Słownik phishingu: 34 pojęcia wyjaśnione prostym językiem

Pojęcia z zakresu bezpieczeństwa często objaśnia się kolejnym żargonem. Tutaj każde dostaje od jednego do trzech prostych zdań, a jeśli mamy na dany temat artykuł, także link do szczegółowego omówienia. Każde pojęcie ma własny link, więc możesz udostępnić pojedynczą definicję.

Rodzaje ataków

Phishing

Oszustwo, w którym atakujący podszywa się pod zaufaną firmę, współpracownika lub usługę, aby zdobyć hasło, płatność albo dostęp do komputera. Zwykle przychodzi e-mailem, ale też SMS-em, telefonicznie lub przez kod QR. Więcej: Czym jest phishing.

Spear phishing

Phishing wymierzony w konkretną osobę lub firmę. Atakujący wykorzystuje prawdziwe szczegóły, np. nazwiska, projekty lub dostawców, aby wiadomość była wiarygodna.

Whaling

Spear phishing wymierzony w kadrę kierowniczą, której uprawnienia lub dostęp są dla atakującego szczególnie cenne.

Business email compromise (BEC)

Oszustwo, które wykorzystuje przejętą lub podrobioną skrzynkę firmową, aby poprosić o przelew lub poufne dane. Często nie zawiera linku ani załącznika, tylko przekonującą prośbę. Więcej: Oszustwo „na prezesa” i fałszywe faktury.

Oszustwo „na prezesa”

Rodzaj BEC, w którym oszust podaje się za szefa firmy i prosi pracownika o pilny, poufny przelew.

Oszustwo na fakturę

Fałszywa lub zmieniona faktura albo wiadomość o „nowym rachunku bankowym” dostawcy, wysłana po to, by prawdziwa płatność trafiła na konto oszusta. Obroną jest potwierdzanie nowych danych telefonicznie, pod numerem, który już znasz.

Smishing

Phishing przez SMS lub komunikator, np. „niedostarczona paczka” z linkiem. Więcej: Smishing: jak rozpoznać oszustwo SMS-owe.

Vishing

Phishing przez telefon: dzwoniący podaje się za bank, policję lub pomoc IT i prosi o kod, hasło lub przelew. Więcej: Vishing: jak rozpoznać oszustwa telefoniczne.

Quishing

Phishing przez kod QR, na papierze lub w e-mailu, który prowadzi do fałszywej strony. Kody QR ukrywają adres aż do zeskanowania. Więcej: Oszustwa z kodami QR.

Clone phishing

Kopia prawdziwego e-maila, który ofiara dostała wcześniej, z linkiem lub załącznikiem podmienionym na złośliwy.

Phishing typu adversary-in-the-middle (AiTM)

Fałszywa strona logowania, która na bieżąco przekazuje wszystkie dane do prawdziwej strony, przechwytując zarówno hasło, jak i zalogowaną sesję. Pozwala to atakującemu obejść niektóre formy uwierzytelniania dwuskładnikowego.

MFA fatigue

Wysyłanie raz po raz próśb o zatwierdzenie logowania do osoby, której hasło atakujący już ma, w nadziei, że zatwierdzi jedną, by powiadomienia ustały. Nigdy nie zatwierdzaj logowania, którego nie rozpoczynasz samodzielnie.

Socjotechnika

Manipulowanie ludźmi zamiast systemami: wykorzystywanie zaufania, strachu, pośpiechu lub chęci pomocy, by skłonić kogoś do działania. Phishing to jej najczęstsza forma. Więcej: Socjotechnika: jak oszuści manipulują ludźmi.

Pretexting

Wymyślanie wiarygodnej historii, np. nowego wykonawcy IT albo kuriera z problemem, aby zdobyć informacje lub dostęp.

Wyłudzanie danych logowania (credential harvesting)

Zbieranie nazw użytkowników i haseł przez fałszywe strony logowania. To najczęstszy cel e-maili phishingowych.

Złośliwe oprogramowanie (malware)

Oprogramowanie, które kradnie dane, szpieguje użytkownika lub przejmuje kontrolę nad urządzeniem. Często przychodzi jako załącznik e-maila albo plik pobrany z fałszywej strony.

Ransomware

Złośliwe oprogramowanie, które szyfruje pliki firmy i żąda zapłaty za ich odblokowanie, często grożąc też opublikowaniem skradzionych danych. Więcej: Ransomware: jak chronić firmę.

