Se svým simulátorem phishingových útoků Sophos Phish Threat odhalila společnost Sophos několik zajímavých statistik, které letos získala od reálných uživatelů tohoto produktu. Simulátor Sophos Phish Threat umožňuje připravit vlastní šablony podvodů, aby organizace mohly vytvářet vlastní phishingové e-maily, ale obsahuje i rozsáhlou sbírku přizpůsobitelných šablon, které jsou pravidelně aktualizovány. Základní myšlenkou je následovat vzhled a chování skutečných podvodů všech typů od Strach vyvolávajících varování před bezprostřední zkázou po nenápadné zprávy sdělující o něco více než Podívejte se prosím na přiložený soubor.

Hledání nejlepšího nejhoršího

Bezpečnostní experti týmu Phish Threat se zaměřili zejména na to, jaké phishingové šablony mají nejlepší, nebo přesněji řečeno nejhorší výsledky. Zda firemní uživatelé e-mailu podlehnou spíše cukru, nebo biči. Výhrůžkám, nebo bezplatným nabídkám. Konkrétním instrukcím, nebo užitečným návrhům. Formulacím s „musíte“, nebo „mohlo by se vám líbit“.

Odpovědi pokrývají širokou škálu témat kolem phishingu, ale jedno mají společné: žádné z nich nespadá do kategorie hrozeb. Většina z testovacích podvodných emailů, na které uživatelé reagovali, se zabývala běžnými, nijak dramatickými problémy, přičemž to byla zjevně zajímavá či důležitá témata. Nic na seznamu deseti nejčastějších nebylo skutečně naléhavé nebo děsivé a všechny zprávy zněly dostatečně pravděpodobně a nekomplikovaně, aby stálo za to je rychle vyřešit.

Desítka nejlepších, resp. nejhorších

1. Etický kodex. Domnělá zpráva z HR oddělení představující nový etický kodex společnosti. S globálním zájmem o zvýšení diverzity na pracovištích a omezení obtěžování řada společností reviduje své interní pokyny pro zaměstnance. Většina zaměstnanců ví, že by si měli nové pokyny přečíst a že je HR tým povinen je uhánět, dokud to neudělají. Takže kliknutí na tento e-mail vypadá jako úkol, který byste měli vyřídit.
2. Zpožděné dodání ročního vyúčtování daní. Simulované upozornění zaměstnancům, že jejich podklady k daňovému přiznání nedorazí v očekávaném termínu. Ať už se příslušné formuláře ve vaší zemi nazývají jakkoli, jde o „nezbytné zlo“, o kterém zaměstnanci vědí, že jej potřebují vyřídit, takže možná budou chtít také zjistit, jak dlouhé to zpoždění bude.
3. Plánovaná údržba serveru. Pro bezpečnostní experty Sophosu bylo překvapením, že se tato zpráva dostala na 3. příčku v tomto hodnocení, protože spíše cynicky předpokládali, že většina lidí tento druh zpráv z IT spíše ignoruje. Už jen proto, že s tímto typem sdělení stejně nemohou nic dělat. Po další úvaze lze však dojít k závěru, že v dnešní době, kdy množství lidí pracuje z domova, se budou zajímat o to, kdy pravděpodobně dojde k odstávce, aby si podle toho mohli naplánovat svoje aktivity.
4. Byl vám přidělen úkol. V případě této zprávy umožňuje nástroj Phish Threat výběr systému na plánování projektů, který daná společnost používá (např. JIRA, Asana aj.), takže e-mail nevypadá jako zjevně falešný. Přestože jde o částečně cílený phishing, organizace by měly předpokládat, že jimi používané podnikové nástroje jsou všeobecně známé a podvodníci si je mohou snadno zjistit, možná dokonce i automaticky.
5. Test nového e-mailového systému. Kdo ze zaměstnanců by nechtěl být nápomocen, když stačí jediné kliknutí?
6. Aktualizace pravidel čerpání dovolených. Kvůli omezením a karanténě v souvislosti s koronavirem se ukazuje, že hlášení a čerpání dovoleným může být v praxi problematické. Mnoho společností kvůli tomu odpovídajícím způsobem upravilo svá pravidla pro čerpání dovolené – a kdo by chtěl riskovat, že přijde o volno?
7. Zapnutá světla u auta. V této zprávě chce být správce budovy evidentně mile nápomocný, když hlásí, že si někdo nechal na parkovišti rozsvícená světla. Ve skutečnosti by ale zaměstnanci měli zpozornět a pojmout podezření, proč správce posílá fotografii, namísto toho, aby jen napsal registrační značku auta.
8. Nedoručená zásilka kurýrní službou. Toto je osvědčený trik, který podvodníci používají už léta. Kvůli nárůstu dodávek do domu vlivem koronaviru je dnes obzvláště důvěryhodný. Ve skutečnosti můžete právě teď očekávat nějakou zásilku – a pokud je to dodavatel, kdo rozhoduje, jakou kurýrní společnost využije, tak ani možná nevíte, kdo vám ji doručí.
9. Zabezpečený dokument. Údajně se jedná o „zabezpečený dokument“ od HR týmu, což je pravděpodobně důvodem, proč se jej neobvyklým způsobem pokusíte zobrazit. Tento trik phishingoví podvodníci často používají jako důvod přesvědčit vás, abyste zadali heslo tam, kde obvykle nemusíte, nebo upravili nastavení zabezpečení ve vašem počítači – zdánlivě kvůli posílení zabezpečení, ale ve skutečnosti k jeho snížení.
10. Zpráva ze sociálních sítí. V daném případě šlo o simulované oznámení ze sítě LinkedIn sdělující příjemci, že „Máte nepřečtené zprávy od Josefa“. Zdá se, že si LinkedIn právě zažívá nárůst popularity, což není překvapivé vzhledem k tomu, kolik lidí přišlo kvůli koronavirové pandemii o práci nebo jim byla zkrácena pracovní doba. Je lákavé kliknout ze strachu, abyste něco nepromeškali, a podvodníci toho rádi využijí.

