Phishing prostřednictvím e-mailové komunikace

V užším pojetí jde o podvodnou techniku, při níž útočník rozesílá e-maily, které se vydávají zejména za zprávy od důvěryhodných institucí, například banky, státního úřadu, doručovací služby, energetické společnosti, zaměstnavatele nebo IT oddělení, s cílem:

• získat přihlašovací údaje k internetovému bankovnictví, e-mailu nebo účtům na sociálních sítích,

• získat údaje o platební kartě,

• přimět oběť k autorizaci platby,

• přimět oběť ke stažení škodlivého souboru.

Typické znaky podvodného e-mailu

Podvodný e-mail zpravidla obsahuje:

• odkaz na podvrženou webovou stránku, která je vizuálně velmi podobná originálu,

• přílohu obsahující škodlivý software,

• instrukce k „rychlému řešení problému“.

•  

V čem spočívá nebezpečnost phishingu

• Rychlost a masovost – útok bývá rozesílán na tisíce adres současně.

• Vysoká věrohodnost – grafika, logo, podpis i jazyk mohou působit oficiálně a přesvědčivě. Kvalita provedení těchto útoků se navíc neustále zvyšuje.

• Okamžitá finanční ztráta – po zadání údajů nebo autorizaci transakce může dojít k bezprostřednímu odčerpání finančních prostředků.

• Sekundární zneužití identity – získané údaje mohou být následně využity k dalším útokům.

• Šíření do firemního prostředí – útok může vést ke kompromitaci celé organizace, včetně nasazení ransomwaru nebo úniku dat.

Jak může vypadat e-mailová adresa odesilatele

• Adresa odesilatele působí důvěryhodně, ale je mírně odlišná – útočníci využívají nepozornosti nebo neznalosti oběti, pokud jde o správnou podobu oficiální e-mailové adresy. Rozdíly mohou být minimální.

• E-mailová adresa vypadá zcela legitimně – je třeba si uvědomit, že útočník může poměrně snadno podvrhnout prakticky jakoukoli e-mailovou adresu odesilatele. To, že jde o spoofing, lze někdy zjistit pouze vyhodnocením e-mailové hlavičky, která každou zprávu doprovází. Ani ta však nemusí být za určitých okolností spolehlivým ukazatelem.

• Útočník odešle zprávu z legitimní kompromitované schránky – jedná se o jednu z nejnebezpečnějších variant. Útočník po kompromitaci cizí e-mailové schránky rozesílá zprávy například předchozím kontaktům napadené osoby a může přitom navazovat na předchozí komunikaci nebo napodobit její styl. S tímto postupem se často setkáváme zejména u CEO fraud a BEC útoků.

Manipulativní techniky využívané v phishingu

• Naléhavost – cílem je zablokovat racionální uvažování. E-mail často obsahuje časový limit nebo výhrůžku následky, aby vyvolal stres a donutil oběť jednat bez rozmyslu.

• Vyvolání strachu – pod vlivem strachu lidé častěji činí iracionální kroky. Zpráva může obsahovat například sdělení typu: „Zaznamenali jsme podezřelou platbu.“, „Byla proti vám zahájena exekuce.“ nebo „Vaše zásilka bude vrácena odesílateli.“

• Zneužití autority – útočníci se vydávají za banky, policii, státní úřady, jiné instituce, zaměstnavatele nebo IT oddělení. Lidé mají přirozenou tendenci autoritám důvěřovat.

• Zvědavost a neopatrnost – zpráva může využívat například tvrzení typu: „Podívejte se na kompromitující fotografie.“ nebo „Máte nárok na vrácení přeplatku.“

• Technická zmatenost – použitím odborně znějících termínů, například „bezpečnostní protokol“, „autorizace“ nebo „verifikace“, se útočník snaží vyvolat dojem, že situaci je nutné řešit podle jeho instrukcí.

• Sociální důkaz – útočník může tvrdit například: „Tuto aktualizaci již provedlo 95 % klientů.“

Scénáře útoků a nejčastější legendy

Phishingové útoky jsou založeny na vytvoření důvěryhodně působící legendy, která má oběť přimět k určitému jednání. Nejčastěji jde o kliknutí na odkaz, otevření přílohy, zadání přihlašovacích údajů, údajů o platební kartě nebo o autorizaci platby. Útočníci přitom zpravidla využívají témata, která jsou pro příjemce známá, běžná a uvěřitelná. Často navazují na situace, se kterými se člověk může v každodenním životě reálně setkat, například platba kartou, doručení zásilky, vyúčtování energií, komunikace se zaměstnavatelem nebo správa uživatelského účtu.

