Phishing to rodzaj oszustwa, w którym przestępcy podszywają się pod zaufane instytucje, aby wyłudzić dane lub pieniądze. Wyjaśniamy co to jest, na czym polega phishing, jak wygląda taki atak, jak rozpoznać próbę oszustwa, jak się bronić, co zrobić w razie utraty środków (np. wskutek nieautoryzowanej transakcji płatniczej) oraz gdzie zgłosić phishing.
Co to jest phishing?
Phishing to rodzaj cyberprzestępczości, który polega na wyłudzeniu od ofiary poufnych danych (np. loginów, haseł, numerów kart kredytowych) lub nakłonieniu jej do wykonania określonych działań (np. nieświadomego przelewu pieniędzy) pod fałszywym pretekstem. Innymi słowy, jest to oszustwo internetowe, czyli scam, wykorzystujące socjotechnikę – manipulowanie zaufaniem – w celu osiągnięcia korzyści kosztem ofiary. Przestępcy mogą podszywać się pod bank, urząd, firmę kurierską czy nawet pod znajomego, aby skłonić niczego niepodejrzewającą osobę do ujawnienia wrażliwych informacji lub wykonania niekorzystnej dla niej transakcji finansowej.
Wiele osób, które nie miały wcześniej do czynienia z tym zagrożeniem, zadaje pytania w stylu: „phishing co to” lub „phishing co to jest”. Terminem “phishing” określamy całą gamę oszukańczych praktyk polegających na podszywaniu się pod kogoś innego w sieci. Sama nazwa pochodzi od angielskiego słowa fishing (wędkowanie) – przestępcy niejako „łowią” ofiary, a litera “ph” jest nawiązaniem do terminu phreaking używanego w slangu hakerskim.
Phishing: definicja
Phishing – definicja: Ogólnie przez phishing rozumiemy celowe działanie oszusta, który poprzez podstęp zdobywa zaufanie ofiary i nakłania ją do ujawnienia informacji albo wykonania określonej czynności finansowej. Choć phishing definicja nie figuruje wprost w polskich ustawach, zjawisko to jest powszechnie opisane w kontekście bezpieczeństwa cyfrowego. Na przykład banki definiują phishing jako próbę wyłudzenia danych przez podszywanie się pod instytucje finansowe.
Można więc powiedzieć, że phishing to oszustwo internetowe – scam – polegające na podawaniu się za inną, zaufaną instytucję lub osobę w celu skłonienia ofiary do przekazania cennych informacji (danych logowania, danych karty, kodów SMS) lub do wykonania transakcji, na którą ofiara normalnie by się nie zgodziła. Odpowiadając zatem na pytanie na czym polega phishing, należałoby udzielić odpowiedzi, iż polega na zdobyciu zaufania i wykorzystaniu go przeciwko ofierze.
W praktyce phishing przybiera różne formy i techniki, jednak zawsze kluczowym elementem jest wprowadzenie ofiary w błąd co do tożsamości nadawcy komunikatu lub autentyczności sytuacji. Atak może dotknąć każdego użytkownika Internetu – stąd rośnie potrzeba edukacji na temat tego, co to jest phishing i jak się przed nim chronić.
Rodzaje phishingu
Phishing niejedno ma imię – oszuści stosują rozmaite warianty tej metody, dostosowane do preferowanego kanału komunikacji i profilu ofiary. Do najpopularniejszych rodzajów phishingu należą m.in.:
- phishing e-mailowy – klasyczna forma phishingu polegająca na wysyłaniu fałszywych wiadomości email, wyglądających na korespondencję od banku, portalu aukcyjnego, dostawcy usług czy innej zaufanej instytucji. Wiadomość zwykle zawiera wezwanie do pilnego działania (np. „Twoje konto zostanie zablokowane, jeśli nie potwierdzisz danych”) oraz link prowadzący do strony imitującej prawdziwą witrynę, gdzie ofiara ma podać swoje dane logowania lub finansowe. To najczęściej spotykany przykład phishingu, który pokazuje, jak wygląda typowy scam, a więc oszustwo internetowe.
- spear phishing – ukierunkowany atak phishingowy na konkretną osobę lub wąską grupę osób. Przestępcy wcześniej zbierają informacje o ofierze (np. imię, miejsce pracy, stanowisko), dzięki czemu ich komunikat wydaje się bardziej wiarygodny i spersonalizowany. Tego typu ataki często wymierzone są w pracowników firm lub instytucji, aby uzyskać dostęp do chronionych zasobów.
- whaling – szczególny rodzaj spear phishingu wymierzony w „grube ryby”, czyli osoby na najwyższych stanowiskach (np. prezesów spółek, dyrektorów finansowych). Ataki whaling są starannie przygotowane i mogą polegać np. na wysłaniu spreparowanej wiadomości email rzekomo od innego członka zarządu lub ważnej instytucji, z prośbą o wykonanie dużego przelewu lub ujawnienie poufnych informacji.
- smishing – phishing przy użyciu wiadomości SMS (nazwa pochodzi od SMS + phishing). Ofiara otrzymuje SMS od rzekomo zaufanego nadawcy (np. banku, firmy kurierskiej, operatora telefonii) z informacją o konieczności podjęcia pilnego działania – np. uregulowania zaległej opłaty, odebrania wygranej nagrody czy rozwiązania problemu z kontem bankowym – wraz z linkiem do fałszywej strony. Kliknięcie w taki link i wpisanie danych może skutkować ich kradzieżą.
- vishing – wariant stanowiący phishing telefoniczny (voice + phishing). Oszust dzwoni do ofiary, udając np. pracownika banku lub policjanta. Pod pretekstem nagłego zagrożenia (np. „na twoim koncie wykryto podejrzane transakcje”) próbuje nakłonić rozmówcę do podania danych logowania, kodów uwierzytelniających lub nawet do wykonania przelewu na „bezpieczne konto”. Często przestępcy manipulują technologią tak, by na wyświetlaczu telefonu ofiary pojawił się numer infolinii banku, co dodatkowo uwiarygadnia ich historię.
Oprócz powyższych istnieją też inne odmiany ataków powiązanych z phishingiem, np. pharming (atak na infrastrukturę DNS w celu przekierowania użytkownika na fałszywą stronę bez jego wiedzy). Niezależnie od metody, mechanizm jest podobny – ofiara wierzy, że ma do czynienia z autentyczną instytucją lub osobą, i w rezultacie sama przekazuje oszustom klucz do swoich pieniędzy lub danych.
