Spear phishing – czym jest i jak zagraża Twojej firmie?

Phishing to jedno z najpopularniejszych cyberzagrożeń, z jakimi zmagają się firmy. Hakerzy lubią preparować fałszywe wiadomości, gdyż jest to bardzo skuteczne, a jednocześnie dosyć tanie i łatwe w przeprowadzeniu zagranie. Odbiorcy często nie mają wystarczającej wiedzy, żeby zauważyć podstęp, a nawet jeśli mają, mogą stracić czujność w wyniku zmęczenia lub nadmiaru obowiązków. Ta metoda wykradania danych stale ewoluuje, dlatego organizacja musi się przygotować na różne rodzaje phishingu. Jednym z nich jest spear phishing, celujący w konkretną ofiarę. Co to takiego i w jaki sposób może zagrozić firmie? Zobacz w naszym artykule.

Czym jest spear phishing?

Wyobraź sobie, że internet to niezmierzone morze, wypełnione wieloma stworzeniami różnej wielkości, czyli wszystkimi użytkownikami. Ich rozmiary zależą od tego, do jak wielu wartościowych danych mają dostęp. Maciupeńkie rybki to osoby prywatne, z kolei większe – pracownicy i szefowie małych i średnich firm. Pomiędzy nimi przepływają ogromne ryby, a więc osoby operujące danymi w wielkich przedsiębiorstwach.

Z kolei haker to doświadczony rybak, któremu zależy na wyłowieniu smakowitej zdobyczy, czyli pozyskaniu cennych danych. Niektórzy cyberprzestępcy zasiadają nad morzem, zarzucają wędkę (czyli wiadomość phishingową) i spokojnie czekają, próbując złowić cokolwiek. Tak właśnie wygląda klasyczny phishing, rozsyłany do wielu niesprecyzowanych odbiorców. Natomiast inni hakerzy mają ochotę jedynie na konkretny rodzaj ryby, zazwyczaj taki większy. Nie korzystają zatem z wędki, ale posługują się włócznią (lub harpunem, jak kto woli). Przeszukują morze do czasu, aż pod powierzchnią pojawi się wyczekiwana ofiara. Wtedy polują właśnie na nią.

I tym właśnie jest spear phishing. To rodzaj phishingu o bardziej ukierunkowanym, spersonalizowanym charakterze. Nie celuje w ogół przypadkowych osób, ale w daną osobę, grupę lub organizację. Tym samym wymaga od hakerów więcej pracy i wysublimowania niż klasyczny phishing. Jednocześnie okazuje się znacznie bardziej skuteczny.

Na czym polega spear phishing?

Spear phishing to oszustwo należące do grona socjotechnik, a więc w ramach podstępu, żeby pozyskać dane, stosowane są uniwersalne mechanizmy kierujące psychiką ludzką. Spear phishing wykorzystuje presję czasu i/lub autorytetu, żeby atakowany zareagował dokładnie tak, jak tego chce przestępca.

Na początku haker starannie wybiera ofiarę, czyli przepatruje morze. Decyduje się na osobę, organizację lub określoną grupę z danej organizacji (na przykład administratorów IT firmy) – i to na niej koncentruje dalsze działania. Ważne, żeby wybrane podmioty miały dostęp do jakichś kluczowych danych firmowych (w tym danych logowania) albo były decyzyjne w przedsiębiorstwie (czyli na przykład mogły autoryzować przelew).

Drugim krokiem jest staranny, dogłębny research. Przestępca przygotowuje się się do polowania i ostrzy włócznię. Dowiaduje się, ile tylko może o życiu prywatnym i zawodowym ofiary, żeby wiedzieć, w jaki sposób uderzyć. W zależności od tego, czy poluje na jedną osobę, czy na większą grupę, stopień szczegółowości pozyskanych informacji może się różnić.

