Phishing prostřednictvím e-mailové komunikace

O co se jedná?

V užším pojetí jde o podvodnou techniku, při níž útočník rozesílá e-maily, které se vydávají zejména za zprávy od důvěryhodných institucí, například banky, státního úřadu, doručovací služby, energetické společnosti, zaměstnavatele nebo IT oddělení, s cílem:

• získat přihlašovací údaje k internetovému bankovnictví, e-mailu nebo účtům na sociálních sítích,

• získat údaje o platební kartě,

• přimět oběť k autorizaci platby,

• přimět oběť ke stažení škodlivého souboru.

Typické znaky podvodného e-mailu

Podvodný e-mail zpravidla obsahuje:

• odkaz na podvrženou webovou stránku, která je vizuálně velmi podobná originálu,

• přílohu obsahující škodlivý software,

• instrukce k „rychlému řešení problému“.

V čem spočívá nebezpečnost phishingu

• Rychlost a masovost – útok bývá rozesílán na tisíce adres současně.

• Vysoká věrohodnost – grafika, logo, podpis i jazyk mohou působit oficiálně a přesvědčivě. Kvalita provedení těchto útoků se navíc neustále zvyšuje.

• Okamžitá finanční ztráta – po zadání údajů nebo autorizaci transakce může dojít k bezprostřednímu odčerpání finančních prostředků.

• Sekundární zneužití identity – získané údaje mohou být následně využity k dalším útokům.

• Šíření do firemního prostředí – útok může vést ke kompromitaci celé organizace, včetně nasazení ransomwaru nebo úniku dat.

Jak může vypadat e-mailová adresa odesilatele

• Adresa odesilatele působí důvěryhodně, ale je mírně odlišná – útočníci využívají nepozornosti nebo neznalosti oběti, pokud jde o správnou podobu oficiální e-mailové adresy. Rozdíly mohou být minimální.

• E-mailová adresa vypadá zcela legitimně – je třeba si uvědomit, že útočník může poměrně snadno podvrhnout prakticky jakoukoli e-mailovou adresu odesilatele. To, že jde o spoofing, lze někdy zjistit pouze vyhodnocením e-mailové hlavičky, která každou zprávu doprovází. Ani ta však nemusí být za určitých okolností spolehlivým ukazatelem.

• Útočník odešle zprávu z legitimní kompromitované schránky – jedná se o jednu z nejnebezpečnějších variant. Útočník po kompromitaci cizí e-mailové schránky rozesílá zprávy například předchozím kontaktům napadené osoby a může přitom navazovat na předchozí komunikaci nebo napodobit její styl. S tímto postupem se často setkáváme zejména u CEO fraud a BEC útoků.

Manipulativní techniky využívané v phishingu

• Naléhavost – cílem je zablokovat racionální uvažování. E-mail často obsahuje časový limit nebo výhrůžku následky, aby vyvolal stres a donutil oběť jednat bez rozmyslu.

• Vyvolání strachu – pod vlivem strachu lidé častěji činí iracionální kroky. Zpráva může obsahovat například sdělení typu: „Zaznamenali jsme podezřelou platbu.“, „Byla proti vám zahájena exekuce.“ nebo „Vaše zásilka bude vrácena odesílateli.“

• Zneužití autority – útočníci se vydávají za banky, policii, státní úřady, jiné instituce, zaměstnavatele nebo IT oddělení. Lidé mají přirozenou tendenci autoritám důvěřovat.

• Zvědavost a neopatrnost – zpráva může využívat například tvrzení typu: „Podívejte se na kompromitující fotografie.“ nebo „Máte nárok na vrácení přeplatku.“

• Technická zmatenost – použitím odborně znějících termínů, například „bezpečnostní protokol“, „autorizace“ nebo „verifikace“, se útočník snaží vyvolat dojem, že situaci je nutné řešit podle jeho instrukcí.

• Sociální důkaz – útočník může tvrdit například: „Tuto aktualizaci již provedlo 95 % klientů.“

Scénáře útoků a nejčastější legendy

Phishingové útoky jsou založeny na vytvoření důvěryhodně působící legendy, která má oběť přimět k určitému jednání. Nejčastěji jde o kliknutí na odkaz, otevření přílohy, zadání přihlašovacích údajů, údajů o platební kartě nebo o autorizaci platby. Útočníci přitom zpravidla využívají témata, která jsou pro příjemce známá, běžná a uvěřitelná. Často navazují na situace, se kterými se člověk může v každodenním životě reálně setkat, například platba kartou, doručení zásilky, vyúčtování energií, komunikace se zaměstnavatelem nebo správa uživatelského účtu.