Czym jest phishing i jak chronić przed nim firmę?

Phishing stoi na czele stosowanych przez cyberprzestępców metod. Od niego zaczyna się około 90% przypadków skutecznych cyberataków i kradzieży danych. Jest dosyć łatwy i tani w wykonaniu, a przy tym bardzo skuteczny. Bazuje na błędzie ludzkim – na tym, że dana osoba, w wyniku zmęczenia czy niewiedzy, bez zastanowienia kliknie w spreparowaną przez hakera wiadomość. Phishing to ogromne niebezpieczeństwo dla firmy, gdyż wystarczy jeden pracownik, żeby doszło do wycieku danych kluczowych dla funkcjonowania całej organizacji. Czym dokładnie jest phishing? Jak bardzo zagraża przedsiębiorstwu? Jak się przed nim chronić? Sprawdź poniżej.

Czym jest phishing?

Phishing to jedna z metod wyłudzania danych, którą lubią posługiwać się cyberprzestępcy. Można porównać ją do łowienia ryb – hakerzy zarzucają wędkę z przynętą w postaci sprytnie przygotowanej wiadomości e-mail czy sms. Jeśli ktoś z odbiorców złapie haczyk, klikając w podejrzany link lub pobierając załącznik, wyciekają dane typu numer karty płatniczej lub login i hasło, a komputer zostaje zainfekowany złośliwym oprogramowaniem. Wystarczy jeden pracownik, który nabierze się na phishing, by wypłynęły informacje kluczowe dla działania całej firmy.

Hakerzy tak konstruują wiadomość, by wyglądem i treścią sprawiała wrażenie, że pochodzi od budzącej zaufanie osoby lub instytucji. Dlatego najczęściej podszywają się pod urząd, bank, kuriera czy telekomunikację. Po kliknięciu w link w takiej wiadomości użytkownik zostaje skierowany na stronę do złudzenia podobną do oryginału. Tam jest proszony o wpisanie danych dostępowych czy o uregulowanie rachunku. Pobranie załącznika zazwyczaj oznacza pobranie złośliwego oprogramowania. Gdy hakerzy dzięki phishingowi zyskują dostęp do zasobów firmowych, przedsiębiorstwo czekają ciężkie chwile.

Czy phishing to poważne zagrożenie dla firmy?

Z danych opublikowanych przez CERT Polska wynika, że phishing był najpopularniejszym rodzajem incydentów cybernetycznych w 2021 roku. Stanowił niemal 77% wszystkich zarejestrowanych incydentów. To aż 22 575 sytuacji w przeciągu jednego roku! W dodatku o 196% więcej niż w 2020. I nie zapowiada się, by ta liczba miała zmaleć.

Ofiarą phishingu może stać się każdy, czy to osoba prywatna, czy cała organizacja, niezależnie od jej wielkości, branży i poziomu zabezpieczeń. Jeżeli na celowniku hakerów znajdzie się firma, przyjdzie jej się zmagać z przykrymi skutkami. Jest ich całkiem sporo. Na przykład: wyczyszczenie konta (jeśli cyberprzestępca zdobył dane karty płatniczej), wyciek informacji o klientach (a co za tym idzie, spadek zaufania ze strony klientów), wyciek danych kluczowych dla działania całego przedsiębiorstwa, ogromne problemy wizerunkowe, zainfekowanie systemów IT oprogramowaniem ransomware (co prowadzi do dłuższego przestoju w działalności i dodatkowych strat).

Jak zminimalizować ryzyko phishingu w firmie?

Jeśli chcesz zmniejszyć szanse na to, że Twoja firma stanie się ofiarą phishingu, skorzystaj z zestawu naszych wskazówek:

1. Stosuj zasadę ograniczonego zaufania do każdej wiadomości, jaką otrzymasz. Zwłaszcza jeśli dostajesz e-mail do kuriera, a nie czekasz na przesyłkę kurierską. Albo pisze do Ciebie bank, a Ty nie zalegasz z żadnymi rachunkami.

2. Starannie sprawdź nadawcę wiadomości. Na pierwszy rzut oka adresy e-mail oszustów wyglądają zupełnie jak te prawdziwe, ale po bliższym przyjrzeniu się widać różnice. Na przykład w domenie widnieje literówka albo login adresata jest skrócony.

3. Popatrz na adres domeny, na jaką zostałeś skierowany. Fałszywe adresy są do złudzenia podobne, lecz różnią się szczegółami, między innymi “1” udaje “l”. Jeśli zauważysz coś podejrzanego, absolutnie się nie loguj ani nie wpisuj żadnych ważnych informacji, jakich strona od Ciebie wymaga.

4. Zanim pobierzesz załącznik, przyjrzyj się treści wiadomości. W mailach od oszustów bardzo często pojawiają się literówki, a także błędy interpunkcyjne, ortograficzne czy składniowe.

5. Nigdy nie stosuj kilka razy tego samego hasła. Jeśli wypłyną dane do logowania, cyberprzestępca dostanie się tylko na jedno konto, a nie na wiele z nich. W ten sposób narobi mniej szkod.

6. Wprowadź uwierzytelnianie wieloskładnikowe wszędzie, gdzie to możliwe. Polega ono na dodatkowej weryfikacji tożsamości użytkownika podczas logowania, na przykład za pomocą wpisania kodu przychodzącego sms-em. Nawet jeśli haker zdobędzie login i hasło, nie będzie mógł się dostać do zasobów firmowych.

7. Pamiętaj o szkoleniach pracowników. Powyższe zasady powinien znać każdy członek personelu, nie tylko dział IT czy kadra kierownicza. Dlatego zadbaj o przeszkolenie wszystkich pracowników z tego, jak rozpoznać phishing i na jakie znaki ostrzegawcze zwracać uwagę.

8. Zapewnij dobre oprogramowanie antywirusowe na komputerach firmowych. Pomoże Ci w walce z trojanem, robakiem czy ransomware, które często dostają się na komputery podczas ataku phishingowego. Pamiętaj, nie wystarczy mieć antywirusa. Trzeba go też regularnie aktualizować.

9. Postaw na ubezpieczenie. Żadna firma nie jest w 100% bezpieczna w sieci. Nawet najlepsze zabezpieczenia mogą zawieść. Dlatego przygotuj się na to, że Twoje przedsiębiorstwo może kiedyś ucierpieć w wyniku ataku phishingowego. Zainwestuj w ubezpieczenie od cyberzagrożeń, dzięki któremu szybciej staniesz na nogi.

Jak jeszcze zadbać o cyberbezpieczeństwo swojej firmy? Jeśli chcesz dowiedzieć się więcej o kwestiach związanych z cyberochroną, odwiedzaj regularnie naszego bloga, a także fanpage lub profil LinkedIn, gdzie dzielimy się przydatnymi informacjami.

Do usłyszenia!

Zespół Sagenso