Фишинг чрез sms, чат, телефон и QR код

Модул 3: Разпознаване на фишинг · Време за четене: 12 минути

Учебна цел: След този урок ще можете да разпознавате фишинг извън имейла: чрез sms и чат приложения, по телефона (включително с имитиран глас), чрез QR кодове и чрез поток от известия за вход, и ще знаете как да проверявате всеки канал.
Основни понятия: smishing, измама „приятел в беда“, vishing, подправяне на номера (spoofing), фалшив helpdesk, клониране на глас, quishing, MFA бомбандиране

Защо другите канали работят толкова добре

Всичко от урок 3.1 важи и тук: спешност, авторитет, страх, любопитство и награда. Но извън имейла триковете често работят още по-добре:

• На телефона четете бързо. Екранът е малък, адресите се отрязват и често сте по средата на нещо друго.
• Има по-малко технологии, които помагат. Пощенски сървър проверява SPF, DKIM и DMARC и има спам филтър. За sms, чат и телефон това е много по-слабо застъпено.
• Усеща се по-лично. Съобщение в чат приложение или глас по телефона вдъхва повече доверие от имейл.
• Случва се на живо. Обаждащият се може да задава допълнителни въпроси, да засилва натиска и да Ви води стъпка по стъпка.

Рефлексът остава същият: спрете, проверете по собствен път, попитайте. Това, което се различава според канала, е как изглежда тази проверка.

Sms и чат: smishing и „приятел в беда“

Smishing е фишинг чрез sms. Измамниците се представят за организация, от която бихте очаквали sms: куриерска фирма, банка, държавна служба, доставчик на енергия. Според Националния екип за реагиране при инциденти (CERT България) същото се случва и чрез чат приложения като WhatsApp и Telegram.

Типичен пример:

Куриерска служба: Вашата пратка не можа да бъде доставена поради непълен адрес. Планирайте нова доставка: https://koeriersdienst.track-nl.example/z8K

Прочетете връзката както в урок 3.2: регистрируемият домейн е track-nl.example, а не koeriersdienst.example на куриера. На телефон това е особено трудно, защото виждате само началото. Задръжте връзката натисната, за да видите целия адрес, или изобщо не я отваряйте и отидете сами в приложението или сайта на куриера.

Номерът или името на подателя не доказват нищо. Подателите на sms и телефонните номера могат да бъдат подправени (spoofing). Поради това фалшиво съобщение може да се появи в същата sms верига като истински съобщения от същия подател. Дори познато име над съобщението не е доказателство.

Измамата „приятел в беда“ се разпространява чрез чат приложения:

Здравейте, това е новият ми номер, телефонът ми се повреди. Можете ли да платите нещо вместо мен? Ще Ви го върна утре. Трябва да стане още днес.

В една фирма същият трик се появява като съобщение от „директора“ или „колега“ с нов номер, който иска спешно плащане или ваучери за подарък. Проверка: обадете се или пишете на лицето на старияt, познат номер, или задайте въпрос, на който само истинският човек може да отговори.

Телефонът: vishing, фалшив helpdesk и клонирани гласове

Vishing (гласов фишинг) е фишинг по телефона. Три форми се срещат често.

Служителят на банката. Някой се обажда от името на банката или „отдела за измами“: има подозрителни плащания, парите Ви трябва да бъдат „обезопасени“ или трябва да предадете код или да одобрите плащане в банковото приложение. На екрана понякога дори се показва истинският номер на банката. И той може да е подправен. Истинска банка никога не иска кодовете Ви за вход или превод на пари към „сигурна сметка“.

Фалшивият helpdesk. Някой се обажда от името на доставчик на софтуер, Вашия интернет доставчик или Вашата ИТ фирма: компютърът Ви е заразен, има проблем с акаунта Ви. Иска от Вас да инсталирате програма, за да наблюдава отдалечено. По този начин поема контрола над компютъра Ви. Националният екип за реагиране при инциденти (CERT България) го казва простичко: никога не давайте на някого отдалечен достъп до устройствата си просто ей така.

Имитираният глас. С изкуствен интелект гласът може да бъде имитиран въз основа на звукозаписи, например от видео или гласова поща. Клониран глас на Вашия директор или на член на семейството може след това да се обади с спешна молба. Вече не можете да се доверявате сляпо на ушите си.

Какво работи и при трите случая:

1. Затворете веднага щом се появи натиск или бъде поискан код, пари или достъп. Това не е грубо.
2. Обадете се сами обратно на номер, който сами сте намерили или вече сте имали: гърба на банковата си карта, официалния сайт, собствения си списък с контакти. Не номера, който е посочил обаждащият се.
3. Договорете контролен въпрос или кодова дума с хората, които могат да Ви поискат пари, като ръководството и счетоводството. Уговорете също, че плащания никога не се правят само въз основа на телефонно обаждане (урок 1.2).

