Wyciek numeru telefonu czy adresu e-mail jest równie groźny, jak numeru PESEL. Hakerzy mogą wykorzystać je, aby się uwiarygodnić i przez to wyłudzić dodatkowe dane, które posłużą np. do kradzieży naszych pieniędzy z konta. Takich ostrzeżeń bardzo się boimy i zamiast robić coś pożytecznego i konkretnego zamartwiamy się i marnujemy życie na wymyślanie haseł gwarantujących bezpieczeństwo w sieci. Z tej iluzji hakerzy się śmieją.
Bartłomiej Drozd, powołując się na dane CERT Polska zwrócił uwagę, że liczba przypadków phishingu w 2022 r. sięgnęła prawie 40 tys., czyli o 36 proc. więcej niż rok wcześniej.
W ocenie eksperta serwisu ChronPESEL.pl, będącego partnerem Krajowego Rejestru Długów „nic nie wskazuje na to, aby w tym roku ta dynamika zmalała”. Wyjaśnił, że w każdym miesiącu są ujawniane przypadki podszywania się przestępców pod instytucje lub firmy, a ich celem jest wyłudzenie poufnych danych (PESEL, login i hasło do konta w banku itp.). „To tzw. phishing. Ale do takiego ataku potrzebne są dane kontaktowe do potencjalnych ofiar. Te zdobywa się wykradając je ze słabo zabezpieczonych baz danych lub kupując na czarnym rynku” – wyjaśnił.
Strzeżonego nikt nie strzeże
Drozd stwierdził, że wiele osób lekceważy takie informacje uważając, że sam numer telefonu nie wystarczy do tego, żeby dokonać na konto jego posiadacza wyłudzenia czegokolwiek. „Nic bardziej mylnego” – przestrzegł. Wyjaśnił, że obserwuje coraz większą popularność tzw. vishingu, czyli podszywania się przez przestępców pod znaną instytucję lub firmę w rozmowie telefonicznej.
Ekspert zwrócił uwagę, że dzięki kampaniom edukacyjnym coraz więcej Polaków nie klika już w linki rozsyłane w e-mailach lub SMS-ach. Przestępcy zaczęli więc na dużą skalę dzwonić do potencjalnych ofiar przedstawiając się jako reprezentanci firm lub instytucji, których są klientami – dodał. „To usypia ich czujność do tego stopnia, że w trakcie rozmowy podają im dane, które są potem wykorzystywane do wyłudzeń” – zaznaczył.
Przezorni sprawdzają na wszelki wypadek, czy numer telefonu z którego dzwoni do nich rzekomy przedstawiciel firmy lub instytucji na pewno do niej należy. „To była dobra metoda weryfikacji jeszcze kilka lat temu. Dzisiaj usługa VoIP jest tak powszechna, że pozwala na sfałszowanie numeru telefonu wyświetlającego się w telefonie ofiary” – przestrzegł.
Scenariusze ataków vishingowych mają zawsze taki sam cel – nakłonienie ofiary do podania wrażliwych danych lub podjęcia określonej czynności. „Przestępcy wiedząc, że byliśmy klientami danej firmy, bo z niej wykradli przecież nasze imię i nazwisko i numer telefonu, mogą odwoływać się w rozmowie do zawartych wcześniej transakcji, aby się uwiarygodnić, a potem nakłonić do podania wrażliwych danych” – wyjaśnił. Najczęstszą metodą podszywania się jest – jak zauważył – podawanie się za pracownika banku, policjanta, pracownika sklepu internetowego lub urzędnika.
„Rzekomy policjant informuje nas np. o znalezieniu naszych dokumentów i prosi o numer PESEL, żeby potwierdzić że faktycznie należą do nas. Pracownik banku ostrzeże, że na naszym koncie trwają próby jakiś podejrzanych transakcji i potrzebują naszych danych do ich przerwania” – wskazał. W przypadku wycieków ze sklepów internetowych, cyberprzestępcy mogą podawać się też za osobę odpowiadającą za nasz zakup. Wtedy poinformują nas w rozmowie telefonicznej o błędzie transakcji i poproszą o to, żebyśmy na linii podali im wymagane dane, w celu wznowienia zakupu. Urzędnik skarbowy ostrzeże o błędach w zeznaniu podatkowym i zaoferuje pomoc w ich usunięciu, żeby uniknąć kary. Aby zweryfikować, że my to my, poprosi o PESEL – wyjaśnił mechanizm działania przestępców Drozd.
Jak ostrzegł, potrafią oni tak manipulować rozmową, że bez problemu uśpią naszą czujność, a potem nakłonią do podania szeregu danych, które wykorzystają później do wyłudzeń. „Z reguły ostrzegają nas przed zagrożeniem nalegając na szybką reakcję. Nigdy nie godźmy się na coś takiego. Taką rozmowę należy przerwać i zadzwonić do instytucji lub firmy, na którą rozmówca się powoływał i zapytać, czy na pewno jest ich pracownikiem” – podkreślił Drozd.
Podsumował, że nasze dane osobowe to nie tylko PESEL, ale też e-mail, którym posługujemy się na co dzień, czy numer telefonu
Ślęcz nad hasłem
Na zmianę nowych haseł przeciętny użytkownik internetu przeznacza 21 godzin rocznie – wynika z raportu „Cyberbezpieczeństwo Polaków”. Dodano w nim jednak, że niespełna połowa respondentów zabezpiecza hasłem wszystkie swoje urządzania elektroniczne.
