Kliknuli ste: što sada?

Modul 3: Prepoznavanje phishinga · Vrijeme čitanja: 12 minuta

Cilj učenja: Nakon ove lekcije znat ćete što trebate učiniti u prvim satima nakon klika, unesene lozinke, unesenih podataka o bankovnom računu ili otvorenog privitka, pravilnim redoslijedom, te kako prijaviti i proslijediti phishing poruku.
Ključni pojmovi: ograničavanje štete, promjena lozinke s čistog uređaja, poništavanje sesija, poziv banci, prijava, prosljeđivanje phishing poruke (primjerice Nacionalnom CERT-u i zlorabljenoj marki)

Događa se svima

Svatko jednom klikne na pogrešnu poveznicu. I ljudi koji su prošli ovaj tečaj, i IT stručnjaci. Dobra phishing poruka dolazi u pravom trenutku, s pravom pričom. Sramota ne pomaže, brzo djelovanje pomaže. Što prije reagirate, to manje napadač može učiniti s onim što je dobio.

Zato je prvi korak u svakoj tvrtki: odmah prijavite kolegi koji se brine o IT-u ili Vašoj IT tvrtki. Dogovorite da osoba koja prijavi klik dobije zahvalu, a ne ukor (više o tome u lekciji 9.2). Tko se boji kazne, šuti, a onda napadač ima danima vremena.

Prvo utvrdite: što se točno dogodilo?

Ono što trebate učiniti ovisi o tome koliko ste daleko otišli. Prvo to utvrdite, kratko i iskreno.

Samo klik obično nije ozbiljan: moderni preglednici dobro su zaštićeni. Ali klik može pokrenuti i preuzimanje. Ako niste sigurni, postupajte kao da je riječ o ozbiljnijoj situaciji.

Korak po korak u prvim satima

1. Prijavite unutar Vaše tvrtke. Odmah, i u slučaju sumnje. Ispričajte što ste vidjeli, kada, i što ste unijeli ili otvorili. Sačuvajte poruku: ne brišite je, trebat će Vam za prijavu.

2. Ograničite štetu. Jeste li otvorili privitak ili nekome dali pristup? Isključite uređaj s mreže: ugasite wifi, izvucite mrežni kabel. Ne gasite ga odmah, jer ono što je u memoriji može pomoći kod istrage (lekcija 8.3). Ne radite dalje na tom uređaju.

3. Nazovite banku kod novca. Jeste li unijeli podatke o bankovnom računu ili odobrili plaćanje, odmah nazovite svoju banku, na broj s Vaše kartice ili sa službene stranice. Što brže, veća je šansa da se plaćanje zaustavi ili vrati. Plaćanje na lažni IBAN nakon prijevare s fakturom također odmah prijavite svojoj banci.

4. Promijenite lozinku s čistog uređaja. Promijenite lozinku računa koji ste unijeli. To učinite na drugom uređaju od onoga na kojem ste otvorili privitak, jer program na tom uređaju može pratiti što radite. Sami upišite adresu ili koristite oznaku (bookmark), ne poveznicu iz poruke. Jeste li istu lozinku koristili i negdje drugdje, promijenite je i tamo (lekcija 2.1).

5. Poništite sesije i provjerite račun. Nova lozinka ne izbacuje uvijek automatski napadača koji je već unutra. Zato odjavite sve druge sesije (lekcija 2.5) i provjerite što je mogao promijeniti:

• dvofaktorska autentifikacija: postoji li nepoznata aplikacija ili nepoznat telefonski broj?
• podaci za oporavak: je li promijenjena adresa e-pošte ili telefonski broj za oporavak?
• pravila za prosljeđivanje i filtri u Vašem poštanskom sandučiću: napadač rado postavi pravilo koje svu poštu, ili samo poštu s riječju "faktura" u sadržaju, prosljeđuje na svoju adresu ili je odmah briše. Tako i dalje čita Vašu poštu, čak i nakon što ste već promijenili lozinku;
• poslane stavke: ima li poslanih poruka koje Vi niste napisali? Ako da, morate upozoriti svoje kontakte.

6. Prijava i prosljeđivanje. Pogledajte dolje.

7. Provjerite je li riječ o povredi osobnih podataka. Je li napadač mogao pristupiti poštanskom sandučiću, bazi klijenata ili drugom okruženju s osobnim podacima? Tada je moguće riječ o povredi osobnih podataka. Prema GDPR-u (OUZP), povredu osobnih podataka morate prijaviti bez nepotrebnog odgađanja i po mogućnosti u roku od 72 sata od otkrivanja nadležnom tijelu, Agenciji za zaštitu osobnih podataka (AZOP), osim ako je malo vjerojatno da predstavlja rizik za osobe na koje se odnosi. U svakom slučaju to zabilježite u svoj registar povreda osobnih podataka. Kako to procijeniti, naučit ćete u lekciji 8.2.

Prijava i prosljeđivanje phishing poruke

Prijavljivanje ima smisla, čak i ako se ništa nije dogodilo. Tako se lažna stranica brže može ukloniti s interneta, a drugi se upozoravaju.

Nacionalnom CERT-u. Nacionalni CERT prima lažne e-poruke sa sumnjivim poveznicama ili privicima putem svoje stranice https://www.cert.hr/. Prema preporukama:

• poruku je najbolje proslijediti kao privitak. Kod običnog prosljeđivanja gube se tehnički podaci (zaglavlja iz lekcije 3.3). Ako to ne uspijeva, primjerice na mobitelu, onda je jednostavno proslijedite;
• čini li se da poruka dolazi od banke ili druge poznate tvrtke, u cc dodajte adresu te tvrtke. Mnoge organizacije na svojim stranicama imaju popis takvih adresa za prijavu;
• sms, WhatsApp i druge poruke ne šaljete na tu adresu, nego ih prijavljujete policiji (https://policija.gov.hr/) i Nacionalnom CERT-u (https://www.cert.hr/). Taj se put koristi i za sumnjivu e-poštu bez poveznica ili privitaka, te za prijevaru putem telefonske podrške (helpdesk fraud).