QR кодове: quishing

QR кодът е просто връзка, която не можете да прочетете. Quishing е фишинг чрез QR код. Две форми:

• На улицата или в помещение. Стикер със собствен QR код, залепен върху истинския, на паркомат, зарядна колонка за електромобили, меню или плакат. Мислите, че плащате чрез паркинг приложението, но въвеждате данните на картата си във фалшив сайт.
• В имейл или pdf. „Сканирайте този код, за да потвърдите пощенската си кутия.“ QR код в изображение не можете да проверите с мишката. А го сканирате с телефона си, където адресите се четат по-трудно.

Националният екип за реагиране при инциденти (CERT България) съветва, наред с друго:

• Не сканирайте QR код без придружаващ текст или изображение и бъдете внимателни с кодове на обществени места.
• Проверете дали кодът действително е отпечатан в плаката или табелата, или върху него е залепен стикер.
• Използвайте скенер, който първо показва към какъв адрес или домейн отивате. В по-новите версии на Android и iOS камерата прави това по подразбиране.
• Ако не разпознавате адреса, не продължавайте. Не въвеждайте парола или данни за плащане, ако не сте сигурни, че сайтът е истински.

Погледнете примера на адреса, показан от камерата, и регистрируемия домейн, точно както в урок 3.2. При паркомат можете да използвате и официалното паркинг приложение или адреса, посочен на самата табела.

MFA бомбандиране: когато телефонът Ви не спира да пиука

Много услуги изпращат известие на телефона Ви при вход: „Опитвате ли се да влезете? Одобрете или откажете.“ Ако нападателят вече има паролата Ви, той продължава да опитва да влезе отново и отново. Телефонът Ви получава едно известие след друго, понякога посред нощ. Това се нарича MFA бомбандиране (наричано още MFA умора). Той се надява, че от раздразнение или по грешка ще натиснете „Одобри“. Понякога се обажда или пише допълнително като „helpdesk“: „Възстановяваме акаунта Ви, просто натиснете одобри.“

Какво да направите:

1. Никога не одобрявайте известие, което самите Вие не сте инициирали. Дори ако някой Ви помоли.
2. Приемете го като аларма. Неочаквано известие за вход означава, че някой има Вашата парола. Сменете паролата на този акаунт незабавно, чрез самия сайт или приложение.
3. Прегледайте активните сесии и излезте от непознатите сесии (урок 2.5).
4. Изберете по-силна форма на двуфакторно удостоверяване (2FA), ако има такава. При съпоставяне на числа (number matching) трябва да въведете число от екрана за вход в приложението; известие без този екран пред Вас тогава не може просто да бъде одобрено. Passkeys и ключовете за сигурност (урок 2.4) са още по-силни, защото не работят на фалшив сайт.

На практика: ето как изглежда

В Моят WebOké под активни сесии виждате къде и кога сте влезли и можете да излезете от други сесии (наръчник на WebOké 3.6). Други услуги, като пощенската Ви програма, счетоводен софтуер или Nextcloud, имат подобен преглед в настройките за сигурност на акаунта Ви. Там проверете първо след неочаквано известие за вход.

Обобщение

• Извън имейла работят същите трикове, но има по-малко технологии, които помагат, и Вие четете по-бързо.
• Номер или име на подател на екрана Ви не доказва нищо: те могат да бъдат подправени.
• По телефона: затворете, обадете се сами обратно на познат номер, никога не давайте код, пари или достъп отдалечено. Дори познат глас може да е имитиран.
• QR кодове: проверявайте за стикери, оставете камерата да покаже адреса и прочетете регистрируемия домейн.
• Неочаквано известие за вход е аларма: откажете, сменете паролата, проверете сесиите.

Тест

Задача

Задача A3.4: Четене на QR код без да го отваряте. Програмата показва QR код. Сканирайте го с камерата на телефона си, но не отваряйте връзката. Прочетете адреса, показан от камерата, и въведете регистрируемия домейн, както и дали бихте отворили връзката. Програмата проверява отговора.

Задача D3.4: Правила за телефон, чат и известия за вход. Договорете с екипа си правила относно обратно обаждане, контролен въпрос или кодова дума, и какво да правите при неочаквано известие за вход. След това проверете на собствения си телефон дали камерата показва адреса на QR код, преди да отвори нещо.

Прочетете още

Стъпките в статиите на WebOké важат за средата на WebOké; при други доставчици работи по подобен начин.

• Ръководство на WebOké 3.6: Преглед на активни сесии и изход
• Nextcloud наръчник 3.6: Преглед, отнемане или дистанционно изтриване на устройства и сесии
• Национален екип за реагиране при инциденти (CERT България), относно sms фишинг (smishing): https://govcert.bg/
• Национален екип за реагиране при инциденти (CERT България), как да разпознаете фалшиво телефонно обаждане: https://govcert.bg/
• Национален екип за реагиране при инциденти (CERT България), QR кодове: https://govcert.bg/
• ГДБОП, сектор „Киберпрестъпност“, подаване на сигнал за измама и фишинг: https://www.cybercrime.bg/