu o różnej jakości zabezpieczeń. Częściej niż inni mogą też używać tych samych urządzeń do załatwiania spraw prywatnych i służbowych.