 Jak nenaletět na podvodný email

• Přemýšlejte, než kliknete. I když zpráva vypadá na první pohled nevinně, existují známky podvodu, které jsou očividné, pokud si dáte na čas s kontrolou. Mezi příklady patří pravopisné chyby, o kterých pochybujete, že by je odesílatel udělal, terminologie, která neodpovídá vašemu prostředí, softwarové nástroje, které vaše společnost nepoužívá a chování, jako je třeba změna nastavení zabezpečení, u kterého jste byli výslovně upozorněni, abyste jej neměnili.
• Pokud si nejste jistí, ověřte si zprávu u odesílatele. Ale nikdy si pravost zprávy neověřujte odpovědí na podezřelý e-mail – vždy dostanete odpověď „Ano“, protože legitimní odesílatel by řekl pravdu, ale podvodník by lhal. Použijte podnikový adresář přístupný důvěryhodnými prostředky k nalezení způsobu, jak se spojit s kolegou, o kterém si myslíte, že se za něj někdo vydává.
• Pečlivě si prohlédněte odkazy, než na ně kliknete. Mnoho phishingových e-mailů obsahuje bezchybný text a obrázky. Ale podvodníci často musí při hostování svých phishingových stránek spoléhat na dočasné cloudové servery nebo hacknuté webové stránky a léčka se často projeví v názvu domény, kterou chtějí, abyste navštívili. Nenechte se oklamat, když je název serveru „hodně podobný“ – podvodníci si často registrují téměř stejná doménová jména, jako třeba vasefirna, vasesp0lecnost (s nulou místo písmena O) nebo vasefirma-web, s použitím překlepů, podobně vypadajících znaků nebo doplněného textu.
• Nahlaste podezřelé e-maily vašemu bezpečnostnímu týmu. Zvykněte si to dělat pokaždé, i když to vypadá jako nevděčný úkol. Phishingoví podvodníci neposílají své e-maily pouze jedné osobě, takže pokud jste první, kdo ve vaší společnosti zaznamená nový podvod, včasné varování umožní vašemu IT oddělení upozornit všechny ostatní, kteří zprávu také mohli obdržet.

Mimochodem, pokud patříte do bezpečnostního týmu a nemáte pro své zaměstnance rychlý a snadný způsob, jak hlásit potenciální problémy v oblasti kybernetické bezpečnosti, jako jsou podezřelé telefonní hovory nebo rizikové e-maily, zvažte vytvoření snadno zapamatovatelné interní e-mailové adresy, kterou si zvyknete sledovat. Proměnit všechny vaše pracovníky na oči a uši bezpečnostního týmu nevyžaduje příliš povzbuzování. Koneckonců, pokud jde o kybernetickou bezpečnost, napadení jednoho z vás je napadením všech.

Poučme se z historie

Historie nás poučila, že e-mailové podvody mohou fungovat překvapivě dobře i bez jakéhokoli textu v těle zprávy. Jedním z nejrozšířenějších e-mailových virů všech dob byl HAPPY99, známý také jako Ska, který se objevil před více než 20 lety na začátku roku 1999. E-mail obsahoval pouze přílohu – neměl žádný předmět ani zprávu, takže jediným viditelným textem e-mailu byl název přílohy HAPPY99.EXE. Pokud jste ji otevřeli, objevil se novoroční ohňostroj, ale tato animace jen zakryla virus infikující váš počítač, který se poté rozšířil všem, komu jste následně poslali e-mail. Je ironické, že absence vysvětlujícího textu znamenala, že e-mail byl mnohem méně podezřelý, než kdyby předmět zprávy obsahoval slova v jazyce, který by příjemce nečekal. Samotný název souboru HAPPY99 byl dobře načasovaný a globálně srozumitelný, takže téměř jistě přiměl miliony lidí, aby na něj klikli, než kdyby obsahoval jakýkoli druh marketingového sdělení.

Autor: Paul Ducklin, bezpečnostní expert společnosti Sophos