Bankovní phishing

Bankovní phishing patří mezi nejrozšířenější a nejnebezpečnější varianty phishingových útoků. Útočník se v tomto případě vydává za banku nebo jinou finanční instituci a snaží se u oběti vyvolat dojem, že je nutné neprodleně řešit bezpečnostní incident, zablokovanou operaci nebo technický problém s účtem.

Typickými legendami jsou například sdělení:

• „Vaše platba byla zablokována.“

• „Zaznamenali jsme podezřelou transakci.“

• „Aktualizujte bezpečnostní certifikát.“

• „Váš účet bude z bezpečnostních důvodů omezen.“

• „Pro obnovení přístupu proveďte ověření identity.“

Útok bývá postaven na vyvolání strachu, naléhavosti a nejistoty. Oběť má získat pocit, že pokud nebude okamžitě jednat, přijde o přístup k účtu, dojde ke ztrátě peněz nebo bude její účet zablokován. Součástí zprávy bývá odkaz, který vede na podvrženou stránku internetového bankovnictví. Tato stránka bývá vizuálně velmi podobná originálu, včetně loga, barev, rozvržení i textů. Po zadání přihlašovacích údajů je útočník okamžitě získá. Následně může dojít i k další fázi útoku, kdy je oběť vyzvána k zadání autorizačního SMS kódu, potvrzení v mobilní aplikaci nebo vložení údajů z platební karty.

Zvlášť nebezpečné jsou případy, kdy útočník kombinuje phishingový e-mail s následným telefonátem. Po zadání údajů může oběť kontaktovat osoba vydávající se za pracovníka banky, která ji pod legendou „záchrany prostředků“ přiměje k autorizaci skutečně podvodné transakce.

Cílem bankovního phishingu může být:

• získání přihlašovacích údajů do internetového bankovnictví,

• získání údajů o platební kartě,

• přimění oběti k autorizaci převodu,

• převzetí kontroly nad bankovním účtem.

Doručovací služby – přepravní společnosti

Další velmi častou legendou je komunikace, která se tváří jako zpráva od doručovací nebo kurýrní společnosti. Útočníci těží z toho, že lidé běžně očekávají zásilky a nejsou překvapeni, když obdrží informaci o doručení, nedoručení nebo potřebě drobného doplatku.

Typické formulace zahrnují:

• „Zásilka nemohla být doručena.“

• „Je třeba doplatit 29 Kč za doručení.“

• „Vaše zásilka čeká na potvrzení adresy.“

• „Balík bude vrácen odesílateli, pokud neprovedete úhradu.“

• „Potvrďte údaje pro nové doručení.“

Podstatou útoku je vytvoření dojmu běžné administrativní komplikace, kterou lze snadno a rychle vyřešit. Částka bývá zpravidla nízká, aby nepůsobila podezřele a aby oběť neměla potřebu vše důkladně prověřovat. Odkaz ve zprávě obvykle směřuje na falešnou platební bránu nebo na stránku, kde má oběť zadat údaje o platební kartě, případně své osobní údaje.

Nebezpečnost tohoto scénáře spočívá i v tom, že útok nepracuje jen se strachem, ale i s rutinou. Oběť nepředpokládá sofistikovaný podvod, protože situace působí jako běžná součást online nakupování. Po zadání údajů o kartě může dojít k jejich zneužití pro další platby, případně k pokusu o navázání na další ověřovací kroky.

Za zvlášť rizikové lze považovat období před Vánocemi, kdy lidé častěji nakupují přes internet a snadněji ztrácejí přehled o svých zásilkách. Zároveň jde pro mnohé o hektickou dobu, v níž útočníci spoléhají na nepozornost a lidské pochybení.

Cílem bývá zejména:

• získání údajů o platební kartě,

• získání osobních údajů,

• další zneužití získaných údajů v navazujících útocích.

• není vyloučeno ani získání malé platby.

Energetické společnosti

Phishingové zprávy vydávající se za energetické společnosti pracují s tématy nedoplatků, přeplatků, smluvních změn a ověření platebních údajů. Jde o legendu, která působí věrohodně zejména proto, že vyúčtování energií bývá pro mnoho lidí složité a současně finančně citlivé téma.

