Uaktualnij swoje dane… a może nie?
W ostatnich miesiącach media nie tylko bezpieczniackie zalewają regularnie informacje o kolejnych spektakularnych podatnościach w oprogramowaniu, protokołach i systemach operacyjnych. Pełne ostrzeżeń i emocji teksty dobrze się klikają, a tymczasem przestępcy mozolnie rzeźbią i wysyłają kolejne kampanie phishingowe. To aktywności może nie tak spektakularne, ale przynoszące ciągłe i całkiem spore zyski.
W anglojęzycznym internecie w ostatnich dniach głośno było o próbie phishingu na markę Netflix. Pod pozorem nieprawidłowych danych, dotyczących płatności przestępcy sugerują ich uaktualnienie. By „ułatwić” sprawę, bezpośrednio w mailu zamieszczają linka, umieszczonego pod przyciskiem „Update your account now”.
Kliknięcie w link przekieruje nas na stronę łudząco przypominającą witrynę usługi, z oknem na wpisanie loginu i hasła. Oczywiście automatycznie trafią one do przestępców, ale to nie koniec – w kolejnym kroku zostaniemy przekierowani na stronę z miejscem do wpisania danych naszej karty. To wszystko? Niekoniecznie. Na sam koniec mamy jeszcze zrobić sobie selfie z widocznym… dokumentem tożsamości. Na końcu jesteśmy przekierowywani na prawdziwy adres Netflixa.
Świadomemu internaucie podczas całego procesu wielokrotnie powinna się zapalić czerwona lampka.
- „Call to action” – informacja o zablokowaniu konta i wymaganie uaktualnienia danych
- Ukryty link w formie przycisku (najechanie nań kursorem pokazuje adres strony z adresem podobnym do witryny usługi
- Brak zielonej kłódki przy adresie strony (w przypadku opisywanego phishingu kłódka akurat była, ale o ile jej brak to sygnał alarmowy, to jej obecność nie musi oznaczać, że wszystko jest dobrze – przestępcy po prostu zadbali o certyfikat HTTPS dla fałszywej strony)
- Okno do wpisania danych karty (jeśli musimy uaktualnić tego typu dane, robimy to wyłącznie wpisując adres strony samemu!)
- Wymaganie wysłania zdjęcia dokumentu tożsamości
- Kilka drobnych, ale widocznych błędów gramatycznych
Co robić? Dwie kluczowe kwestie: sprawdzać adresy stron i stosować zasadę ograniczonego zaufania. Jeśli masz jakiekolwiek wątpliwości – nie klikaj i niczego nie wpisuj. Jeśli chcesz się upewnić, czy z Twoim kontem w usłudze internetowej jest wszystko w porządku – wpisz własnoręcznie adres w przeglądarce i dopiero potem sprawdź.
A co, jeśli wpisałeś/aś swoje dane? Natychmiast zablokuj kartę płatniczą i zgłoś kradzież (bo o tym de facto mówimy) dokumentu tożsamości. I oczywiście zmień login i hasło. Więcej informacji na blogu Naked Security.
Grafika: Sophos