Gdy haker operuje już potrzebnymi treściami, bierze porządny zamach i rzuca włócznią, czyli preparuje i wysyła spersonalizowaną, a tym samym bardzo wiarygodną wiadomość (najczęściej e-mail) do ofiary. Podszywa się pod znanego odbiorcy nadawcę, na przykład bank, klienta, pracownika innego oddziału, zwierzchnika.

Ta wiadomość sprytnie skłania do podjęcia akcji, w wyniku której cyberprzestępca pozyska dane firmowe. Na przykład przekonuje, żeby zalogować się na konto firmowe za pomocą dostępnego linku. Jako że nadawca przemyca w treści maila informacje, których raczej nie powinna znać przypadkowa osoba (na przykład jakiś fakt z życia prywatnego ofiary), odbiorca uznaje takiego maila za autentycznego i daje się nabrać. Zatem haker-rybak trafia w upatrzoną rybę i wyciąga ją na brzeg, żeby z apetytem dobrać się do danych.

Dlaczego spear phishing jest groźny dla firmy?

O phishingu mówi się coraz więcej. W niektórych organizacjach pracownicy biorą udział w szkoleniach z bezpieczeństwa IT, żeby rozpoznać takie zagrożenie. Wiedzą, że trzeba ostrożnie podchodzić do podejrzanych wiadomości e-mail, zwłaszcza bogatych w literówki i błędy gramatyczne.

Niestety spear phishing jest bardziej wyrafinowany. Cyberprzestępcy poświęcają wiele czasu i energii na dopracowanie wysyłanej wiadomości pod każdym kątem. W dodatku dzięki swojej “pracy wywiadowczej” wiedzą o ofierze na tyle dużo, żeby brzmieć wiarygodnie i z powodzeniem podszyć się pod innego nadawcę. Dlatego są w stanie zmylić nawet taką osobę, która ma duży zasób wiedzy o cyberzagrożeniach. Tym samym mogą wypłynąć naprawdę cenne dane firmowe, na przykład login i hasło do konta bankowego, co poskutkuje wyczyszczeniem konta firmowego.

Stosujący spear phishing przestępcy potrafią również skłonić ofiarę, żeby pobrała załącznik, co kończy się zainstalowaniem na komputerze firmowym złośliwego oprogramowania. Jeśli nie zostanie szybko wykryte, przez długie tygodnie zbiera i przekazuje hakerowi wszystkie treści wpisywane i przekazywane na sprzęcie, w tym poufne informacje.

Jak chronić firmę przed spear phishingiem?

Przede wszystkim podejmij takie same środki ochronne jak przy ochronie przed zwykłym phishingiem, czyli ostrożnie podchodź do każdej wiadomości, zwłaszcza jeżeli bazuje ona na presji czasu lub autorytetu albo wymaga pobrania załącznika czy kliknięcia w link. Jednocześnie jeszcze bardziej wzmóż czujność, a więc bądź podejrzliwy również w stosunku do brzmiących wiarygodnie maili otrzymywanych rzekomo od współpracowników, klientów czy banku.

Proste, a jednocześnie bardzo skuteczne rozwiązanie stanowi weryfikacja wiadomości. Jeżeli nie masz pewności, czy maila faktycznie wysłał ktoś, kogo znasz – skontaktuj się z nim za pomocą innego kanału i zapytaj. Najwyżej zmarnujesz sobie i tej osobie chwilę czasu. To znacznie lepsza opcja niż podzielenie się danymi firmowymi z hakerem.

Jak jeszcze upewnić się, czy firma jest bezpieczna w cyberprzestrzeni? Przeprowadź bezpłatny audyt cyberbezpieczeństwa, który odkryje luki w zabezpieczeniach. Poza tym odwiedzaj regularnie naszego bloga, a także fanpage lub profil LinkedIn, gdzie dzielimy się przydatnymi informacjami na temat cyberochrony.

Do usłyszenia!

Zespół Sagenso