Časté formulace jsou:

• „Máte nedoplatek za elektřinu.“

• „Pokud neuhradíte částku do stanoveného termínu, může dojít k omezení dodávky.“

• „Přeplatek bude vyplacen po ověření účtu.“

• „Aktualizujte své kontaktní a platební údaje.“

• „Došlo ke změně podmínek vyúčtování.“

Pokud legenda pracuje s nedoplatkem, útočník vyvolává obavu z finanční sankce, přerušení dodávky nebo jiných nepříjemných následků. Pokud naopak pracuje s přeplatkem, využívá vidinu snadného zisku nebo vrácení peněz. V obou případech bývá oběť navedena na odkaz, kde má zadat bankovní údaje, přihlašovací údaje nebo údaje o platební kartě.

Zvlášť účinná je tato legenda u osob, které mají více smluv, více odběrných míst nebo se méně orientují v tom, jak přesně jejich dodavatel běžně komunikuje. Útočníci navíc často využívají grafiku a jazyk podobný skutečným fakturám či zákaznickým oznámením.

Cílem útoku bývá:

• získání údajů o platební kartě,

• získání přístupových údajů do klientské zóny,

• přimění oběti k úhradě fiktivního nedoplatku,

• získání bankovních údajů pod legendou vrácení přeplatku.

Firemní prostředí – CEO fraud a BEC útoky

V prostředí firem a institucí se phishing často zaměřuje na zaměstnance, kteří mají přístup k platbám, fakturám, účetnictví nebo interní komunikaci. Typickými formami jsou CEO fraud a BEC útoky.

CEO fraud spočívá v tom, že se útočník vydává za vysoce postaveného manažera, člena vedení nebo vlastníka společnosti. Oslovenému zaměstnanci sdělí, že je třeba neprodleně provést platbu, převod finančních prostředků nebo jiný citlivý úkon. Komunikace bývá vedena tak, aby vzbuzovala dojem důvěrnosti, naléhavosti a autority.

S rozvojem moderních technologií mohou útočníci využívat stále sofistikovanější metody. Již dnes dokážou věrohodně napodobit prakticky jakýkoli hlas i vizuální podobu osoby, takže je velmi obtížné rozpoznat, že jde o podvrh.

Pachatelé mohou na vhodný okamžik vyčkávat i delší dobu a útok si pečlivě připravovat. Pokud skutečně dojde ke kompromitaci interní komunikace, mohou následně zneužít legitimní komunikační kanály, například e-mailové schránky nebo účty na sociálních sítích, a navázat na předchozí komunikaci. Tím zvyšují věrohodnost útoku, protože zachovávají dosavadní způsob komunikace, styl oslovení i další zvyklosti.

Typické formulace mohou být:

• „Potřebuji, abyste tuto platbu provedl okamžitě.“

• „Jde o důvěrnou záležitost, neinformujte o ní další osoby.“

• „Jsem momentálně na jednání, proto mi jen potvrďte provedení.“

• „Tuto transakci musíme uzavřít ještě dnes.“

BEC útoky neboli Business E-mail Compromise často spočívají v kompromitaci nebo napodobení firemní e-mailové komunikace. Útočník může zaslat pozměněnou fakturu s jiným číslem účtu, navázat na skutečné probíhající obchodní jednání nebo využít kompromitovanou schránku obchodního partnera. Tím se útok stává výrazně věrohodnějším.

Typické scénáře zahrnují:

• zaslání „aktualizované“ faktury s novým číslem účtu,

• oznámení o změně bankovního spojení dodavatele,

• žádost o urgentní převod v rámci údajné obchodní transakce,

• navázání na existující e-mailové vlákno.

Tyto útoky jsou nebezpečné tím, že necílí jen na technickou nepozornost, ale i na organizační slabiny firmy, například absenci vícestupňového schvalování plateb, neověřování změn bankovních údajů nebo přílišnou důvěru v e-mailovou komunikaci.

Pozor! V některých případech může být na faktuře pozměněno nejen číslo bankovního účtu, ale například i telefonní číslo.

Cílem bývá:

• odklonění firemní platby na účet pachatele,

• získání interních informací,

• kompromitace dalších účtů a systémů,

• dlouhodobé proniknutí do firemní komunikace.

