Разпознаване на фишинг във Вашата уебпоща

Модул 2: Четене на поща · Време за четене: 10 минути

Учебна цел: След този урок ще разпознавате белезите на фишинг писмо, ще можете да проверите в уебпощата накъде всъщност водят една връзка и един отговор и ще знаете какво да правите с подозрително писмо и ако все пак сте кликнали.

Основни понятия: фишинг, текст на връзката, истинска връзка, име на домейн, поддомейн, домейн двойник (lookalike), Отговор до, предупреждение за подозрителни адреси, Докладвай спам, друг канал

Какво е фишинг

Фишинг е писмо, което се опитва да Ви подтикне да направите нещо, което помага на подателя: да влезете в подправена страница, да направите плащане, да отворите прикачен файл или да изпратите данни. Думата идва от английското fishing (риболов): нападателят хвърля въдицата и чака кой ще захапе.

Повечето фишинг атаки не са насочени към Вашия компютър, а към Вас. Често в писмото няма вирус. То просто иска Вие сами да направите нещо. Затова антивирусната програма помага само донякъде, а познаването на триковете помага истински.

Постоянните съставки

Почти всяко фишинг писмо използва едно или повече от тези средства:

• Бързане: "в рамките на 24 часа", "още днес", "последно напомняне". Който бърза, проверява по-малко.
• Заплаха: пощенската Ви кутия ще бъде закрита, домейнът Ви изтича, има неплатено директно дебитиране, пратката Ви ще бъде върната.
• Награда или любопитство: възстановяване на сума, споделен документ, гласово съобщение.
• Бутон или връзка към страница, която изглежда като тази на Вашата банка, Вашия доставчик или Вашата уебпоща.
• Подател или домейн, който почти съвпада.
• Различен адрес за отговор, така че отговорът Ви да стигне до измамника.

Писмо, в което има бързане и връзка към страница за вход, винаги заслужава втори поглед, дори ако изглежда прилично. Добрият фишинг вече няма правописни грешки.

Текст на връзката и истинска връзка

В едно писмо текстът, който виждате, и адресът, към който води връзката, са две различни неща. В източника на писмото това изглежда така:

<a href="https://login.weboke.nl.account-check.example/inloggen">
  https://webmail.weboke.nl
</a>

Виждате https://webmail.weboke.nl, но отивате на съвсем друг адрес. На компютър проверявате това така: посочете връзката или бутона с мишката, без да кликвате. В долната част на прозореца на браузъра се появява истинският адрес. На телефон или таблет задръжте пръста си продължително върху връзката; ще се появи меню с адреса най-отгоре. След това не избирайте отваряне.

Как се чете уеб адрес

Истинският адрес трябва и да можете да го прочетете правилно. Гледайте частта между https:// и следващата наклонена черта. Четете я отдясно наляво: разширението (.nl, .com, .example) и думата пред него заедно образуват името на домейна. Това е частта, която има значение.

• https://webmail.weboke.nl/ : името на домейна е weboke.nl. Частта webmail пред него го прави поддомейн; такъв може да създаде само собственикът на weboke.nl.
• https://login.weboke.nl.account-check.example/inloggen : името на домейна е account-check.example. Всичко пред него ("login.weboke.nl") е поддомейн, който нападателят е избрал сам. Това е най-известният трик.
• https://weboke-beveiliging.example/ : домейн двойник (lookalike). Той съдържа известно име, но е друг домейн, който всеки може да регистрира.
• https://www.example.com@account-check.example/ : всичко преди @ се пренебрегва; отивате на account-check.example.

Има и домейни, които използват трикове с букви: цифрата 0 вместо буквата o, rn вместо m или букви от друга азбука, които изглеждат еднакво. Ако не виждате такава разлика с просто око, помага мениджър на пароли: той попълва паролата Ви само на истинския домейн (урок 1.3).

Подател и Отговор до

В урок 2.2 видяхте, че показваното име не доказва нищо и че Отговор до може да има собствен адрес. При фишинга двете често се срещат заедно. Писмото уж идва от "WebOké Support", адресът е support@weboke-beveiliging.example, а Отговор до сочи към безплатен пощенски адрес. Или писмото идва от истинския адрес на Вашия директор, но Отговор до сочи към друг домейн. Последното често се вижда при CEO измамата: "спешно плащане", което директорът уж иска по време на среща.

Уебпощата помага малко. Ако адресът на подателя съдържа знаци, които приличат на обикновени букви, но не са, уебпощата показва над писмото предупреждение, че писмото съдържа имейл адреси, на които може би не бива да се вярва. Ако видите това съобщение, третирайте писмото като подозрително. Ако не го видите, това не означава нищо: повечето фишинг писма просто използват друг домейн.

