Jak chronić się przed atakami phishingowymi

Czym jest phishing?

Phishing to atak socjotechniczny, w którym atakujący tworzy przekonującą kopię legalnej strony internetowej — często z perfekcyjną dokładnością — i nakłania ofiarę do wprowadzenia tam danych logowania. W momencie, gdy ofiara przesyła formularz, atakujący przechwytuje nazwę użytkownika, hasło oraz ewentualny drugi składnik uwierzytelniania, a następnie w ciągu sekund przejmuje prawdziwe konto.

Nazwa pochodzi od metafory "łowienia" ofiar za pomocą przynęty (zazwyczaj wiadomości e-mail). Pisownia zmieniła się, aby podkreślić, że atakujący często używają numerów telefonu (phishing SMS, czyli "smishing") oraz profesjonalnie wyglądającej infrastruktury.

Dlaczego phishing nadal jest zagrożeniem numer 1

Większość dzisiejszych naruszeń bezpieczeństwa na dużą skalę nie polega na hakowaniu, łamaniu haseł ani omijaniu szyfrowania. Polegają na tym, że człowiek wpisuje hasło na fałszywej stronie. Phishing jest:

• Tani — atakujący może wysłać miliony wiadomości e-mail za cenę serwera VPS i sfałszowanej domeny
• Trudny do filtrowania — nowoczesne zestawy rotują domenami, używają legalnego hostingu i dostosowują się do filtrów w czasie rzeczywistym
• Skuteczny — nawet świadomi bezpieczeństwa użytkownicy dają się nabrać na dobrze spreparowane ataki ukierunkowane (spear phishing)
• Skalowalny — jeden udany phishing często daje dostęp do dziesiątek połączonych usług poprzez ponowne użycie haseł

Raport Verizon Data Breach Investigations Report z 2024 roku wykazał, że phishing był wektorem wejścia w ponad 36% wszystkich naruszeń — więcej niż jakakolwiek inna pojedyncza przyczyna.

Jak działa nowoczesny phishing

Phishing ewoluował daleko poza wiadomości o "nigeryjskim księciu" z lat 2000. Nowoczesny atak phishingowy zazwyczaj obejmuje:

1. Przekonującą przynętę

Zazwyczaj jest to wiadomość e-mail, SMS lub wiadomość na czacie wywołująca pilność ("Twoje konto zostanie zawieszone"), autorytet ("Zespół bezpieczeństwa Microsoft") lub ciekawość ("Ktoś oznaczył Cię na zdjęciu"). Spear-phishing idzie o krok dalej, wykorzystując dane osobowe pobrane z LinkedIn, baz wycieczonych danych lub wcześniejszej korespondencji.

2. Perfekcyjnie sklonowaną fałszywą stronę

Atakujący używają gotowych zestawów phishingowych klonujących kod HTML, CSS i JavaScript docelowej strony. Wiele zestawów jest sprzedawanych jako usługa (phishing-as-a-service), wraz z działającymi panelami administracyjnymi i obsługą klienta.

3. Proxy 2FA w czasie rzeczywistym

Niebezpieczna część: nowoczesne zestawy nie tylko przechwytują hasło. Działają jako proxy ataku man-in-the-middle, które przekazuje wszystko, co wpisujesz — w tym kod TOTP — do prawdziwej strony w ciągu sekund, omijając większość zabezpieczeń 2FA. Technika ta nazywa się adversary-in-the-middle (AiTM) i jest stosowana w narzędziach takich jak Evilginx2 i Modlishka.

4. Kradzież tokenu sesji

Po uwierzytelnieniu przez proxy atakujący przechwytuje ciasteczko sesji i może go używać do pozostania zalogowanym nawet po zmianie hasła. Dlatego reagowanie na phishing zawsze obejmuje unieważnienie aktywnych sesji, a nie tylko zmianę hasła.

Co naprawdę chroni przed phishingiem

Sprzętowe klucze bezpieczeństwa (FIDO2 / WebAuthn)

To jedyna kategoria obrony, która jest odporna na phishing z założenia. Podczas logowania za pomocą klucza FIDO2 klucz kryptograficznie weryfikuje dokładną domenę strony żądającej uwierzytelnienia. Fałszywa strona — bez względu na to, jak wizualnie doskonała — ma inną domenę, więc klucz odmawia odpowiedzi. Kryptograficzne uzgadnianie po prostu nie zostaje zakończone.