U mnogim programima za e-poštu prosljeđivanje kao privitak zove se "Proslijedi kao privitak" ili slično.

Zlorabljenoj marki. Zlorabi li se ime banke, prijevoznika ili dobavljača, javite to toj organizaciji putem kanala koji sami pronađete na njihovoj pravoj stranici, ne putem primljene poruke. Mnoge organizacije imaju vlastitu adresu za prijavu phishinga. Radi li se o Vašem vlastitom hosting pružatelju ili pružatelju e-pošte, pošaljite i njemu; kod WebOké to možete putem tiketa, s e-poštom kao privitkom (Baza znanja 581).

Prijava policiji. Ako ste izgubili novac, ili je došlo do zlouporabe ili pokušaja zlouporabe, podnesite kaznenu prijavu. Nacionalni CERT savjetuje i prikuplja prijave, ali sam ne provodi istrage. To može samo policija (https://policija.gov.hr/).

Nakon toga možete obrisati poruku i blokirati pošiljatelja.

Provjera nakon tjedan dana

Napad ne mora završiti nakon jednog dana. Postavite podsjetnik za tjedan dana kasnije:

• Postoje li nove obavijesti o prijavi ili nepoznate sesije?
• Ima li nepoznatih plaćanja na bankovnim izvodima?
• Postoje li nova pravila za prosljeđivanje ili filtri u poštanskom sandučiću?
• Žale li se klijenti ili dobavljači na čudnu poštu poslanu u Vaše ime? Tada se Vaš poštanski sandučić možda i dalje zloupotrebljava za slanje neželjene pošte (Baza znanja 25).
• Što možemo naučiti? Je li se poruka mogla lako prepoznati, i što bi je sljedeći put brže otkrilo?

U praksi: ovako to izgleda

Ponedjeljak 9:12. Fatima iz Pekarnice Example unosi svoju lozinku za e-poštu na lažiranoj prijavnoj stranici "knjigovodstvenog programa". U 9:15 primjećuje da je adresa bila boekhoudpakket.inlog-check.example. Prijavljuje to Kresi, koji se brine o IT-u. U 9:20 Kreso sa svog vlastitog prijenosnog računala mijenja lozinku njezina poštanskog sandučića i odjavljuje sve sesije. U webmailu pronalazi novo pravilo: sva pošta s riječju "faktura" ide na nepoznatu adresu i zatim se briše. Uklanja to pravilo, uključuje dvofaktorsku autentifikaciju i provjerava poslane stavke: ništa nije poslano. Fatima prosljeđuje phishing poruku kao privitak Nacionalnom CERT-u. Kreso to bilježi u dnevnik incidenata i provjerava je li napadač mogao vidjeti osobne podatke. Nakon tjedan dana ponovno provjerava pravila i sesije.

Gdje se ta pravila i sesije nalaze, razlikuje se ovisno o okruženju. Kod WebOké, prosljeđivanja s neke adrese nalaze se u Moj WebOké i u DirectAdmin (Forwarders), a pravilo se može nalaziti i u webmailu ili samom programu za e-poštu. Kod drugih pružatelja usluga rad je sličan: tražite prosljeđivanje, forwarders, pravila ili filtre.

Sažetak

• Svatko ponekad klikne krivo. Odmah prijavite, bez srama, i dogovorite da se prijavljivanje nagrađuje.
• Prvo utvrdite što se dogodilo: samo klik, lozinka, kod, bankovni podaci, privitak ili udaljeni pristup.
• Redoslijed: prijaviti, ograničiti štetu (isključiti s mreže), nazvati banku kod novca, promijeniti lozinku s čistog uređaja, poništiti sesije i provjeriti račun (posebno pravila za prosljeđivanje), prijaviti i proslijediti, procijeniti je li riječ o povredi osobnih podataka.
• Lažnu poruku pošaljite kao privitak Nacionalnom CERT-u (https://www.cert.hr/), s zlorabljenom markom u cc; sms i chat poruke prijavite policiji (https://policija.gov.hr/). Kod štete: podnesite kaznenu prijavu.
• Nakon tjedan dana ponovno provjerite.

Kviz

Zadatak

Zadatak A3.5: Kartica koraka nakon klika. Dobivate situaciju i skup kartica s koracima. Odaberite koji su koraci potrebni i poredajte ih pravilnim redoslijedom. Program provjerava i objašnjava zašto neki korak treba biti ranije ili kasnije.

Dodatno štivo

Koraci u WebOké člancima vrijede za okruženje WebOké; kod drugih pružatelja usluga postupak je sličan.

• Je li ovaj e-mail doista od WebOké? Prepoznavanje phishinga i korištenje akcijskog koda
• Preuzeta poštanska pretinac ili neželjena pošta s Vaše adrese: kako to riješiti
• Priručnik za WebOké 3.6: Pregled aktivnih sesija i odjava
• DirectAdmin priručnik 3.7: Sigurne lozinke i što učiniti kod procurjele lozinke
• Nacionalni CERT, prijava lažne e-pošte: https://policija.gov.hr/
• Policija, prijava prijevare putem sms-a, WhatsAppa i drugih kanala: https://policija.gov.hr/
• Nizozemski NCSC, Phishing: https://www.ncsc.nl/wat-kun-je-zelf-doen/dreiging/phishing