Modulul 3 · 3.4
Phishing prin sms, chat, telefon și cod QR
Modulul 3: Recunoașterea phishingului · Timp de citire: 12 minute
Obiectivul lecției: După această lecție veți putea recunoaște phishingul în afara e-mailului: prin sms și aplicații de chat, la telefon (inclusiv cu o voce clonată), prin coduri QR și printr-un val de notificări de autentificare, și veți ști cum verificați fiecare canal.
Noțiuni cheie: smishing, frauda „prietenul la ananghie”, vishing, falsificarea numărului (spoofing), help desk fals, clonare vocală, quishing, bombardament MFA
De ce funcționează atât de bine celelalte canale
Tot ce ați învățat în lecția 3.1 este valabil și aici: urgență, autoritate, frică, curiozitate și recompensă. Dar în afara e-mailului, tertipurile funcționează adesea și mai bine:
- La telefon citiți repede. Ecranul este mic, adresele sunt trunchiate, iar de multe ori sunteți ocupat cu altceva.
- Există mai puțină tehnologie care vă ajută. Un server de e-mail verifică SPF, DKIM și DMARC și are un filtru de spam. Pentru sms, chat și telefon, acest lucru lipsește în mare parte.
- Pare mai personal. Un mesaj într-o aplicație de chat sau o voce la telefon inspiră mai multă încredere decât un e-mail.
- Este în direct. Un apelant poate insista, poate crește presiunea și vă poate ghida pas cu pas.
Reflexul rămâne același: opriți-vă, verificați pe propria dumneavoastră cale, întrebați. Ceea ce diferă de la un canal la altul este cum arată acea verificare.
Sms și chat: smishing și frauda „prietenul la ananghie”
Smishing-ul este phishing prin sms. Infractorii se dau drept o organizație de la care v-ați putea aștepta la un sms: o firmă de curierat, banca, un serviciu public, furnizorul de energie. Potrivit NCSC-ului olandez, același lucru se întâmplă prin aplicații de chat precum WhatsApp și Telegram.
Un exemplu tipic:
Serviciu de curierat: coletul dumneavoastră nu a putut fi livrat din cauza unei adrese incomplete. Programați o nouă livrare:
https://koeriersdienst.track-nl.example/z8K
Citiți linkul așa cum ați învățat în lecția 3.2: domeniul înregistrabil este track-nl.example și deci nu koeriersdienst.example al firmei de curierat. Pe un telefon acest lucru este și mai dificil, pentru că vedeți doar începutul. Țineți apăsat pe un link pentru a vedea adresa completă, sau nu îl deschideți și mergeți direct în aplicația sau pe site-ul firmei de curierat.
Numărul expeditorului sau numele afișat nu dovedesc nimic. Expeditorii de sms și numerele de telefon pot fi falsificate (spoofing). Din această cauză, un mesaj fals poate apărea în același fir de conversație alături de mesaje reale de la acel expeditor. Așadar, nici un nume cunoscut deasupra unui mesaj nu reprezintă o dovadă.
Frauda „prietenul la ananghie” se desfășoară prin aplicații de chat:
Bună, acesta este noul meu număr, telefonul mi s-a stricat. Puteți să plătiți dumneavoastră ceva pentru mine? Vă dau banii înapoi mâine. Trebuie făcut chiar astăzi.
Într-o companie, același tertip apare sub forma unui mesaj de la „directorul” sau „un coleg” cu un număr nou, care dorește rapid o plată sau carduri cadou. Verificați: sunați sau trimiteți mesaj persoanei pe numărul vechi, cunoscut, sau puneți o întrebare la care doar persoana reală poate răspunde.
Telefonul: vishing, help desk fals și voci clonate
Vishing-ul (voice phishing) este phishing prin telefon. Trei forme apar frecvent.
Angajatul de la bancă. Cineva sună în numele băncii sau al „departamentului antifraudă”: există plăți suspecte, banii dumneavoastră trebuie puși „în siguranță”, sau trebuie să transmiteți un cod sau să aprobați o plată în aplicația bancară. Pe ecran apare uneori chiar numărul real al băncii. Și acesta poate fi falsificat. O bancă reală nu cere niciodată codurile dumneavoastră de autentificare și nu vă cere să transferați bani într-un „cont sigur”.
