Jak chronić się przed atakami phishingowymi

Czym jest phishing?

Phishing to atak socjotechniczny, w którym atakujący tworzy przekonującą kopię legalnej strony internetowej — często perfekcyjną w każdym szczególe — i oszukuje ofiarę, by wprowadzi tam dane uwierzytelniające. W momencie wysłania formularza przez ofiarę atakujący przechwytuje nazwę użytkownika, hasło i wszelkie drugie czynniki, następnie używa ich do przejęcia prawdziwego konta w ciągu sekund.

Słowo pochodzi od metafory "łowienia" ofiar na przynętę (zazwyczaj e-mail). Pisownia zmieniła się, aby podkreślić, że atakujący często używają numerów telefonu (phone) (phishing SMS, czyli "smishing") i profesjonalnie wyglądającej infrastruktury.

Dlaczego phishing wciąż jest zagrożeniem numer 1

Większość dzisiejszych włamań na konta na dużą skalę nie obejmuje hakowania, łamania haseł ani omijania szyfrowania. Obejmuje człowieka wpisującego hasło na fałszywej stronie. Phishing jest:

• Tani — atakujący może wysłać miliony e-maili za koszt VPS i podszywanej domeny
• Trudny do filtrowania — nowoczesne zestawy rotują domeny, używają legalnego hostingu i adaptują się do filtrów w czasie rzeczywistym
• Skuteczny — nawet użytkownicy świadomi bezpieczeństwa padają ofiarą dobrze stworzonych celowanych prób (spear phishing)
• Skalowalny — pojedynczy udany phishing często daje dostęp do dziesiątek połączonych usług poprzez ponowne użycie haseł

Raport Verizon Data Breach Investigations Report z 2024 roku stwierdził, że phishing był początkowym wektorem dostępu w ponad 36% wszystkich włamań — więcej niż jakakolwiek inna pojedyncza przyczyna.

Jak działa nowoczesny phishing

Phishing ewoluował daleko poza e-maile "nigeryjskiego księcia" z lat 2000. Nowoczesny atak phishingowy zazwyczaj obejmuje:

1. Przekonującą przynętę

Zazwyczaj e-mail, SMS lub wiadomość na czacie tworząca pilność ("Twoje konto zostanie zawieszone"), autorytet ("zespół bezpieczeństwa Microsoft") lub ciekawość ("Ktoś oznaczył cię na zdjęciu"). Spear-phishing idzie dalej, używając osobistych szczegółów pobranych z LinkedIn, baz naruszonych danych lub wcześniejszej korespondencji.

2. Perfekcyjnie skopiowaną fałszywą stronę

Atakujący używają gotowych zestawów phishingowych, które klonują HTML, CSS i JavaScript strony docelowej. Wiele zestawów jest sprzedawanych jako usługa (phishing-as-a-service), z działającymi panelami i wsparciem klienta.

3. Proxy w czasie rzeczywistym dla 2FA

Niebezpieczna część: nowoczesne zestawy nie tylko przechwytują hasło. Działają jako proxy man-in-the-middle, które przekazuje wszystko co wpiszesz — włącznie z kodem TOTP — na prawdziwą stronę w ciągu sekund, omijając większość 2FA. Ta technika nazywa się adversary-in-the-middle (AiTM) i jest używana w narzędziach jak Evilginx2 i Modlishka.

4. Kradzież tokenów sesji

Po uwierzytelnieniu przez proxy atakujący przechwytuje cookie sesji i może go używać do pozostania zalogowanym nawet po zmianie hasła. Dlatego reakcja na phishing zawsze obejmuje odwołanie aktywnych sesji, nie tylko rotację hasła.

Co rzeczywiście zatrzymuje phishing

Sprzętowe klucze bezpieczeństwa (FIDO2 / WebAuthn)

To jedyna kategoria obrony, która jest odporna na phishing z założenia. Gdy logujesz się kluczem FIDO2, klucz kryptograficznie weryfikuje dokładną domenę strony żądającej uwierzytelnienia. Fałszywa strona — nieważne jak wizualnie perfekcyjna — ma inną domenę, więc klucz odmawia odpowiedzi. Kryptograficzny uścisk dłoni po prostu się nie kończy.