Falešné IT oddělení

Dalším velmi častým scénářem je zpráva, která se tváří jako komunikace od IT oddělení, správce systému, poskytovatele e-mailové služby nebo bezpečnostního týmu. Útok je založen na tom, že běžný uživatel nemusí technickým sdělením plně rozumět, a je tak ochotnější postupovat podle instrukcí.

Obvyklé legendy jsou:

• „Brzy vám vyprší heslo.“

• „Z bezpečnostních důvodů ověřte svůj účet.“

• „Vaše schránka překročila kapacitu.“

• „Byla zjištěna neobvyklá aktivita.“

• „Pro zachování přístupu proveďte reautorizaci.“

Útočník často používá technicky znějící formulace, interní styl komunikace nebo grafické prvky připomínající reálné systémové zprávy. Odkaz obvykle vede na podvrženou přihlašovací stránku e-mailové služby, interního systému nebo cloudové platformy. Uživatel má zadat své přihlašovací údaje, které jsou následně zneužity k převzetí účtu.

V pracovním prostředí může mít takový útok závažné dopady. Kompromitace jednoho účtu může umožnit přístup k interní komunikaci, dokumentům, kontaktům, kalendářům nebo dalším systémům. Útočník pak může pokračovat v laterálním pohybu uvnitř organizace nebo rozesílat další důvěryhodně působící zprávy z napadeného účtu.

Cílem bývá:

• získání přihlašovacích údajů,

• převzetí e-mailového nebo pracovního účtu,

• získání přístupu k interním systémům,

• další šíření útoku v rámci organizace.

Phishing s přílohou

Vedle odkazů představují významnou hrozbu také škodlivé přílohy. Útočník se v takových případech snaží přimět oběť k otevření souboru, který obsahuje malware, downloader, spyware nebo ransomware. Příloha se přitom často tváří jako běžný pracovní nebo administrativní dokument.

Typické názvy souborů mohou být:

• „faktura.pdf.exe“,

• „objednavka.zip“,

• „smlouva.docm“,

• „vyuctovani.html“,

• „potvrzeni platby.iso“.

Útočníci často spoléhají na to, že uživatel neuvidí skutečnou příponu souboru nebo nerozpozná její význam. Název souboru je volen tak, aby působil důvěryhodně a aby vyvolal potřebu jej otevřít. Častými tématy jsou faktury, objednávky, reklamace, životopisy, interní dokumenty nebo skeny.

Po otevření přílohy může dojít:

• ke spuštění škodlivého kódu,

• ke stažení dalšího malwaru z internetu,

• k zašifrování dat v zařízení,

• ke krádeži přihlašovacích údajů,

• k napadení celé firemní sítě.

Zvlášť rizikové jsou dokumenty vyžadující povolení maker, archivy zaheslované s heslem uvedeným v e-mailu nebo soubory s méně běžnými příponami. Tyto techniky mají obejít bezpečnostní mechanismy a přimět uživatele, aby aktivně spustil škodlivý obsah.

Cílem tohoto scénáře je zpravidla:

• infikovat zařízení malwarem,

• získat přístup do systému,

• zašifrovat data a požadovat výkupné,

• vytvořit vstupní bod pro další útok.

Vydírání prostřednictvím e-mailové komunikace

Specifickou kategorií jsou vyděračské e-maily, jejichž cílem není primárně získat přihlašovací údaje, ale vyvolat silnou emoční reakci a přimět oběť k okamžité úhradě požadované částky. Útočníci v těchto zprávách často tvrdí, že disponují kompromitujícími informacemi, materiály nebo důkazy o protiprávním či ostudném jednání oběti. Do této kategorie přikládáme tuto problematiku pro provázanost s tématem.

Typické legendy zahrnují tvrzení, že:

• policie zjistila návštěvu nelegálních webových stránek,

• zařízení oběti bylo napadeno a útočník získal přístup ke kameře,

• byly pořízeny kompromitující záznamy,

• dojde k informování rodiny, zaměstnavatele nebo veřejnosti,

• pokud nebude částka uhrazena, budou materiály zveřejněny.

Zprávy bývají rozesílány ve velkém množství a spoléhají na to, že určité procento příjemců zareaguje ze strachu, studu nebo nejistoty. V některých případech se e-mail může tvářit, jako by byl odeslán z vlastní e-mailové adresy příjemce. To má vyvolat dojem, že útočník skutečně ovládl jeho účet nebo zařízení. Dalším silným manipulačním prvkem může být uvedení skutečného hesla, které pochází z některého z dřívějších úniků dat. Oběť pak snadno získá pocit, že hrozba je reálná.

