Кликнахте: какво сега?

Модул 3: Разпознаване на фишинг · Време за четене: 12 минути

Учебна цел: След този урок ще знаете какво да направите в първите часове след клик, попълнена парола, попълнени банкови данни или отворен прикачен файл, в правилния ред, както и как да подадете сигнал за фишинг и да препратите съобщението.
Основни понятия: ограничаване, смяна на паролата от чисто устройство, прекратяване на сесии, обаждане до банката, подаване на сигнал, препращане на фишинг съобщение (например до ГДБОП и злоупотребената марка)

Случва се на всеки

Всеки кликва веднъж на грешната връзка. Дори хора, които са преминали този курс, дори IT специалисти. Добрият фишинг имейл пристига в неподходящия момент, с правилната история. Срамуването не помага, бързото действие помага. Колкото по-рано се намесите, толкова по-малко може да направи нападателят с това, което е получил.

Затова първата стъпка във всяка фирма е: подайте сигнал веднага, на колегата, който отговаря за IT, или на Вашата IT фирма. Договорете се, че този, който съобщи за клик, получава благодарност, а не забележка (повече за това в урок 9.2). Който се страхува от наказание, мълчи, а тогава нападателят разполага с дни време.

Първо определете: какво точно се случи?

Какво трябва да направите, зависи от това докъде сте стигнали. Определете това първо, кратко и честно.

Самото кликване обикновено не е сериозно: съвременните браузъри са добре защитени. Но едно кликване може и да стартира изтегляне. При съмнение, третирайте го като по-тежката ситуация.

Стъпка по стъпка в първите часове

1. Подайте сигнал във фирмата. Веднага, дори при съмнение. Разкажете какво видяхте, кога и какво сте попълнили или отворили. Запазете съобщението: не го изтривайте, ще Ви е необходимо за подаването на сигнала.

2. Ограничаване. Отворили сте прикачен файл или сте дали на някого достъп? Изключете устройството от мрежата: изключете Wi-Fi, извадете мрежовия кабел. Не го изключвайте веднага, защото това, което е в паметта, може да помогне при разследването (урок 8.3). Не работете повече на това устройство.

3. Обадете се на банката при пари. Попълнили сте банкови данни или сте одобрили плащане? Обадете се незабавно на Вашата банка, на номера на Вашата карта или на официалния сайт. Колкото по-бързо, толкова по-голям е шансът плащане да бъде спряно или върнато. Плащане към фалшив IBAN след измама с фактура също подавате незабавно на Вашата банка.

4. Сменете паролата от чисто устройство. Сменете паролата на акаунта, в който сте попълнили данни. Направете това на друго устройство, различно от това, на което сте отворили прикачения файл, защото там може да наблюдава програма. Въведете адреса сами или използвайте Вашата отметка (bookmark), не връзката от съобщението. Ако сте използвали същата парола и другаде, сменете я и там (урок 2.1).

5. Прекратете сесиите и проверете акаунта. Нова парола невинаги автоматично изхвърля нападател, който вече е влязъл. Затова излезте от всички други сесии (урок 2.5) и проверете какво може да е променил:

• двуфакторно удостоверяване: появило ли се е непознато приложение или непознат телефонен номер?
• данни за възстановяване: променен ли е имейл адресът или телефонният номер за възстановяване?
• правила за препращане и филтри във Вашата пощенска кутия: нападателят обича да зададе правило, което препраща цялата поща, или само поща със "„фактура"“ в нея, към своя адрес или направо я изтрива. Така той продължава да чете кореспонденцията, дори когато вече сте сменили паролата си;
• изпратени елементи: има ли изпратени писма, които Вие не сте писали? Тогава трябва да предупредите Вашите контакти.

6. Подайте сигнал и препратете. Вижте по-долу.

7. Проверете дали е нарушение на сигурността на данните. Можел ли е нападателят да влезе в пощенска кутия, база с клиенти или друга среда с лични данни? Тогава е възможно да има нарушение на сигурността на данните. Съгласно GDPR (ОРЗД) трябва да уведомите за нарушение на сигурността на данните без ненужно забавяне и по възможност в срок от 72 часа след откриването му Комисията за защита на личните данни (КЗЛД), освен ако е малко вероятно нарушението да породи риск за засегнатите лица. Във всеки случай запишете го в регистъра си за нарушения на сигурността на данните. Как да оцените това, ще научите в урок 8.2.

Подаване на сигнал за фишинг и препращане

Подаването на сигнал има смисъл, дори ако нищо не се е случило. Така фалшив сайт може по-бързо да бъде свален, а другите хора да бъдат предупредени.

До ГДБОП. Подайте сигнал за фалшивия имейл на ГДБОП (https://www.cybercrime.bg/) при подозрителни връзки или прикачени файлове. Препоръки:

• препратете съобщението по възможност като прикачен файл. При обикновено препращане техническите данни (заглавните редове от урок 3.3) се губят. Ако това не е възможно, например на телефон, просто го препратете;
• ако съобщението изглежда да идва от банка или друга позната фирма, добавете адреса на тази фирма в cc. На съответния сайт обикновено има списък с такива адреси;
• sms, WhatsApp и други съобщения не изпращайте на този адрес, а подайте сигнал чрез формуляра за сигнали на ГДБОП, сектор „Киберпрестъпност“ (https://www.cybercrime.bg/). Този формуляр използвате и за подозрителен имейл без връзки или прикачени файлове, и за измама чрез фалшив помощен център по телефона.

