Phishing: Czym jest i dlaczego powinieneś o tym wiedzieć
Każdego dnia wysyłane są miliardy fałszywych wiadomości e-mail, SMS-ów i stron internetowych — wszystkie z jednym celem: nakłonić Cię do przekazania swoich danych osobowych. Ta technika nazywa się phishingiem i pozostaje jednym z najskuteczniejszych i najbardziej rozpowszechnionych cyberataków — nie dlatego, że jest technicznie zaawansowana, ale dlatego, że celuje w ludzką psychologię, a nie w systemy komputerowe.
Czym jest phishing?
Phishing to forma inżynierii społecznej, w której atakujący udaje kogoś, komu ufasz — Twój bank, serwis streamingowy, pracodawcę, a nawet agencję rządową — aby zmanipulować Cię do podjęcia działania, którego normalnie byś nie podjął. Tym działaniem może być kliknięcie złośliwego linku, pobranie zainfekowanego załącznika lub wpisanie hasła na fałszywej stronie logowania.
Nazwa jest celową grą słów nawiązującą do angielskiego słowa „fishing", czyli łowienia ryb. Atakujący zarzucają przynętę i czekają, kto się na nią złapie.
Jak działa phishing?
Większość ataków phishingowych przebiega według przewidywalnego schematu:
- Przynęta: Otrzymujesz wiadomość, która wygląda na autentyczną. Może imitować alert rozliczeniowy od Netflix, ostrzeżenie bezpieczeństwa od PayPal lub pilną wiadomość od działu IT Twojej firmy.
- Haczyk: Wiadomość wywołuje poczucie pilności — Twoje konto ma zostać zawieszone, wykryto podejrzaną aktywność lub musisz natychmiast zweryfikować swoją tożsamość.
- Pułapka: Zostajesz przekierowany na fałszywą stronę internetową, która wygląda identycznie jak oryginalna. Gdy wprowadzasz swoje dane logowania, trafiają one bezpośrednio do atakującego.
Istnieją również bardziej ukierunkowane warianty. Spear phishing obejmuje spersonalizowane ataki skierowane na konkretne osoby, często z wykorzystaniem informacji zebranych z mediów społecznościowych. Whaling celuje w wysokiej rangi menedżerów. Smishing wykorzystuje wiadomości SMS, natomiast vishing odbywa się przez rozmowy głosowe.
Nowoczesne strony phishingowe często korzystają z HTTPS i wyświetlają ikonę kłódki, co wiele osób błędnie interpretuje jako oznakę bezpieczeństwa strony. Oznacza to jedynie, że połączenie jest szyfrowane — nie że sama strona jest godna zaufania.
Dlaczego ma to znaczenie dla użytkowników VPN
Powszechnym nieporozumieniem jest przekonanie, że używanie VPN chroni przed phishingiem. Tak nie jest — przynajmniej nie bezpośrednio. VPN szyfruje Twój ruch internetowy i ukrywa Twój adres IP, ale nie może powstrzymać Cię od dobrowolnego wprowadzenia danych logowania na fałszywej stronie internetowej.
Niemniej jednak użytkownicy VPN nie są całkowicie bezbronni:
- Niektóre VPN-y zawierają funkcje ochrony przed zagrożeniami, które blokują znane domeny phishingowe, zanim Twoja przeglądarka je w ogóle załaduje.
- VPN może zapobiegać przejęciu DNS — technice, którą atakujący wykorzystują do cichego przekierowywania na fałszywe strony internetowe, nawet gdy wpisujesz poprawny adres.
- Korzystanie z VPN w publicznych sieciach Wi-Fi zapobiega atakom typu man-in-the-middle, które są niekiedy stosowane równolegle z phishingiem w celu przechwytywania danych logowania.
Poleganie wyłącznie na VPN w kwestii ochrony przed phishingiem daje jednak fałszywe poczucie bezpieczeństwa. Nadal potrzebujesz solidnych nawyków w zakresie bezpieczeństwa cyfrowego.
Przykłady z życia wzięte
- Otrzymujesz wiadomość e-mail od „Apple Support" informującą, że Twoje konto zostało zablokowane. Link prowadzi do apple-support-login.com — przekonującej podróbki, która kradnie Twoje Apple ID.
- Wiadomość SMS twierdzi, że Twój bank wykrył oszustwo i prosi o zadzwonienie pod numer 800. Numer łączy Cię z oszustem podszywającym się pod specjalistę ds. fraudów.
- Wiadomość e-mail w miejscu pracy, pozornie wysłana przez dział HR, prosi pracowników o zalogowanie się do nowego portalu świadczeń — w rzeczywistości jest to strona służąca do zbierania danych logowania.
Jak się chronić
- Zawsze sprawdzaj rzeczywisty adres e-mail nadawcy, a nie tylko wyświetlaną nazwę
- Najeżdżaj kursorem na linki przed kliknięciem, aby zobaczyć rzeczywisty docelowy adres URL
- Włącz uwierzytelnianie dwuskładnikowe na wszystkich ważnych kontach — nawet skradzione hasła stają się bezużyteczne bez drugiego składnika
- Korzystaj z menedżera haseł, który nie uzupełni automatycznie danych logowania na fałszywych stronach
- W razie wątpliwości przejdź bezpośrednio na oficjalną stronę internetową zamiast klikać jakikolwiek link
Phishing działa, ponieważ jest prosty i skalowalny. Zrozumienie, jak funkcjonuje, to Twoja pierwsza linia obrony.