Jak rozpoznać phishing w e-mailu

Wersja na minutę

1. Spójrz na prawdziwy adres nadawcy, a nie tylko na nazwę.
2. Zapytaj, czego chce wiadomość: logowania, płatności, kodu, otwarcia załącznika.
3. Najedź na główny link kursorem (nie klikaj) i przeczytaj domenę, do której prowadzi.
4. Oceń nacisk: termin, groźba, nagroda.
5. Zweryfikuj kanałem, któremu już ufasz, a nie przez samą wiadomość.

Nadawca: nazwa to nie adres

Każdy może wpisać „Przykładowy Bank” w nazwie wyświetlanej. Liczy się adres, który za nią stoi, i domena po znaku @. W większości programów pocztowych szczegóły nadawcy otworzysz, klikając nazwę lub najeżdżając na nią.

• Nazwa znanej Ci osoby i adres z darmowej poczty, którego nie rozpoznajesz, to klasyczne podszywanie się.
• Nazwa firmy z adresem z niezwiązanej domeny to czerwona flaga.
• Adres zgodny z marką, ale z nieudanym uwierzytelnieniem, wymaga przyjrzenia się. Zobacz co znaczą DMARC, SPF i DKIM fail.

Reply-To: dokąd naprawdę trafia odpowiedź

Wiadomość może pokazywać jednego nadawcę, a Twoją odpowiedź po cichu kierować gdzie indziej. Służy do tego nagłówek Reply-To. Gdy naciskasz Odpowiedz, sprawdź, jaki adres pojawia się w polu Do. Jeśli domena różni się od domeny nadawcy, zatrzymaj się. To samo dotyczy ukrytego Return-Path. Oba widać w pełnych nagłówkach.

Linki: przeczytaj, dokąd prowadzą

• Najpierw najedź kursorem. Adres widoczny na dole przeglądarki lub w dymku to prawdziwy cel. Jeśli tekst mówi jedno, a link prowadzi do innej domeny, traktuj to jako phishing.
• Czytaj domenę od prawej do lewej. W login.examplebank.com.secure-check.example liczy się część tuż przed ostatnią kropką: secure-check.example, a nie examplebank.com.
• HTTPS to nie pieczęć zaufania. Oznacza tylko, że połączenie jest szyfrowane. Strony phishingowe też go używają.
• Skrócone linki i kody QR ukrywają cel. Zachowaj ostrożność wobec obu w nieoczekiwanych wiadomościach. Skrócony link sprawdź podglądem albo odpuść.
• W razie wątpliwości otwórz stronę, wpisując jej adres samodzielnie, albo użyj oficjalnej aplikacji.

Pośpiech, strach i zbyt dobre oferty

Phishing działa, bo każe działać, zanim się pomyśli. Typowe wyzwalacze to zablokowane konto, nieopłacona faktura lub mandat, wstrzymana paczka, alert bezpieczeństwa, zwrot pieniędzy lub nagroda. Prawdziwe instytucje rzadko żądają logowania przez link z e-⁠maila w ciągu kilku godzin ani nie proszą wiadomością o hasło, PIN, numer karty czy jednorazowy kod.

Załączniki

• Nie otwieraj załącznika, którego się nie spodziewasz, nawet od znanego nadawcy, którego konto mogło zostać przejęte.
• Szczególnie uważaj na pliki HTML, archiwa (ZIP, RAR, ISO), archiwa chronione hasłem i pliki Office, które każą włączyć makra lub edycję.
• Nawet PDF może zawierać link do fałszywej strony logowania.
• Jeśli musisz taki plik sprawdzić, wgraj całą wiadomość do narzędzia, zamiast otwierać plik.

Domeny-sobowtóry

Atakujący rejestrują adresy, które na pierwszy rzut oka wyglądają dobrze:

Domeny-sobowtóry często przechodzą SPF, DKIM i DMARC, bo naprawdę należą do atakującego. Dlatego samo przejście uwierzytelnienia nie wystarcza.

Kiedy zgłosić sprawę dalej

• Jesteś w pracy. Zgłoś wiadomość działowi IT lub bezpieczeństwa, nawet jeśli nic nie zrobiono. Inni mogli dostać to samo.
• Wiadomość prosi o pieniądze lub zmianę numeru konta. Potwierdź telefonicznie, pod numerem, który już znasz z innego źródła.
• Kliknięto albo coś wpisano. Przejdź od razu do poradnika co robić po kliknięciu linku phishingowego.
• Wiadomość podszywa się pod bank, kuriera lub urząd. Zgłoś ją, żeby można ją było zablokować.

Niech żmudną część zrobi narzędzie

Ręczne czytanie nagłówków i rozwijanie linków zajmuje czas. Przekaż całą wiadomość narzędziu, które ocenia razem uwierzytelnienie, drogę wiadomości, każdy link i załącznik oraz treść. Jak wyciągnąć nagłówki z programu pocztowego, opisują poradniki jak wyświetlić pełne nagłówki e-⁠maila i jak zapisać wiadomość jako .eml.