Phishingové útoky sú čoraz sofistikovanejšie a cielenejšie. Preto je pre používateľov internetu dôležitejšie ako kedykoľvek predtým vedieť, ako identifikovať škodlivé odkazy. Útočníci naďalej zneužívajú ľudské chyby a šikovne maskujú phishingové odkazy, aby oklamali ľudí. Používatelia, ktorí kliknú, často odhaľujú citlivé informácie, ako sú prihlasovacie údaje alebo osobné údaje, a dokonca aj finančné údaje.
Poďme sa pozrieť na tipy odborníkov, ako identifikovať phishingové odkazy a chrániť sa pred tým, aby ste sa stali obeťou týchto útokov.
Phishing je jednou z najbežnejších a najúčinnejších metód kybernetických útokov, pretože zneužíva ľudskú dôveru. Kyberzločinci upravujú e-maily, textové správy alebo príspevky na sociálnych sieťach tak, aby vyzerali ako legitímna komunikácia od dôveryhodných organizácií. Tieto správy zvyčajne obsahujú škodlivé odkazy, ktoré po kliknutí presmerujú používateľov na falošné webové stránky, spúšťajú sťahovanie škodlivého softvéru alebo zneužívanie malvéru. Ďalším bežným útokom, s ktorým sa stretávame oveľa častejšie, sú hackeri, ktorí ukradnú tokeny po overení z vášho prehliadača , ktoré im umožnili prihlásiť sa do vášho e-mailového účtu alebo, čo je ešte horšie, do vášho bankového účtu!
Správa spoločnosti Verizon o vyšetrovaní únikov údajov z roku 2023 skúmala kybernetické útoky za posledných 20 rokov a dospela k záveru, že jedinou konštantou počas všetkých 20 rokov bolo, že phishingové útoky zostávajú hlavnou príčinou únikov údajov. Phishingové útoky používajú na oklamanie viacero techník, ako napríklad falšovanie domén ( type-squatting ), skracovanie URL adries, odkazy na odhlásenie a dokonca aj poskytovanie bezpečnostných log na vytvorenie falošného pocitu bezpečia alebo legitimity.
Jedným z najjednoduchších spôsobov, ako overiť platnosť odkazu, je umiestniť naň kurzor myši (na stolnom počítači alebo notebooku). Keď to urobíte, skutočná URL adresa sa zobrazí v malom poli v ľavom dolnom rohu obrazovky. Ak odkaz nezodpovedá doméne, z ktorej údajne pochádza – napríklad e-mail, ktorý údajne pochádza z PayPalu, ale odkazuje na „paypa1.com“ – je to varovný signál. Na mobilných zariadeniach môžete často pred otvorením odkazu dlho stlačiť (stlačiť a podržať) a zobraziť si URL adresu. Pred kliknutím vždy dvakrát skontrolujte, či URL adresa vyzerá správne. Ak máte pochybnosti, vygooglite si dodávateľa, aby overil správnu doménu.
Bežnou phishingovou taktikou je používanie pravopisných chýb alebo nenápadných zmien v URL adrese, aby vyzerala legitímne. Napríklad phishingový odkaz môže používať „micros0ft.com“ namiesto „microsoft.com“ alebo nahradiť písmená číslami a symbolmi, ktoré vyzerajú podobne. Tieto drobné zmeny si môžete ľahko nevšimnúť, najmä ak sa ponáhľate. Okrem podobných písmen v názve domény si všímajte aj pridanie jediného „S“ na koniec domény. Pre istotu znova skontrolujte presnosť URL adresy spustením vyhľadávania Google alebo umelej inteligencie pre správnu doménu dodávateľa.
Väčšina legitímnych webových stránok používa na šifrovanie údajov medzi prehliadačom a webovou stránkou protokol HTTPS (Hypertext Transfer Protocol Secure), ktorý je označený ikonou zámku v paneli s adresou prehliadača. Kyberzločinci si to však uvedomili a niektoré phishingové webové stránky teraz používajú HTTPS, aby sa prezentovali ako bezpečné. Aj keď je HTTPS dobrým znamením, nie je úplne spoľahlivý. Vždy zvážte ďalšie faktory, ako je zdroj e-mailu, URL adresa a kontext správy.