Ve skutečnosti však často nejde o důkaz aktuální kompromitace zařízení, ale o kombinaci psychologického nátlaku a dříve uniklých údajů. Útočník spoléhá na to, že příjemce nebude situaci ověřovat a raději požadovanou částku zaplatí.

Cílem těchto útoků je:

• vylákání peněz,

• vyvolání okamžité reakce pod tlakem,

• donucení oběti k platbě bez konzultace s okolím,

• někdy i ověření, že e-mailová adresa je aktivní a příjemce reaguje.

Jak nenaletět

Sledujte podezřelou e-mailovou adresu

Například:podpora@bankabezpecnost.commísto oficiální domény. Drobná změna v názvu domény, například .cz místo .com nebo záměna podobných písmen.

Kriticky posuzujte text a formu zprávy

Všímejte si gramatických chyb, nepřirozených formulací nebo známek strojového překladu.

Podezřelá může být i samotná podstata sdělení. Vždy je bezpečnější informaci ověřit jinou cestou, než na ni bez ověření reagovat.

Pozor na výzvy ke sdělení citlivých údajů

Banka ani policie po vás nikdy nebudou požadovat:

• heslo,

• kód z SMS,

• převod peněz na „bezpečný účet“.

Prověřujte odkazy

Phishingové e-maily často obsahují odkaz na podvodnou stránku. Ten může na první pohled působit zcela důvěryhodně, ale skutečná adresa se obvykle zobrazí až po najetí myší na odkaz, aniž byste na něj klikli.

Následná podvodná stránka může vypadat velmi věrohodně, včetně grafiky a funkčních prvků. Zásadní je proto kontrola správnosti URL adresy. I zde mohou být rozdíly jen velmi nepatrné.

Pokud vám bezpečnostní software nebo prohlížeč zobrazí varování před rizikovou stránkou, je třeba velmi pečlivě zvážit, zda ji vůbec otevírat.

Vnímejte časový nátlak

Jakmile na vás e-mail vytváří časový tlak nebo vyhrožuje následky, může jít o silný varovný signál. Typická sdělení jsou například: „Jednejte okamžitě.“, „Poslední výzva.“ nebo „Platnost do 30 minut.“

Buďte opatrní u příloh

S přílohami e-mailových zpráv je třeba zacházet velmi obezřetně, zejména pokud jde o soubory s příponami .exe, .zip, .html nebo dokumenty obsahující makra.

Nenechte se zmást osobním oslovením

Sofistikovanější formou útoku je tzv. spearphishing, tedy cílený phishing. V těchto případech si útočníci dávají více práce se zacílením na konkrétní osobu nebo společnost. Takové útoky bývají úspěšnější právě proto, že působí důvěryhodněji. Někdy stačí, aby byla oběť oslovena jménem, a obsah zprávy již působí seriózněji. Pachatelé přitom mohou disponovat i dalšími údaji o oběti nebo jejím pracovním zařazení.

Zdrojů informací může být velké množství. Například oficiální firemní webové stránky s kontakty, sociální sítě, podnikatelské registry, nebo různé uniklé databáze.

Co dělat v případě útoku

Pokud pouze obdržíte podezřelý e-mail

• neodpovídejte,

• nepřeposílejte jej dál,

• označte jej jako spam,

• případně jej nahlaste bezpečnostnímu týmu nebo odpovědné osobě.

Pokud kliknete na odkaz, ale nezadáte žádné údaje

• zavřete stránku,

• spusťte antivirovou kontrolu zařízení,

• i v takovém případě však platí, že na podezřelé odkazy by se vůbec nemělo klikat.

Pokud zadáte na phishingovém webu přihlašovací údaje

• okamžitě změňte heslo,

• kontaktujte banku, pokud šlo o údaje související s bankovními službami,

• zkontrolujte historii přihlášení a transakcí.

Pokud byla provedena platba

• okamžitě kontaktujte svou banku; v takové situaci rozhodují minuty,

• požádejte o blokaci nebo pokus o zadržení transakce,

• nemažte žádné důkazy,

• podvodný e-mail neodstraňujte a nepřesouvejte jej bez rozmyslu, aby zůstaly zachovány informace potřebné pro další šetření,

• pořiďte záznam obrazovky nebo jinak zadokumentujte komunikaci, stránku i případné potvrzení transakce.