Google słynnie nakazał YubiKeys wszystkim 85 000+ pracownikom w 2017 roku i zgłosił zero udanych ataków phishingowych na konta firmowe w kolejnych latach.

Passkeys

Passkeys to przyjazna dla konsumentów ewolucja FIDO2. Używają tej samej kryptografii związanej z domeną i są wbudowane w iOS, Android, macOS i Windows. Jeśli strona, której używasz, obsługuje passkeys, włączenie jednego czyni to konto odpornym na phishing.

Menedżery haseł

Menedżer haseł to twoja druga linia obrony, ponieważ automatycznie wypełnia dane uwierzytelniające tylko na dokładnej domenie, gdzie zostały zapisane. Jeśli trafisz na paypaI.com (duża litera I) zamiast paypal.com, menedżer dyskretnie odmówi wypełnienia formularza. Ta odmowa to głośne ostrzeżenie, że coś jest nie tak.

Filtrowanie e-mail i DNS

Dostawcy e-mail używają DMARC, SPF i DKIM do wykrywania podszywanej nadawcy. Większość nowoczesnych dostawców łapie oczywiste próby, ale celowane ataki wciąż się przesliznują. Włącz przyciski "zgłoś phishing" w kliencie poczty, aby pomóc filtrom się poprawić.

Sygnały ostrzegawcze na które zwracać uwagę

Gdy otrzymasz wiadomość prosząc o zalogowanie, weryfikację lub pilne działanie:

• Pilność i groźby — "Twoje konto zostanie zamknięte w ciągu 24 godzin"
• Ogólne powitania — "Szanowny kliencie" zamiast twojego imienia
• Podobne domeny — paypaI.com, app1e.com, secure-microsoft-login.net
• Nieoczekiwane załączniki — szczególnie pliki .zip, .html lub .pdf prosząc o zalogowanie do ich wyświetlenia
• Błędy gramatyczne lub formatowania — duże firmy sprawdzają swoje e-maile
• Niezgodność linku — najedź na link i sprawdź, czy miejsce docelowe pasuje do tekstu

Jeśli coś wydaje się nie tak, zamknij e-mail. Przejdź na stronę ręcznie. Jeśli jest prawdziwy problem, zobaczysz go gdy zalogujesz się przez normalny przepływ pracy.

Co robić, jeśli padłeś ofiarą

Działaj szybko — szybkość ma znaczenie, ponieważ atakujący zaczynają używać danych uwierzytelniających w ciągu minut.

1. Natychmiast zmień hasło na innym urządzeniu (na przykład telefonie, jeśli padłeś ofiarą na laptopie)
2. Odwołaj wszystkie aktywne sesje w ustawieniach konta — to wyrzuca wszystkich obecnie używających ukradzionych tokenów sesji
3. Włącz 2FA, jeśli nie była już włączona, i użyj sprzętowego klucza lub passkey jeśli możliwe
4. Sprawdź nieautoryzowaną aktywność — wysłane e-maile, ostatnie logowania, zmiany w rozliczeniach, nowe reguły przekierowania
5. Powiadom zagrożoną instytucję, jeśli to konto finansowe lub służbowe
6. Sprawdź inne konta, które używały tego samego hasła — nawet jeśli jesteś pewien, że nie używasz haseł ponownie, sprawdź

Podsumowanie

Phishing prosperuje, ponieważ omija technologię i celuje w ludzi. Najlepsze obrony łączą trzy warstwy: menedżery haseł (odmawiają automatycznego wypełniania na złych domenach), odporną na phishing 2FA (sprzętowe klucze lub passkeys, które wiążą się z prawdziwą domeną), i zdrowy sceptycyzm (nigdy nie loguj się z linku e-mailowego).

Włącz wszystkie trzy na najważniejszym koncie — e-mailu — najpierw. Od tego momentu reszta twojego cyfrowego życia staje się znacznie bezpieczniejsza.