Skracovače URL adries, ako napríklad bit.ly alebo tiny.url, sa bežne používajú v príspevkoch na sociálnych sieťach alebo e-mailoch na skrátenie dlhých URL adries. Hoci sú užitočné na legitímne účely, zároveň skrývajú skutočný cieľ odkazu. Preto ich phisheri často používajú na skrytie škodlivých URL adries. Ak dostanete skrátenú URL adresu, najmä v nevyžiadaných správach, je najlepšie sa na ňu vyhnúť kliknutiu. Na zobrazenie celého odkazu pred rozhodnutím, či stránku navštívite, môžete použiť expandéry URL adries, ako napríklad CheckShortURL.com .
Ďalšou technikou, ktorú používajú phisheri, je vytváranie adries URL s legitímnymi názvami spoločností vloženými do subdomén. Napríklad phishingový odkaz môže vyzerať ako „login.microsoft.com.attacker.com“, aby vás oklamal a presvedčil, že ide o webovú stránku spoločnosti Microsoft. Vždy venujte zvýšenú pozornosť skutočnému názvu domény (v tomto prípade „attacker.com“) a dávajte si pozor na akékoľvek neočakávané subdomény. Legitímne organizácie zriedka používajú zložité subdomény pre prihlasovacie stránky alebo oficiálnu komunikáciu. Ak uvidíte nezvyčajne dlhú adresu URL s nadbytočnými znakmi, pravdepodobne ide o pokus o phishing.
Správy, ktoré vytvárajú pocit naliehavosti – ako napríklad hrozby zrušenia vášho účtu alebo upozornenie, že vaše informácie boli ohrozené – sú navrhnuté tak, aby ste konali bez rozmýšľania. Podobne aj emocionálne výzvy, ktoré zasiahnu vaše srdce, môžu byť zákerným spôsobom, ako vás prinútiť reagovať a kliknúť bez rozmýšľania. Dokonca aj tlačidlo „Páči sa mi to“ v e-maile môže obsahovať škodlivé správanie skryté v kóde pod ním. To isté platí pre odkazy na odhlásenie. Nikdy nereagujte rýchlo na žiadny e-mail. Pred kliknutím na akékoľvek odkazy v takýchto správach si vždy overte legitimitu odosielateľa.
Ak dostanete neočakávaný e-mail s prílohou alebo odkazom, a to aj od známeho kontaktu, pred kliknutím si to overte u odosielateľa. Ich e-mail mohol byť napadnutý a vy by ste sa mohli ocitnúť v obľúbenom vektore útoku hackerov – útokoch typu Business Email Compromise (BEC) . Pri overovaní informácií u odosielateľa mu neposielajte e-mail, nevolajte mu ani mu nepíšte SMS. Robte čokoľvek, aby ste ho kontaktovali, okrem odoslania e-mailu, pretože hacker môže mať kontrolu nad jeho e-mailovou schránkou.
Phishingové e-maily často používajú vágne pozdravy ako „Vážený zákazník“ namiesto oslovenia menom. Toto je varovný signál, že odosielateľ pravdepodobne nemá prístup k vašim osobným údajom.
Pamätajte, že obľúbeným vektorom útoku hackerov sú phishingové e-maily. Stálo ich tak málo, aby poslali úžasne zložité a presvedčivé e-maily miliónom ľudí. Dúfajú a modlia sa, aby ste na ich útoky reagovali rýchlo a bez rozmýšľania. Buďte múdri, podozrievaví a vždy si pred kliknutím na čokoľvek skontrolujte odkazy a odosielateľov e-mailov. Čo ak ste však náhodou klikli? Keďže sa to stáva, tu je to, čo by ste mali urobiť, ak sa ocitnete v tejto klikacej alebo lepkavej situácii.
Ak omylom kliknete na phishingový odkaz, konajte rýchlo, aby ste minimalizovali potenciálne škody:
Ak sa stiahne malvér, odpojenie od internetu môže zabrániť jeho komunikácii so vzdialeným serverom. To zabráni infikovanému počítaču vo vykonávaní pokynov od hackera, ako je šifrovanie súborov, odosielanie súborov hackerovi alebo sťahovanie malvéru. Vypnutím počítača sa zabráni spusteniu ďalších šifrovacích rutín. To umožní IT oddeleniu spustiť systém do núdzového režimu alebo vypnúť bootovací disk, aby ho skontrolovalo a prípadne zabránilo ďalšiemu poškodeniu a odstránilo infekciu.
