Spear phishing to zaawansowany, ukierunkowany atak socjotechniczny, określany przez ekspertów jako bardzo niebezpieczny. Oszuści podszywają się pod zaufane osoby lub instytucje, aby wyłudzić poufne dane lub środki pieniężne. W niniejszym artykule wyjaśnimy, czym jest ta metoda oraz jak można się przed nim chronić, uwzględniając odniesienia do przepisów prawa.
Spear phishing: co to jest?
Wielu internautów pyta: spear phishing co to jest. Termin ten oznacza zaawansowaną, wysoce spersonalizowaną formę oszustwa internetowego (phishingu), skierowaną na konkretną osobę lub wąską grupę osób. Atakujący skrupulatnie zbierają informacje o ofierze, aby zwiększyć wiarygodność podszywanej wiadomości. Przykładowo, mogą sprawdzić imię, nazwisko czy stanowisko ofiary, co pozwala na przygotowanie przekonująco autentycznych e-maili podszywających się pod przełożonych lub współpracowników. Taki ukierunkowany charakter sprawia, że atak jest trudniejszy do wykrycia niż zwykły phishing – to oszustwo socjotechniczne wykorzystujące presję autorytetu i czasu. Oszukane osoby otrzymują np. e-maile mające pochodzić z działu finansowego firmy czy od operatora pocztowego, często z informacją, że sprawa jest pilna. Dzięki tym zabiegom ofiara ma wrażenie, że kontaktuje się z zaufanym podmiotem i jest bardziej skłonna wykonać nieświadomą dyspozycję.
W odróżnieniu od phishingu masowego, gdzie oszuści wysyłają tysiące niepersonalizowanych wiadomości, omawiana metoda bazuje na szczegółowej analizie ofiary. Spear phishing definicja sugeruje, że metoda oparta jest o precyzyjny atak na wybrane cele. Oszuści potrafią tak przygotować fałszywą wiadomość (np. przesłaną e-mailem) – podszywając się np. pod prezesa firmy – aby ofiara nie miała wątpliwości co do jej autentyczności.
Spear phishing: przykłady
Oszuści zazwyczaj podszywają się pod zaufane osoby (np. szefa, pracownika banku czy urzędnika) i sugerują fałszywe pilne działania – np. weryfikację konta czy zmianę danych do przelewu. Jak zatem wyglądają typowe spear phishing przykłady?
- Przykład 1: Pracownik otrzymuje e‑mail wyglądający na wiadomość od prezesa firmy z poleceniem pilnego przelewu na rachunek dostawcy. Adres nadawcy jest niemal identyczny z firmowym, a wiadomość zawiera nazwiska znane pracownikowi. Po kliknięciu załączonego linku lub po ujawnieniu haseł oszuści przejmują konto firmowe i wykonują nieautoryzowany przelew.
- Przykład 2: Klient banku dostaje SMS-a opisującego specjalną ofertę lub alarm bezpieczeństwa, zawierającego link do fałszywej strony logowania. Zaufawszy wiadomości, wpisuje kod SMS lub dane karty na stronie atakującego – w konsekwencji pieniądze z rachunku znikają. Inny scenariusz to wiadomość z fałszywej domeny sklepu internetowego („phishing z fałszywą domeną”), gdzie odbiorca wprowadza dane logowania do e‑konta, pozwalając oszustom na dostęp do systemu płatności.
Znane są też bardziej spektakularne przypadki tego scamu. W 2016 roku atak wymierzony w sztab wyborczy Hillary Clinton zakończył się przejęciem skrzynki e-mail jednego z kierowników kampanii – wszystko dzięki podstawionej wiadomości. Taki atak na osoby najwyższej rangi (tzw. whaling) pokazuje, że przestępcy mogą kierować oszustwa również na polityków i menedżerów. W Polsce najczęściej celem są pracownicy działów finansowych lub administracji – oszuści podszywają się pod kontrahentów czy przełożonych i proszą o pilny przelew.