Help desk-ul fals. Cineva sună în numele unui furnizor de software, al furnizorului de internet sau al firmei dumneavoastră de IT: computerul este infectat, există o problemă cu contul. Vi se cere să instalați un program pentru a putea fi observat de la distanță. Astfel vă preia computerul. NCSC-ul olandez o spune simplu: nu oferiți niciodată cuiva acces la distanță la aparatele dumneavoastră, fără motiv întemeiat.
Vocea clonată. Cu ajutorul inteligenței artificiale, o voce poate fi imitată pe baza unor înregistrări audio, de exemplu dintr-un videoclip sau un mesaj vocal. O voce clonată a directorului dumneavoastră sau a unui membru al familiei poate apoi suna cu o cerere urgentă. Nu mai puteți avea încredere oarbă în ce aud urechile dumneavoastră.
Ce funcționează în toate cele trei cazuri:
- Închideți telefonul de îndată ce apare presiune sau vi se cer coduri, bani sau acces. Nu este nepoliticos.
- Sunați dumneavoastră înapoi la un număr pe care îl căutați singur sau pe care îl aveați deja: spatele cardului bancar, site-ul oficial, propria listă de contacte. Nu numărul menționat de apelant.
- Stabiliți o întrebare de control sau un cuvânt cod cu persoanele care vă pot cere bani, precum conducerea și contabilitatea. Stabiliți de asemenea că plățile nu se fac niciodată doar pe baza unui apel telefonic (lecția 1.2).
Codurile QR: quishing
Un cod QR este pur și simplu un link pe care nu îl puteți citi. Quishing-ul este phishing cu ajutorul unui cod QR. Două forme:
- Pe stradă sau într-un spațiu. Un autocolant cu un cod QR propriu lipit peste cel real, pe un automat de parcare, un stâlp de încărcare, un meniu sau un afiș. Credeți că plătiți prin aplicația de parcare, dar introduceți datele cardului pe un site fals.
- Într-un e-mail sau pdf. „Scanați acest cod pentru a vă confirma căsuța de e-mail.” Un cod QR într-o imagine nu poate fi verificat de dumneavoastră cu mouse-ul. Iar îl scanați cu telefonul, unde citiți adresele mai greu.
NCSC-ul olandez recomandă printre altele:
- Nu scanați un cod QR fără text sau imagine explicativă și fiți precaut cu codurile din locuri publice.
- Verificați dacă acel cod este tipărit cu adevărat pe afiș sau pe panou, sau dacă este un autocolant lipit deasupra.
- Folosiți un scaner care arată mai întâi către ce adresă sau domeniu mergeți. În versiunile mai noi de Android și iOS, camera face acest lucru în mod implicit.
- Dacă nu recunoașteți adresa, nu continuați. Nu introduceți nicio parolă sau date de plată dacă nu sunteți sigur că site-ul este autentic.
La exemplul adresei afișate de cameră, urmăriți domeniul înregistrabil, exact ca în lecția 3.2. La un automat de parcare puteți folosi și aplicația oficială de parcare sau adresa de pe panou.
Bombardamentul MFA: când telefonul continuă să sune
Multe servicii trimit la autentificare o notificare către telefonul dumneavoastră: „Încercați să vă autentificați? Aprobați sau refuzați.” Dacă un atacator are deja parola dumneavoastră, acesta încearcă să se autentifice iar și iar. Telefonul primește o notificare după alta, uneori în miezul nopții. Acest lucru se numește bombardament MFA (sau oboseală MFA). Atacatorul speră că, din enervare sau din greșeală, veți apăsa pe Aprobare. Uneori mai și sună sau trimite mesaj, dându-se drept „help desk”: „Vă restaurăm contul, apăsați pe aprobare.”
Ce faceți:
- Nu aprobați niciodată o notificare pe care nu ați inițiat-o chiar dumneavoastră. Nici dacă vă cere cineva acest lucru.
- Priviți-o ca pe o alarmă. O notificare de autentificare neașteptată înseamnă că cineva are parola dumneavoastră. Schimbați imediat parola acelui cont, prin intermediul site-ului sau al aplicației respective.
- Verificați sesiunile active și deconectați sesiunile necunoscute (lecția 2.5).
- Alegeți o formă mai puternică de autentificare în doi pași (2FA), dacă este disponibilă. La potrivirea numerelor (number matching) trebuie să introduceți în aplicație un număr afișat pe ecranul de autentificare; o notificare fără acel ecran în fața dumneavoastră nu poate fi aprobată astfel la întâmplare. Passkey-urile și cheile de securitate (lecția 2.4) sunt și mai puternice, deoarece nu funcționează pe un site fals.