Budú mať nástroje a monitorovacie nástroje na preskúmanie toho, čo sa stalo po vašom kliknutí. Môžu vám tiež pomôcť skontrolovať váš počítač na prítomnosť škodlivého softvéru, odhlásiť všetky strany z vášho e-mailového účtu a resetovať vaše autentifikačné údaje a mnoho ďalšieho. Sú tu práve pre túto situáciu!
Na skenovanie zariadenia a vyhľadanie podozrivej aktivity alebo stiahnutých súborov použite antivírusový a antimalvérový softvér.
Ak ste zadali prihlasovacie údaje, okamžite zmeňte heslá pre napadnutý účet a všetky ostatné účty, ktoré používajú rovnaké prihlasovacie údaje.
Vždy, keď je to možné, povoľte 2FA, aby ste svojim účtom pridali ďalšiu vrstvu zabezpečenia a sťažili tak útočníkom prístup.
Prístupové kľúče sú jedinečné kryptografické kľúče, ktoré slúžia na odomknutie vášho účtu iba na jednej webovej stránke. Vďaka tomu sú ešte lepšie ako tradičné zložité heslá a viacfaktorové overovanie, ktoré je možné ukradnúť alebo obísť. Vďaka tomu sú prístupové kľúče silným nástrojom na obranu pred útokmi hackerov.
Teraz, keď už viete, ako odhaliť a vyhnúť sa phishingovým útokom, musíte si tieto zručnosti precvičiť pomocou phishingových simulácií. Cvičenie sa musí rozšíriť na každého pracovníka s informáciami vo vašej organizácii. Rovnako ako pri fyzickej zdatnosti, aj vy a vaši zamestnanci musíte tieto tipy neustále precvičovať, aby ste si vybudovali svalovú pamäť. Ak prestanete cvičiť, stratíte kondíciu. Ak prestanete precvičovať phishingové simulácie, zareagujete a urobíte vážnu chybu, alebo ju urobí jeden z vašich zamestnancov. Zaregistrujte sa na pozitívnu, vzdelávaciu phishingovú simuláciu, ktorá učí a odmeňuje dobré správanie, ako je starostlivé prezeranie e-mailov a nereagovanie na ne. Vyhnite sa phishingovým testom, ktoré trestajú zlé správanie, ako je klikanie na falošné odkazy, ale chýba im riadne vzdelávanie koncových používateľov o tom, čo si majú prezerať.
CyberHoot poskytuje presne to riešenie, ktoré potrebujete na budovanie kybernetickej gramotnosti vašich zamestnancov. Štvrťročne a rok čo rok ich vzdelávame, testujeme a odmeňujeme za dobré správanie v oblasti inšpekcií.
Phishingové útoky sa neustále vyvíjajú a kyberzločinci sa zlepšujú v maskovaní škodlivých odkazov tak, aby vyzerali legitímne. Dodržiavaním rád a tipov od odborníkov uvedených v tomto článku však môžete znížiť svoje šance stať sa obeťou phishingového podvodu. Buďte uvedomelejší, aby ste sa viac chránili.
Ešte nie ste pripravení sa zaregistrovať, ale chcete sa dozvedieť viac? Zúčastnite sa nášho mesačného webinára, kde si pozrite ukážku CyberHoot, položte otázky a dozviete sa, čo je nové.
Objavte a zdieľajte najnovšie trendy, tipy a osvedčené postupy v oblasti kybernetickej bezpečnosti – spolu s novými hrozbami, na ktoré si treba dať pozor.
Autor: Katie Boquetti | Editorial: Craig Taylor Editorial od Craiga Taylora: Už nejaký čas to tu vieme...
Čítaj viac
Autor: Katie Boquetti | Editoriál: Craig Taylor Editoriál od Craiga Taylora: CAPTCHA by mala overiť, či...
Čítaj viac
Autor: Katie Boquetti | Editorial: Craig Taylor Editorial od Craiga Taylora: Som požehnaná, že som mohla...
Čítaj viacZískajte bystrejší pohľad na ľudské riziká s pozitívnym prístupom, ktorý prekonáva tradičné phishingové testovanie.
