Ați dat clic: ce faceți acum?

Modulul 3: Recunoașterea phishingului · Timp de citire: 12 minute

Obiectivul lecției: După această lecție veți ști ce trebuie să faceți în primele ore după un clic, o parolă introdusă, date bancare introduse sau un atașament deschis, în ordinea corectă, și cum raportați și redirecționați phishingul.
Noțiuni cheie: limitarea daunelor, schimbarea parolei de pe un dispozitiv curat, revocarea sesiunilor, apelarea băncii, raportarea, redirecționarea phishingului (de exemplu către autoritatea națională de securitate cibernetică și brandul folosit abuziv)

I se întâmplă oricui

Oricine dă clic, la un moment dat, pe linkul greșit. Chiar și persoane care au urmat această cursă, chiar și specialiști IT. Un mesaj de phishing bun apare în momentul nepotrivit, cu povestea potrivită. Rușinea nu ajută, reacția rapidă da. Cu cât interveniți mai repede, cu atât atacatorul poate face mai puțin cu ce a obținut.

De aceea, primul pas în orice companie este: raportați imediat, colegului care se ocupă de IT sau firmei dumneavoastră de IT. Stabiliți ca cel care raportează un clic să primească o mulțumire, nu o mustrare (mai multe despre asta în lecția 9.2). Cine se teme de pedeapsă nu spune nimic, iar atunci atacatorul are la dispoziție zile întregi.

Mai întâi stabiliți: ce s-a întâmplat exact?

Ce trebuie să faceți depinde de cât de departe ați mers. Stabiliți mai întâi acest lucru, pe scurt și sincer.

Doar clicul în sine nu este de obicei grav: browserele moderne sunt bine protejate. Dar un clic poate porni și o descărcare. Dacă aveți dubii, tratați situația ca pe cea mai gravă.

Pas cu pas în primele ore

1. Raportați în cadrul companiei. Imediat, chiar și în caz de dubiu. Spuneți ce ați văzut, când și ce ați introdus sau deschis. Păstrați mesajul: nu îl ștergeți, veți avea nevoie de el pentru raportare.

2. Limitați daunele. Ați deschis un atașament sau ați oferit cuiva acces? Deconectați dispozitivul de la rețea: opriți wifi, scoateți cablul de rețea. Nu îl opriți imediat, deoarece ce se află în memorie poate ajuta la investigație (lecția 8.3). Nu mai lucrați pe acel dispozitiv.

3. Sunați banca dacă e vorba de bani. Dacă ați introdus date bancare sau ați aprobat o plată, sunați imediat banca, la numărul de pe cardul dumneavoastră sau de pe site-ul oficial. Cu cât sunați mai repede, cu atât sunt mai mari șansele ca o plată să poată fi blocată sau recuperată. Și o plată către un IBAN fals, în urma unei fraude cu factură, o raportați imediat băncii.

4. Schimbați parola de pe un dispozitiv curat. Schimbați parola contului în care ați introdus date. Faceți acest lucru pe un alt dispozitiv decât cel pe care ați deschis atașamentul, deoarece acolo un program vă poate urmări acțiunile. Tastați adresa chiar dumneavoastră sau folosiți un marcaj (bookmark), nu linkul din mesaj. Dacă ați folosit aceeași parolă și în altă parte, schimbați-o și acolo (lecția 2.1).

5. Revocați sesiunile și verificați contul. O parolă nouă nu elimină întotdeauna automat un atacator care este deja înăuntru. De aceea, deconectați-vă din toate celelalte sesiuni (lecția 2.5) și verificați ce ar fi putut modifica:

• autentificarea în doi pași: apare o aplicație sau un număr de telefon necunoscut?
• datele de recuperare: a fost schimbată adresa de e-mail sau numărul de telefon de recuperare?
• regulile de redirecționare și filtrele din căsuța de e-mail: un atacator pune adesea o regulă care redirecționează toate e-mailurile, sau doar cele care conțin cuvântul „factură”, către adresa lui sau le șterge imediat. Astfel continuă să citească mesajele, chiar dacă dumneavoastră v-ați schimbat deja parola;
• elementele trimise: au fost trimise e-mailuri pe care nu le-ați scris dumneavoastră? Atunci trebuie să vă avertizați contactele.

6. Raportați și redirecționați. Vedeți mai jos.

7. Verificați dacă este o încălcare a securității datelor. A putut atacatorul să acceseze o căsuță de e-mail, o bază de date cu clienți sau un alt mediu cu date cu caracter personal? Atunci este posibil să existe o încălcare a securității datelor. Conform GDPR, o astfel de încălcare trebuie notificată, fără întârzieri nejustificate și, dacă este posibil, în termen de 72 de ore de la descoperire, către autoritatea de supraveghere a protecției datelor, cu excepția cazului în care este puțin probabil să genereze un risc pentru persoanele vizate. Înregistrați situația, în orice caz, în registrul dumneavoastră de încălcări ale securității datelor. Cum evaluați acest lucru, veți învăța în lecția 8.2.

Raportarea și redirecționarea phishingului

Raportarea are sens, chiar dacă nu s-a întâmplat nimic. Astfel, un site fals poate fi scos mai repede din funcțiune, iar alte persoane sunt avertizate.

Către autoritatea națională de securitate cibernetică. Autoritatea națională de securitate cibernetică (împreună cu poliția) primește e-mailuri false cu linkuri sau atașamente suspecte. Conform recomandărilor generale pentru raportare:

• redirecționați e-mailul, de preferință, ca atașament. La redirecționarea obișnuită, datele tehnice (antetele din lecția 3.3) se pierd. Dacă nu reușiți, de exemplu pe un telefon, redirecționați-l pur și simplu;
• dacă e-mailul pare să provină de la o bancă sau de la o altă companie cunoscută, adăugați adresa companiei respective în cc. De obicei, astfel de companii au o listă publicată cu adresele lor de raportare;
• sms-urile, mesajele WhatsApp și alte mesaje nu le trimiteți pe acea adresă, ci le raportați prin formularul de raportare al autorității naționale de securitate cibernetică sau al poliției. Acel formular îl folosiți și pentru un e-mail suspect fără linkuri sau atașamente, și pentru frauda de tip „helpdesk” prin telefon.

