Phishing: Měli bychom se ho bát?

Phishing se nejčastěji šíří prostřednictvím podvodných zpráv nebo hovorů. Útočníci se vydávají za důvěryhodné organizace, které se snaží napodobovat, s cílem získat citlivá data oběti. Jde například o bankovní instituce, přepravní společnosti nebo obchodní partnery firmy. Typicky žádají o ověření, provedení aktualizace či určité akce nebo poskytnutí informací. Snaží se v uživateli vyvolat dojem, že se jedná o něco, co chce nebo potřebuje – například speciální slevová akce po přihlášení, výhra v loterii s žádostí o doplnění soukromých informací k zaslání výhry nebo přehled právě uskutečněného finančního převodu v příloze.

Report globální firmy Verizon z roku 2019 uvádí, že téměř 1/3 všech zaznamenaných bezpečnostních porušení zahrnovala phishing, který je čím dál kvalitnější, přesně cílený a díky automatizovaným nástrojům a šablonám vysoce dostupný.

Tři běžné cíle útoků, které můžeme sledovat:

• Krádež dat pro další zneužití – například přihlášení se do internetového bankovnictví na podvržené stránce, vypadající identicky s originálním bankovnictvím banky obě
• Malware šifrující data – ukrytý v přílohách nebo na falešných webech, kam zprávy odkazují.
• Podvody snažící se vylákat z oběti peníze – například právní zástupce ztraceného příbuzného v zahraničí slibující vyřízení miliónového dědictví za malý poplatek splatný předem.

Proč je phishing tak účinný?

Jedním ze základních kamenů, na kterých dnes moderní phishing stojí, je využívání metod tzv. sociálního inženýringu. Jde o podvody, přesvědčování, manipuace a lži, kterými útočníci ovlivňují rozhodování uživatelů.

Pravděpodobnost úspěšného útoku nezávisle na technické gramotnosti oběti roste s časem, který oběť stráví na internetu a jejím časovém vytížení. Právě proto můžeme často sledovat, že se útočníkům podaří zasáhnout klíčovou osobu v organizaci. Phishingové útoky kombinují jak stránku psychologickou a sociální, tak i technickou a pro úspěšný boj je potřeba řešit obě roviny. Navíc na rozdíl od obránců, kteří musí bránit všechny zaměstnance, útočníkovi stačí odpověď nebo akce od jedné klíčové osoby.

Vývoj phishingu v čase

Velká část uživatelů internetu si na obyčejné phishingové útoky, které byly v cizím jazyce, špatně přeložené či byly pro příjemce obsahově irelevantní, už zvykla a je schopna je rozpoznat. Spolu s proměnou kyberprostoru včetně nároků jeho uživatelů sledujeme nárůst používání vlastních a mobilních zařízení pro práci, sdílenou online komunikaci napříč lokalitami (případně celým světem) nebo až nadměrné sdílení citlivých a osobních informací na internetu. To vše přináší pro uživatele nová nebezpečí a pro útočníky vítané příležitosti.

Útočníci evolučně přechází k využití kontextového spear phishingu, který v kombinaci se zranitelnostmi nultého dne cílí konkrétně na vybrané oběti. Práci útočníkům usnadňuje ohromné množství volně a snadno dostupných dat o uživatelích, které vedou k vytváření digitální stopy každého uživatele internetu. Dle výzkumů, tento typ útoků dosahuje 2x – 4x větší úspěšnosti.

Útočníci využívají originální grafické prvky, úplné informace o společnosti nebo osobní údaje odesílatele. Zprávy znějí autoritativně nebo se snaží vzbudit v oběti pocit naléhavosti či soucitu. Stále běžné je vydávání se za velké a oblíbené společnosti s jedinečnou nabídkou, výhrou, kontrolou zabezpečení či objednávky.

Mimo to útočníci také těží z faktu, že lidé jsou přehlceni elektronickou komunikací ve formě e-mailů a instantních zpráv. Jsou pak náchylnější na automatickou odpověď relevantně vyhlížející zprávě nebo otevření odkazu v ní. Phishingové útoky jsou také čím dál více individualizované a cílené na konkrétní organizaci nebo uživatele. Dalším trendem, který se nevyhnul ani phishingu, je automatizace a využití strojového učení nebo umělé inteligence.

Útočníci se neomezují pouze na e-mailovou komunikaci, ale útočí také prostřednictvím telefonních hovorů, SMS, chatovacích nástrojů instantních zpráv, stránek na sociálních sítí, herních fórech nebo prostřednictvím bannerových reklam na webových stránkách. Vytváří také falešné phishingové weby, které navíc využívají i validní SSL (Secure Sockets Layer) zabezpečení. Ve srovnání s e-maily jsou škodlivější, protože mnoho phishingových e-mailů je ještě před doručením uživatele odfiltrováno, což zatím u webových stránek v takové míře neplatí.

Trendem, na který se útočníci začínají zaměřovat je internet věcí (IoT). Čím větší bude provázanost jednotlivých zařízení, tím snazší bude pro útočníky způsobit větší škody. IoT zařízení bohužel zatím nevěnují bezpečnosti ani standardizaci dostatečný důraz, a proto jsou pro útočníky snadnými cíli. Sledujeme tak případy, kdy chytrá lednička, televize či výrobní linka slouží k distribuci různých kybernetických útoků, phishingu nevyjímaje.

Ing. Jonáš Jandák, ICT Security Specialista

Pracuje v O2 druhým rokem a zaměřuje se na rozvoj bezpečnostních služeb. Předtím působil v prostředí automotive, kde řešil podnikové IT včetně zabezpečení v souladu se standardy a legislativou. Vystudoval fakultu Informatiky a statistiky VŠE se zaměřením na Security management v rámci informačních systémů a technologií. Při řešení problémů nezapomíná na své počátky, které provázela záliba ve zkoumání a „hraní“ si se vším, co se pojí k moderním technologiím, což přináší někdy nečekané ale funkční a inovativní pohledy s cílem co nejlépe pomoct zákazníkovi.