Raport CERT Polska: Phishing i spoofing nadal w cenie

Nowy raport, stare techniki

Tak w skrócie można ująć kluczowe obserwacje z 2021 roku – informuje CERT Polska. Przestępcy udoskonalili znane sposoby oszustw i częściej zaczęli sięgać po metody wcześniej rzadko używane. Zaobserwowaliśmy wiele prób podszycia się pod kogoś, w których wykorzystywana jest już nie tylko fałszywa strona instytucji, ale także spoofing numeru telefonu lub kradzież tożsamości – zauważają eksperci z CERT Polska.

Rekordowa liczba zgłoszeń

Do realizacji ataku przestępcy wykorzystują narzędzia do zdalnego zarządzania urządzeniem użytkownika oraz stosują wyrafinowane sztuczki socjotechniczne. To wszystko przełożyło się na rekordową liczbę zgłoszeń w kategorii oszustw komputerowych, których łączny udział w całości obsłużonych przez nas incydentów wyniósł blisko 90 proc.

- Dlatego również w 2021 r. nie ustawaliśmy w wysiłkach związanych z popularyzacją inicjatyw takich jak Lista ostrzeżeń CERT Polska. Publikując porady w mediach społecznościowych wspieraliśmy również samych użytkowników wskazując, jak rozpoznać i przeciwdziałać atakom socjotechnicznym – twierdzą specjaliści.

Ataki z wykorzystaniem słabości użytkowników

Rok 2021 przyniósł ze sobą także bardzo liczne próby ataków wykorzystujących różne nawyki i słabości użytkowników sieci. Pierwszym z nich jest posiadanie jednego hasła do różnych serwisów, dzięki czemu przestępcy uzyskują dostęp do kilku kont jednocześnie. Zwiększa to znacząco ich możliwości przy przeprowadzaniu zaplanowanej przez siebie akcji. Drugą ludzką słabością, poprzez którą oszuści osiągają swoje cele, jest wiara w istnienie łatwych i szybkich sposobów zarabiania pieniędzy.

- Przez cały rok obserwowaliśmy bardzo liczne kampanie promujące osiągnięcie zysku poprzez rzekome inwestycje w kryptowaluty lub walory krajowych spółek skarbu państwa. Ten scenariusz nie posiadał liniowego przebiegu, natomiast skutek dla ofiary zawsze był taki sam – kończył się utratą zaoszczędzonych albo nawet pożyczonych pieniędzy – zauważa CERT Polska.

Log4Shell jako istotna podatność

Na polu bardziej technicznych aspektów cyberbezpieczeństwa na wyróżnienie zasługują dwie istotne podatności: Log4Shell i podatności dotyczące Microsoft Exchange, których próby wykorzystania zanotowaliśmy także w Polsce. Za ich sprawą można było dostrzec, jak istotne jest prawidłowe obchodzenie się z procesem zarządzania podatnościami we współczesnych organizacjach, a także jak ważna jest współpraca z właściwym zespołem odpowiedzialnym za bezpieczeństwo.

Czym jest phishing?

Phishing — to nazwa, która nie przez przypadek budzi dźwiękowe skojarzenia z angielskim słowem „fishing” oznaczającym łowienie ryb. Przestępcy, podobnie jak wędkarze, stosują bowiem odpowiednio przygotowaną „przynętę” i „łowią” swoje ofiary.Zacznijmy od podejrzanych stron. To takie, które wyłudzają dane osobowe i dane uwierzytelniające. Linki do nich przesyłane są różnymi kanałami — SMS-em, mailem lub przez media społecznościowe. Ich adresy mogą znajdować się w różnych domenach, nie tylko w domenie krajowej *.pl.

Cyberprzestępcy podszywają się pod znany bankMikołaj Frączak

W przypadku takich stron kluczowe jest szybkie działanie — rozpoznawanie, raportowanie oraz współdzielenie informacji o złośliwych domenach. Wszystko po to, by jak najszybciej zablokować do nich dostęp. Pomaga w tym uruchomiona przez NASK lista ostrzeżeń, która jest dostępna publicznie i wykorzystywana przez operatorów do blokowania dostępu do niepożądanych stron.

Czym jest spoofing czyli (nie)znane numery?

Spoofing to w dużym uproszczeniu podszywanie się pod innego użytkownika sieci. Oszust wykorzystujący metodę spoofingu telefonicznego podszywa się pod konkretne numery, dzwoniąc z nich do ofiar i udając właściciela danego numeru – naszego znajomego, pracownika naszego banku, urzędnika czy nawet policjanta. Identyfikacja połączeń przychodzących nie zawsze jest wiarygodna.

Istnieje możliwość zamiany numeru strony inicjującej połączenie. Największe możliwości zamiany mają użytkownicy usług VoIP (Voice over Internet Protocol)Nowe rozwiązania technologiczne ułatwiają masowe wykorzystywanie spoofingu. Oszust może bowiem obecnie ręcznie wprowadzić numer, który ma się wyświetlić adresatowi połączenia jako numer dzwoniącego. Policja nie ma natomiast możliwości zablokowania tego procederu, ponieważ telefon oszusta podłączony jest do sieci komputerowej, a nie komórkowej.

Źródło: NASK, CERT Polska.

Dziękujemy, że przeczytałaś/eś nasz artykuł do końca. Jeśli chcesz być na bieżąco z informacjami za zakresu bezpieczeństwa, zapraszamy do naszego serwisu ponownie!
Jeżeli podobał Ci się artykuł podziel się z innymi udostępniając go w mediach społecznościowych.