Google słynnie narzuciło użycie YubiKey dla wszystkich ponad 85 000 pracowników w 2017 roku i od tego czasu odnotowało zero skutecznych ataków phishingowych na konta firmowe.

Klucze dostępu (Passkeys)

Klucze dostępu to przyjazna dla użytkownika ewolucja FIDO2. Używają tej samej kryptografii powiązanej z domeną i są wbudowane w iOS, Android, macOS oraz Windows. Jeśli obsługiwana przez Ciebie strona obsługuje klucze dostępu, ich włączenie sprawia, że konto staje się odporne na phishing.

Menedżery haseł

Menedżer haseł to druga linia obrony, ponieważ automatycznie uzupełnia dane logowania tylko na dokładnej domenie, dla której zostały zapisane. Jeśli trafisz na paypaI.com (wielka litera I) zamiast paypal.com, menedżer po cichu odmówi wypełnienia formularza. Ta odmowa jest głośnym sygnałem ostrzegawczym, że coś jest nie tak.

Filtrowanie poczty e-mail i DNS

Dostawcy poczty e-mail używają DMARC, SPF i DKIM do wykrywania sfałszowanych adresów nadawcy. Większość nowoczesnych dostawców wychwytuje oczywiste próby, ale ukierunkowane ataki nadal się przebijają. Włącz przyciski "Zgłoś phishing" w swoim kliencie poczty, aby pomóc w ulepszaniu filtrów.

Czerwone flagi, na które należy zwrócić uwagę

Gdy otrzymasz wiadomość z prośbą o zalogowanie się, weryfikację lub podjęcie pilnych działań:

• Pilność i groźby — "Twoje konto zostanie zamknięte za 24 godziny"
• Ogólne powitania — "Drogi kliencie" zamiast Twojego imienia
• Domeny podszywające się pod prawdziwe — paypaI.com, app1e.com, secure-microsoft-login.net
• Niespodziewane załączniki — szczególnie pliki .zip, .html lub .pdf wymagające zalogowania się w celu ich wyświetlenia
• Błędy gramatyczne lub formatowania — duże firmy sprawdzają pisownię swoich wiadomości
• Niezgodność linków — najedź kursorem na link i sprawdź, czy cel odpowiada tekstowi

Jeśli cokolwiek wydaje się podejrzane, zamknij wiadomość. Przejdź do strony ręcznie. Jeśli istnieje prawdziwy problem, zobaczysz go po zalogowaniu się przez normalny przepływ pracy.

Co zrobić, jeśli dałeś się nabrać

Działaj szybko — czas ma znaczenie, ponieważ atakujący zaczynają używać danych uwierzytelniających w ciągu minut.

1. Natychmiast zmień hasło na innym urządzeniu (np. na telefonie, jeśli dałeś się nabrać na laptopie)
2. Unieważnij wszystkie aktywne sesje w ustawieniach konta — to wyloguje wszystkich używających skradzionych tokenów sesji
3. Włącz 2FA, jeśli jeszcze tego nie zrobiłeś, i jeśli to możliwe, użyj sprzętowego klucza lub klucza dostępu
4. Sprawdź pod kątem nieautoryzowanej aktywności — wysłane wiadomości, ostatnie logowania, zmiany w rozliczeniach, nowe reguły przekierowania
5. Powiadom zainteresowaną instytucję, jeśli to konto finansowe lub służbowe
6. Sprawdź inne konta korzystające z tego samego hasła — nawet jeśli jesteś pewien, że nie używasz tych samych haseł, i tak sprawdź

Podsumowanie

Phishing kwitnie, ponieważ omija technologię i atakuje ludzi. Najlepsze zabezpieczenia łączą trzy warstwy: menedżery haseł (odmawiają automatycznego uzupełniania na nieprawidłowych domenach), 2FA odporne na phishing (sprzętowe klucze lub klucze dostępu powiązane z prawdziwą domeną) oraz zdrowy sceptycyzm (nigdy nie loguj się przez link z wiadomości e-mail).

Włącz wszystkie trzy na swoim najważniejszym koncie — poczcie e-mail — jako pierwsze. Od tego momentu całe Twoje cyfrowe życie staje się znacznie bezpieczniejsze.