В много пощенски програми препращането като прикачен файл се нарича "„Препращане като прикачен файл"“ или нещо подобно.

До злоупотребената марка. Ако се злоупотребява с името на банка, превозвач или доставчик, уведомете тази организация чрез канал, който сами намерите на техния истински сайт, не чрез съобщението. Много организации имат собствен адрес за подаване на сигнали за фишинг. Ако става въпрос за Вашата собствена хостинг компания или имейл доставчик, изпратете съобщението и до тях; при WebOké това може да стане чрез тикет, с имейла като прикачен файл (База знания 581).

Подаване на сигнал в МВР. Загубили сте пари, или има злоупотреба или опит за такава? Подайте сигнал в МВР (https://www.mvr.bg/) или в ГДБОП (https://www.cybercrime.bg/). ГДБОП съветва и събира сигнали, но сама не може да разследва. Това може само полицията.

След това можете да изтриете съобщението и да блокирате подателя.

Проверка след седмица

Атаката не винаги приключва след ден. Задайте си напомняне за седмица по-късно:

• Има ли нови известия за вход или непознати сесии?
• Има ли непознати плащания в банковите извлечения?
• Има ли нови правила за препращане или филтри в пощенската кутия?
• Клиенти или доставчици оплакват ли се от странна поща от Ваше име? Тогава пощенската Ви кутия вероятно все още се злоупотребява за изпращане на спам (База знания 25).
• Какво можем да научим? Беше ли съобщението лесно разпознаваемо, и какво следващия път би го направило по-забележимо по-рано?

На практика: ето как изглежда

Monday, 9:12 ч. Fatima от Bakkerij Example попълва паролата си за имейл на фалшифицирана страница за вход на "„счетоводната програма"“. В 9:15 ч. тя забелязва, че адресът е бил boekhoudpakket.inlog-check.example. Тя съобщава на Kees, който отговаря за IT. В 9:20 ч. Kees сменя от собствения си лаптоп паролата на нейната пощенска кутия и излиза от всички сесии. В уебпощата открива ново правило: цялата поща със "„фактура"“ се пренасочва към непознат адрес и след това се изтрива. Той премахва правилото, активира двуфакторно удостоверяване и проверява изпратените елементи: нищо не е изпратено. Fatima препраща фишинг съобщението като прикачен файл към ГДБОП. Kees го записва в дневника за инциденти и проверява дали нападателят е могъл да види лични данни. След седмица той отново проверява правилата и сесиите.

Къде се намират тези правила и сесии, се различава според средата. При WebOké пренасочванията на адрес се намират в Моят WebOké и в DirectAdmin (Forwarders), а правило може да се намира и в уебпощата или в самата пощенска програма. При други доставчици работи по сходен начин: търсете препращане, forwarders, правила или филтри.

Обобщение

• Всеки кликва понякога. Подайте сигнал веднага, без срам, и се договорете, че подаването на сигнал се възнаграждава.
• Първо определете какво се случи: само кликване, парола, код, банкови данни, прикачен файл или отдалечен достъп.
• Последователност: подайте сигнал, ограничете (изключете от мрежата), обадете се на банката при пари, сменете паролата от чисто устройство, прекратете сесиите и проверете акаунта (особено правилата за препращане), подайте сигнал и препратете, оценете дали е нарушение на сигурността на данните.
• Препратете фалшивия имейл като прикачен файл на ГДБОП (https://www.cybercrime.bg/), с злоупотребената марка в cc; sms и чат съобщения чрез формуляра за сигнали. При щета: подайте сигнал в полицията.
• Проверете отново след седмица.

Тест (quiz)

Задача

Задача A3.5: Картата на стъпките след един клик. Получавате ситуация и купчина картончета със стъпки. Изберете кои стъпки са необходими и ги подредете в правилната последователност. Програмата проверява и обяснява защо дадена стъпка трябва да е по-рано или по-късно.

Допълнително четене

Стъпките в статиите на WebOké важат за средата на WebOké; при други доставчици работи по сходен начин.

• Това имейл съобщение истинско ли е от WebOké? Разпознаване на фишинг и използване на кода за промоцията
• Пощенската кутия е превзета или се изпраща спам от Вашия адрес: ето как да почистите
• Ръководство на WebOké 3.6: Преглед на активни сесии и изход
• Ръководство за DirectAdmin 3.7: Сигурни пароли и какво да правите при изтекла парола
• ГДБОП, подаване на сигнал за фалшив имейл: https://www.cybercrime.bg/
• ГДБОП, формуляр за сигнали за sms, WhatsApp и други измами: https://www.cybercrime.bg/
• Нидерландският NCSC, Фишинг: https://www.ncsc.nl/wat-kun-je-zelf-doen/dreiging/phishing