În multe programe de e-mail, redirecționarea ca atașament se numește „Redirecționare ca atașament” sau ceva similar.

Către brandul folosit abuziv. Dacă este folosit abuziv numele unei bănci, al unui transportator sau al unui furnizor, anunțați acea organizație printr-un canal pe care îl căutați chiar dumneavoastră pe site-ul lor real, nu prin intermediul mesajului. Multe organizații au o adresă proprie de raportare pentru phishing. Dacă este vorba despre propriul dumneavoastră furnizor de găzduire sau de e-mail, trimiteți-l și acolo; la WebOké, acest lucru se poate face printr-un tichet, cu e-mailul atașat (Baza de cunoștințe 581).

Depunerea plângerii la poliție. Dacă ați pierdut bani, sau există abuz sau o tentativă de abuz, depuneți plângere. Autoritatea națională de securitate cibernetică oferă recomandări și colectează raportări, dar nu poate efectua ea însăși investigații. Doar poliția poate face acest lucru.

După aceea puteți șterge mesajul și bloca expeditorul.

Verificare după o săptămână

Un atac nu se termină întotdeauna după o zi. Setați o reamintire pentru o săptămână mai târziu:

• Există notificări noi de autentificare sau sesiuni necunoscute?
• Apar plăți necunoscute în extrasele bancare?
• Există reguli noi de redirecționare sau filtre în căsuța de e-mail?
• Se plâng clienți sau furnizori de e-mailuri ciudate trimise în numele dumneavoastră? Atunci căsuța dumneavoastră de e-mail ar putea fi încă folosită abuziv pentru trimiterea de spam (Baza de cunoștințe 25).
• Ce putem învăța din asta? A fost mesajul ușor de recunoscut și ce l-ar fi putut face, data viitoare, să iasă mai repede în evidență?

În practică: cum arată situația

Luni, 9:12. Fatima de la Brutăria Example introduce parola de e-mail pe o pagină de autentificare falsă a „programului de contabilitate”. La 9:15 observă că adresa era boekhoudpakket.inlog-check.example. Ea raportează situația lui Kees, care se ocupă de IT. La 9:20, Kees schimbă, de pe propriul laptop, parola căsuței ei de e-mail și deconectează toate sesiunile. În webmail, găsește o regulă nouă: toate e-mailurile care conțin cuvântul „factură” sunt trimise către o adresă necunoscută și apoi șterse. El elimină regula, activează autentificarea în doi pași și verifică elementele trimise: nimic nu a fost trimis. Fatima trimite e-mailul de phishing ca atașament autorității naționale de securitate cibernetică. Kees notează incidentul în registrul de incidente și verifică dacă atacatorul ar fi putut vedea date cu caracter personal. După o săptămână, el verifică din nou regulile și sesiunile.

Locul unde se află aceste reguli și sesiuni diferă în funcție de mediu. La WebOké, redirecționările unei adrese se află în Contul meu WebOké și în DirectAdmin (Forwarders), iar o regulă poate fi setată și în webmail sau chiar în programul de e-mail. La alți furnizori funcționează similar: căutați după termeni precum redirecționare, forwarders, reguli sau filtre.

Rezumat

• Oricine dă clic, din când în când. Raportați imediat, fără rușine, și stabiliți ca raportarea să fie răsplătită.
• Stabiliți mai întâi ce s-a întâmplat: doar un clic, parolă, cod, date bancare, atașament sau acces de la distanță.
• Ordinea: raportare, limitarea daunelor (deconectare de la rețea), apelarea băncii dacă e vorba de bani, schimbarea parolei de pe un dispozitiv curat, revocarea sesiunilor și verificarea contului (în special regulile de redirecționare), raportare și redirecționare, evaluarea unei posibile încălcări a securității datelor.
• Trimiteți e-mailul fals ca atașament autorității naționale de securitate cibernetică, cu brandul folosit abuziv în cc; sms-urile și mesajele de chat prin formularul de raportare. În caz de pagubă: depuneți plângere la poliție.
• Verificați din nou după o săptămână.

Test

Exercițiu

Exercițiul A3.5: Fișa cu pașii după un clic. Primiți o situație și un set de cartonașe cu pași. Alegeți ce pași sunt necesari și așezați-i în ordinea corectă. Programul verifică și explică de ce un pas trebuie să fie mai devreme sau mai târziu.

Lecturi suplimentare

Pașii din articolele WebOké se aplică mediului WebOké; la alți furnizori funcționează similar.

• Acest e-mail este cu adevărat de la WebOké? Recunoașterea phishingului și utilizarea codului de acțiune
• Cutia poștală a fost compromisă sau se trimite spam de la adresa dumneavoastră: iată cum faceți curățenie
• Manual WebOké 3.6: Vizualizarea și deconectarea sesiunilor active
• Manual DirectAdmin 3.7: Parole sigure și ce faceți în cazul unei parole compromise
• Comisia Europeană, despre directiva NIS2: https://digital-strategy.ec.europa.eu/en/policies/nis2-directive
• ENISA, Agenția Uniunii Europene pentru Securitate Cibernetică: https://www.enisa.europa.eu/
• Autoritatea națională de securitate cibernetică (Țările de Jos), despre phishing: https://www.ncsc.nl/wat-kun-je-zelf-doen/dreiging/phishing