Az adathalászat (phishing) évek óta a kiberbűnözés legelterjedtebb módszere, mert nem a rendszerek, hanem az emberi figyelem gyengéit célozza. A támadók ismert márkák és szolgáltatók nevét használva, sürgető hangnemben próbálják rávenni a címzettet, hogy gondolkodás nélkül kattintson – és adja meg jelszavát vagy bankkártyaadatait egy hamis oldalon. Az alábbiakban a három leggyakoribb formát mutatjuk be.
Ami a legtöbb adathalász üzenetben közös, az a mesterségesen kreált sürgősség: a levél azt sugallja, hogy azonnal cselekedni kell, különben pénzt veszítünk, elveszítjük a hozzáférésünket, vagy lekésünk valamiről. Ez a nyomás szándékosan rövidre zárja a mérlegelést – pontosan azt a pillanatot célozza, amikor valaki gyorsan, gépiesen kattint egy linkre anélkül, hogy megnézné a feladó valódi címét vagy az URL-t. Az alábbi három séma szinte minden magyarországi postafiókban rendszeresen felbukkan.
Futárszolgálatos e-mailek
A támadók ismert csomagküldő szolgáltatók nevében küldenek üzenetet, amelyben arról írnak, hogy a csomag kézbesítése sikertelen volt, vagy egy jelképesen kicsi összeget – néhány száz forintot – kell fizetni a kiszállításért. A trükk lényege pontosan ez az alacsony összeg: a legtöbben nem gyanakodnak egy párszáz forintos díj miatt, miközben a linkre kattintva megadott bankkártyaadatok a támadókhoz kerülnek, akik ezután korlátlanul terhelhetik a kártyát. Érdemes szabályként kezelni, hogy csomagért csak a hivatalos alkalmazásban vagy a futárnál a helyszínen fizetünk, e-mailben érkező linken keresztül soha.
Banki értesítések
Ezek az üzenetek azt állítják, hogy biztonsági okokból zárolták a számlát, gyanús tranzakciót észleltek, vagy sürgősen frissíteni kell az ügyféladatokat. A cél, hogy a címzett pánikba essen, és a megadott linkre kattintva egy, az eredetivel megtévesztően megegyező bankfelületen adja meg a belépési adatait – amit a támadók valós időben felhasználnak a valódi rendszerbe való bejelentkezésre. A bankok általánosan érvényes szabálya, hogy soha nem kérnek jelszót, PIN-kódot vagy egyszer használatos kódot e-mailben vagy telefonon; gyanú esetén a legbiztosabb lépés a bank hivatalos alkalmazásának vagy a hivatalosan ismert telefonszámának közvetlen felkeresése, nem az e-mailben található elérhetőség.
Microsoft 365 vagy Google-fiók figyelmeztetések
A felhasználó olyan üzenetet kap, amely szerint lejár a jelszava, megtelt a postafiókja, vagy szokatlan helyről történt bejelentkezést észleltek. A hivatkozott link egy, az eredetivel vizuálisan szinte megegyező bejelentkező oldalra vezet, ahol a beírt felhasználónév és jelszó közvetlenül a támadókhoz jut el. Mivel ezek a fiókok gyakran a vállalati levelezés, dokumentumok és egyéb szolgáltatások kulcsát jelentik, a megszerzett hozzáférés innen továbbterjedhet a cég többi rendszerére is. A védekezés két pillére a kétfaktoros hitelesítés (MFA) bekapcsolása, valamint annak megszokása, hogy bejelentkezés előtt mindig ellenőrizzük a böngésző címsorában megjelenő domain nevet.
Mit tehet a cég a munkatársak felkészítéséért?
A fenti sémák önmagukban is jól felismerhetők, de a valódi védelmet a rendszeresség adja: időszakos, gyakorlatias oktatás – akár szimulált adathalász kampányokkal –, egyértelmű belső eljárás a gyanús üzenetek jelzésére, és olyan vállalati kultúra, amelyben a téves kattintást bevalló kollégát segítség, nem megszégyenítés fogadja.
A Magyar Kiberbiztonsági Klaszter partnereivel azon dolgozik, hogy a hazai vállalkozások felkészülten nézzenek szembe ezekkel a kihívásokkal – kutatási együttműködésekkel, szakmai programokkal és képzésekkel.