И запомнете от урок 2.2: писмо, което успешно преминава SPF, DKIM и DMARC, пак може да е фишинг. Тогава нападателят използва свой собствен, истински домейн.

Какво да правите с подозрително писмо

1. Не кликвайте, не отговаряйте, не отваряйте прикачени файлове. Дори не "само да погледнете".
2. Отидете сами на сайта. Писмото е за Вашата банка, Вашия доставчик или за пратка? Отворете сайта или приложението както винаги, чрез отметка или като въведете адреса сами. Ако там няма нищо, писмото е било фалшиво.
3. При съмнение се обадете на номер, който вече сте имали, а не на номер от писмото.
4. Докладвайте писмото. В уебпощата на WebOké с Докладвай спам: писмото отива при екипа по спам на WebOké и в папката Ви Спам. Ако писмото е за Вашата банка, препратете го и на адреса за сигнали на тази банка. В България можете да подадете сигнал за фишинг и до ГДБОП, сектор „Киберпрестъпност“, https://www.cybercrime.bg/.
5. Предупредете колегите си, ако писмото е изпратено до повече хора във Вашата организация.

Все пак сте кликнали или влезли?

Това може да се случи на всеки. Бързите действия имат най-голямо значение.

• Сменете веднага паролата си от устройство, на което имате доверие, както и на всяко друго място, където сте използвали същата парола.
• Включете двуфакторното удостоверяване (урок 8.1).
• Проверете пощенската си кутия за следи. Нападателите, които влязат в пощенска кутия, често създават филтър, който пренасочва или скрива писма, или променят Отговор до в самоличността Ви. Проверете в Настройки > Филтри, Настройки > Самоличности и в Отпуск дали там има нещо, което не сте създали сами.
• Въвели ли сте данни за плащане? Обадете се веднага на банката си.
• Пощенската Ви кутия изведнъж изпраща спам? Съобщете на доставчика си.

На практика: как работи това в уебпощата

В уебпощата посочвате връзката, за да видите истинския адрес в долната част на браузъра. С Детайли виждате адреса на подателя, а в прозореца за писане виждате накъде ще отиде отговорът. Бутонът Докладвай спам се намира над писмото.

На изображението виждате прозореца, който се появява, когато кликнете върху Докладвай спам. Ръководството за Roundcube го описва в раздела Докладване на спам с Докладвай спам. В друга уебпоща, като Gmail или Outlook.com, работи по подобен начин: там бутонът се казва например Докладване за фишинг или Докладване.

Обобщение

• Фишингът работи с бързане, заплаха, връзка към подправена страница и подател, който почти съвпада.
• Текстът на връзката и истинската връзка се различават: посочете с мишката или задръжте продължително на телефона.
• Четете името на домейна отдясно наляво; всичко пред него собственикът на този домейн избира сам.
• Отговор до към друг домейн и предупреждението за подозрителни адреси са сигнали; успешната DMARC проверка не доказва нищо за надеждността.
• Не кликвайте, отидете сами на сайта, докладвайте; ако сте кликнали: сменете паролата и прегледайте филтрите и самоличностите си.

Тест (quiz)

Задача

Задача A2.4: Анализ на подозрително писмо. Материалът phishing-1.eml се намира под тази задача. Отворете го като текст (например в Бележник (Notepad) или TextEdit, а не в пощенската си програма) и потърсете заглавните редове (хедъри) From и Reply-To и адреса зад бутона в съдържанието (href). Попълнете: истинския домейн на подателя, домейна, към който всъщност води бутонът, домейна на Отговор до, и изберете дали имате доверие на писмото. Програмата сравнява отговорите Ви с ключа за отговорите и за всеки въпрос показва къде във файла бихте могли да го намерите.

Прочетете още

Там, където са описани стъпки в уебпощата, те важат за уебпощата на WebOké; в друга уебпоща работи по подобен начин.

• Roundcube Webmail 11.2: Докладване на спам с бутона Докладвай спам
• Наистина ли този имейл е от WebOké? Как да разпознаете фишинг и да използвате промоционалния код
• Разпознаване на фишинг: как да разчетете връзка и подател
• Пощенската кутия е превзета или се изпраща спам от Вашия адрес: ето как да почистите
• Безплатен курс Безопасно онлайн за предприемачи 1.2: Фишинг, CEO измама и фактурна измама
• Безплатен курс Безопасно онлайн за предприемачи 3.2: Четене на домейни и връзки @@OMSCHRИПЦИЯ@@ Научете как да откривате истинската цел на всяка връзка: регистрируем домейн, трикове с поддомейни, пътища, @, lookalikes, punycode и отворени пренасочвания.
• Безплатен курс Безопасно онлайн за предприемачи 3.5: Кликнахте: какво сега?