Bezpieczeństwo poczty i domeny

Spoofing (podszywanie się pod adres e-mail)

Wysyłanie e-maila z podrobionym adresem nadawcy tak, by wyglądał, jakby przyszedł od kogoś innego. Więcej: Spoofing e-mail.

Podszywanie się pod nazwę wyświetlaną

Użycie zaufanego nazwiska, np. Twojego prezesa, jako nazwy nadawcy, podczas gdy faktyczny adres to darmowa skrzynka. Aplikacje pocztowe często pokazują tylko nazwę, więc adres trzeba sprawdzić.

Łudząco podobna domena

Domena zarejestrowana tak, by przypominała prawdziwą, np. twojafirma-faktury.pl albo „rn” zamiast „m”. Takie podszywanie się nazywa się też typosquattingiem. Może przejść każdą kontrolę techniczną, więc zauważy ją tylko uważny czytelnik.

SPF

Sender Policy Framework: rekord DNS z listą serwerów, które mogą wysyłać e-maile w imieniu domeny. Domena może mieć tylko jeden rekord SPF, a ten może wywołać najwyżej 10 dodatkowych zapytań DNS.

DKIM

DomainKeys Identified Mail: podpis cyfrowy dodawany do każdego wychodzącego e-maila i sprawdzany kluczem publicznym w DNS nadawcy. Dowodzi, że e-mail przyszedł z systemu pocztowego domeny i nie został zmieniony.

DMARC

Rekord DNS, który mówi odbiorcom, co robić z e-mailami, które używają Twojej domeny w polu Od, ale nie przechodzą kontroli SPF i DKIM, oraz gdzie wysyłać raporty. Sprawdź swoją domenę w darmowym narzędziu do sprawdzania SPF, DKIM i DMARC.

Polityka DMARC

Wartość p= rekordu DMARC: none tylko monitoruje, quarantine przenosi niezgodne e-maile do spamu, reject je odrzuca. Tylko quarantine i reject naprawdę zatrzymują podrobione e-maile.

Rekord MX

Rekord DNS wskazujący serwery, które odbierają pocztę dla domeny. Domena bez rekordów MX nie odbiera poczty.

Nagłówki e-maila

Zapis techniczny na początku każdego e-maila: serwery, przez które przeszedł, i wyniki kontroli SPF, DKIM i DMARC (wiersz Authentication-Results). W Gmailu znajdziesz je pod „Pokaż oryginał”.

Ochrona i szkolenia

Uwierzytelnianie dwuskładnikowe (2FA)

Logowanie z drugim krokiem, np. kodem z aplikacji lub kluczem bezpieczeństwa, oprócz hasła, aby samo skradzione hasło nie wystarczyło. Nazywane też uwierzytelnianiem wieloskładnikowym (MFA). Więcej: Uwierzytelnianie dwuskładnikowe.

Klucz dostępu (passkey)

Sposób logowania bez hasła, z użyciem klucza kryptograficznego przechowywanego na urządzeniu. Działa tylko na prawdziwej stronie, więc nie da się go użyć na fałszywej.

Menedżer haseł

Aplikacja, która tworzy i przechowuje osobne silne hasło do każdego konta i wpisuje je automatycznie tylko na właściwej stronie. Więcej: Jak stworzyć silne hasło.

Symulacja phishingu

Bezpieczny, realistyczny e-mail phishingowy wysyłany pracownikom, aby ćwiczyli rozpoznawanie oszustw. Kto kliknie, od razu dowiaduje się, co przeoczył. Więcej: Czym jest symulacja phishingu.

Odsetek kliknięć

Odsetek odbiorców, którzy kliknęli link w symulacji phishingu. Ma sens tylko w porównaniu testów o podobnej trudności. Więcej: Test phishingowy dla pracowników.

Szkolenia z zakresu świadomości bezpieczeństwa (security awareness)

Regularne szkolenia, które uczą pracowników rozpoznawać i zgłaszać oszustwa, zwykle krótkie lekcje połączone z symulacjami phishingu. Więcej: Jak szkolić pracowników z rozpoznawania oszustw.

Reagowanie na incydenty

Ustalone kroki po zdarzeniu bezpieczeństwa: kogo powiadomić, kto zmienia hasła, kto kontaktuje się z bankiem. Szybkość jest ważniejsza niż szukanie winnych. Więcej: Co zrobić po kliknięciu w link phishingowy.

Wyciek danych

Incydent, w którym dane osobowe lub firmowe trafiają do kogoś, kto nie powinien ich mieć, np. wyciekłe hasła z przejętej usługi. Więcej: Wyciek danych: co robić.