Jak zwróciła uwagę Joanna Charlińska z Biura Informacji Kredytowej (BIK), „nie do końca doceniamy moc hasła jako zabezpieczenia przed wyłudzeniem danych”. O tym, czy jest ono odporne na złamanie, decydują długość i złożoność – „zdecydowanie zapomnieć należy o ciągu liczb 12345 „ – przestrzegła ekspertka.
Długie hasło, jak zauważyła, to takie, które składa się z co najmniej 12 znaków. „Może ono być skonstruowane z fraz, zawierać kombinacje liter i cyfr. Tu jednak należy pamiętać, by nie były to zwroty oczywiste, łatwe do odgadnięcia daty, imiona czy numery” – podkreśliła. Pomóc w wygenerowaniu bezpiecznego hasła – jak dodała – może menedżer haseł. „Ma on dodatkową zaletę, pomaga bezpieczne przechowywać hasła dla różnych kont” – przypomniała.
Według raportu BIK „Cyberbezpieczeństwo Polaków” do zabezpieczania hasłem swoich urządzeń elektronicznych przyznaje się 46 proc. badanych. Tymczasem, jak zaznaczyli eksperci, słabe hasło, a tym bardziej jego brak, naraża na cyberataki klientów w trakcie dokonywania transakcji bankowych czy zakupów w sieci. „Oszuści czyhają na przejęcie danych uwierzytelniających, aby zyskać dostęp do cennych informacji, które mogą doprowadzić ich do cudzych pieniędzy. Środkiem do celu jest przejęcie danych uwierzytelniających” – przestrzegła Aleksandra Stankiewicz-Billewicz z BIK.
„To jest jak brakujący element układanki. Łamiąc hasło, otwierają furtkę do innych danych dotyczących tożsamości” – stwierdziła ekspertka. Pozyskane informacje, numery kart płatniczych oraz elektroniczne dokumenty mogą zostać wykorzystane m.in. do wyłudzenia kredytu lub pożyczki, zakupów na raty, podpisania umów (np. na abonament telefoniczny) lub do wyprowadzenia pieniędzy z konta bankowego – dodała.
Skala przestępstw z wykorzystaniem skradzionej tożsamości rośnie. Zgodnie z raportem InfoDok, na który powołują się eksperci BIK, tylko w pierwszym kwartale 2023 r. codziennie udaremniano 25 prób wyłudzeń. W sumie hakerzy podjęli ich w tym czasie 2 tys. 888 – czterokrotnie więcej niż rok temu; wielu wyłudzeń nie udaje się wykryć.
Według przywołanych w raporcie danych firmy z branży technologii uwierzytelniających Yubico – przeciętny użytkownik internetu codziennie mierzy się z zarządzaniem hasłami do kilkunastu lub więcej kont. W ciągu roku na tę czynność przeznacza 21 godzin. „Nie ma jednak powodu, aby cały czas zmieniać hasła dostępu do poczty lub systemu firmowego. Wystarczy, by hasło było silne i złożone – im dłuższe, tym lepsze” – zwróciła uwagę Stankiewicz-Billewicz, cytując specjalistów z NASK.
Zgodnie z opiniami specjalistów, oprócz hasła (czyli tzw. uwierzytelnienia jednoskładnikowego) warto wprowadzić również dodatkowy element. Jak zaznaczyła Stankiewicz-Billewicz, Agencja ds. Cyberbezpieczeństwa i Bezpieczeństwa Infrastruktury (CISA) dodała uwierzytelnianie jednoskładnikowe do swojej listy złych praktyk.
A może DNA?
Drugim składnikiem uwierzytelniania na naszym urządzeniu może być np. odcisk palca podczas logowania. We wbudowany czytnik linii papilarnych wyposażone są nie tylko nasze smartfony, ale też wiele komputerów – wyjaśniła, cytowana w raporcie Monika Olesiejuk z firmy Digital Fingerprints, będącej częścią Grupy BIK. „W ostatnim czasie upowszechniła się także metoda FaceID, polegająca na skanie naszej twarzy przy odblokowaniu smartfona. Kolejną metodą podwójnego logowania i równie popularną, są kody SMS” – dodała ekspertka. Zwróciła też uwagę na tzw. klucze bezpieczeństwa (U2F). Według specjalistów i praktyków są one obecnie najbezpieczniejszą metodą uwierzytelniania z kategorii posiadania. „Ten podobny do pendrive’a klucz pomaga chronić przed najbardziej zaawansowanymi atakami” – wskazała.
Współczesna technologia oferuje też weryfikację behawioralną, stosowaną m.in. przez banki. Technologia weryfikuje czy osoba korzystająca z aplikacji na telefonie czy w trakcie logowania na stronę w komputerze jest tą, za którą się podaje. „Sprawdza ona zachowanie logującego czyli sposób korzystania z urządzenia np. tempa pisania na klawiaturze, ruchu myszą, sposobu posługiwania się urządzeniem mobilnym” – wyjaśniła Olesiejuk.
Nowe technologie uwierzytelniające już wchodzą do powszechnego użytku – zwróciła uwagę Stankiewicz-Billewicz. „Warto zaznajomić się z nowymi metodami zabezpieczeń, ale nie należy też zapominać o silnym haśle, bo to znaczące utrudnienie dostępu do informacji o nas i naszych pieniędzy” – podsumowała.su”.
pwr/pap