În practică: așa arată
În Contul meu WebOké vedeți la sesiuni active unde și când v-ați autentificat și puteți deconecta alte sesiuni (ghidul WebOké 3.6). Alte servicii, precum programul dumneavoastră de e-mail, aplicația de contabilitate sau Nextcloud, au o prezentare similară în setările de securitate ale contului. Verificați mai întâi acolo, după o notificare de autentificare neașteptată.
Rezumat
- În afara e-mailului funcționează aceleași tertipuri, dar există mai puțină tehnologie care ajută și citiți mai repede.
- Un număr sau un nume de expeditor pe ecran nu dovedește nimic: acestea pot fi falsificate.
- La telefon: închideți, sunați dumneavoastră înapoi la un număr cunoscut, nu oferiți niciodată coduri, bani sau acces la distanță. Chiar și o voce cunoscută poate fi imitată.
- Coduri QR: urmăriți autocolantele, lăsați camera să afișeze adresa și citiți domeniul înregistrabil.
- O notificare de autentificare neașteptată este o alarmă: refuzați, schimbați parola, verificați sesiunile.
Test
Exercițiu
Exercițiul A3.4: Citirea unui cod QR fără a-l deschide. Programul afișează un cod QR. Scanați-l cu camera telefonului dumneavoastră, dar nu deschideți linkul. Citiți adresa afișată de cameră și introduceți domeniul înregistrabil, precum și dacă ați deschide linkul. Programul verifică răspunsul.
Exercițiul D3.4: Reguli pentru telefon, chat și notificări de autentificare. Stabiliți împreună cu echipa dumneavoastră reguli privind apelurile de rapel, o întrebare de control sau un cuvânt cod, și ce faceți în cazul unei notificări de autentificare neașteptate. Verificați apoi pe propriul telefon dacă acesta afișează adresa unui cod QR înainte de a deschide ceva.
Exercițiul D3.4: Reguli pentru telefon, chat și notificări de autentificare
Procedați astfel: (1) Stabiliți cu persoanele care efectuează sau aprobă plăți că o cerere de bani, o modificare de IBAN sau coduri nu se execută niciodată doar prin telefon, sms sau chat. Apelarea de confirmare se face întotdeauna la un număr din propria evidență sau listă de contacte. (2) Stabiliți o întrebare de control sau un cuvânt de cod pentru cererile urgente venite din partea conducerii sau a familiei. Nu notați cuvântul de cod nicăieri digital unde un atacator l-ar putea citi. (3) Stabiliți ce face fiecare în cazul unei notificări de autentificare neașteptate sau a unei serii de notificări: refuzați, raportați, schimbați parola, verificați sesiunile (lecția 2.5). (4) Verificați pe propriul telefon dacă, la scanarea unui cod QR, camera arată mai întâi adresa și îl deschide doar atunci când atingeți ecranul. Folosiți pentru aceasta un cod QR dintr-o sursă cunoscută, proprie (de exemplu un cod pe care îl generați chiar dumneavoastră pentru https://www.example.com). (5) Verificați dacă aplicația dumneavoastră de chat și conturile dumneavoastră principale au o protecție suplimentară pe care nu o folosiți încă (de exemplu autentificare în doi pași cu un cod PIN, confirmare prin cod numeric la notificările de autentificare sau o passkey) și activați-o.
Bifele și notițele dumneavoastră rămân doar în acest browser; nu le trimitem nicăieri. Dacă sunteți autentificat, păstrăm în Cursurile mele doar faptul că ați finalizat exercițiul.
Pentru aprofundare
Pașii din articolele WebOké sunt valabili pentru mediul WebOké; la alți furnizori funcționează similar.
- Manual WebOké 3.6: Vizualizarea și deconectarea sesiunilor active
- Manual Nextcloud 3.6: Dispozitivele și sesiunile vizualizare, revocare sau ștergere de la distanță
- NCSC-ul olandez, Phishing prin sms („smishing”): autoritatea națională de securitate cibernetică (sursă olandeză)
- NCSC-ul olandez, Cum recunosc un apel telefonic fals?: autoritatea națională de securitate cibernetică (sursă olandeză)
- NCSC-ul olandez, Coduri QR: autoritatea națională de securitate cibernetică (sursă olandeză)
- Raportați frauda și phishingul: poliția și autoritatea națională de securitate cibernetică