Phishing putem SMS-a, chata, telefona i QR koda

Modul 3: Prepoznavanje phishinga · Vrijeme čitanja: 12 minuta

Cilj učenja: Nakon ove lekcije moći ćete prepoznati phishing izvan e-pošte: putem SMS-a i chat aplikacija, na telefonu (i s oponašanim glasom), putem QR kodova i putem navale obavijesti o prijavi, te znati kako provjeriti svaki kanal.
Ključni pojmovi: smishing, prevara "prijatelj u nevolji", vishing, lažiranje (spoofing) brojeva, lažna korisnička podrška, klon glasa, quishing, MFA bombardiranje

Zašto drugi kanali djeluju tako dobro

Sve iz lekcije 3.1 vrijedi i ovdje: hitnost, autoritet, strah, znatiželja i nagrada. No izvan e-pošte trikovi često djeluju još bolje:

• Na telefonu čitate brzo. Zaslon je malen, adrese se skraćuju, a često ste usred nečeg drugog.
• Ima manje tehnologije koja pomaže. Poslužitelj e-pošte provjerava SPF, DKIM i DMARC te ima filter neželjene pošte. Za SMS, chat i telefon toga ima mnogo manje.
• Djeluje osobnije. Poruka u chat aplikaciji ili glas na telefonu budi više povjerenja nego e-pošta.
• Odvija se uživo. Pozivatelj može postavljati dodatna pitanja, pojačavati pritisak i korak po korak Vas voditi kroz prevaru.

Refleks ostaje isti: zastanite, provjerite svojim vlastitim putem, pitajte. Ono što se razlikuje po kanalu jest kako ta provjera izgleda.

SMS i chat: smishing i prevara "prijatelj u nevolji"

Smishing je phishing putem SMS-a. Prevaranti se predstavljaju kao organizacija od koje biste mogli očekivati SMS poruku: prijevoznik, banka, državna služba, Vaš dobavljač energije. Prema Nizozemskom nacionalnom centru za kibernetičku sigurnost (NCSC), isto se događa i putem chat aplikacija poput WhatsAppa i Telegrama.

Tipičan primjer:

Dostavna služba: Vaš paket nije mogao biti dostavljen zbog nepotpune adrese. Zakažite novu dostavu: https://koeriersdienst.track-nl.example/z8K

Pročitajte poveznicu kao u lekciji 3.2: registrabilna domena je track-nl.example, a ne koeriersdienst.example prijevoznika. Na telefonu je to dodatno otežano jer vidite samo početak. Dodirnite poveznicu i zadržite pritisak da vidite cijelu adresu, ili je uopće ne otvarajte, nego sami otiđite u aplikaciju ili na web stranicu prijevoznika.

Broj ili ime pošiljatelja ništa ne dokazuju. Pošiljatelji SMS poruka i telefonski brojevi mogu se krivotvoriti (spoofing, lažiranje). Zbog toga se lažna poruka može pojaviti u istom nizu poruka kao i prave poruke tog pošiljatelja. Dakle, ni poznato ime iznad poruke nije dokaz.

Prevara "prijatelj u nevolji" odvija se putem chat aplikacija:

Bok, ovo mi je novi broj, telefon mi je pokvaren. Možeš li nešto platiti umjesto mene? Vratit ću ti novac sutra. Mora biti danas.

U poduzeću se isti trik pojavljuje kao poruka "direktora" ili "kolege" s novim brojem, koji žuri s plaćanjem ili poklon bonovima. Provjera: nazovite ili pošaljite poruku toj osobi na stari, poznati broj, ili postavite pitanje na koje može odgovoriti samo prava osoba.

Telefon: vishing, lažna korisnička podrška i klonirani glasovi

Vishing (voice phishing, glasovni phishing) je phishing putem telefona. Česta su tri oblika.

Djelatnik banke. Netko zove u ime banke ili "odjela za prijevare": postoje sumnjiva plaćanja, Vaš novac treba biti "osiguran", ili trebate priopćiti kod ili odobriti plaćanje u bankovnoj aplikaciji. Na zaslonu se ponekad prikazuje čak i pravi broj banke. I to može biti lažirano. Prava banka nikada ne traži Vaše kodove za prijavu niti da prebacite novac na "sigurni račun".

Lažna korisnička podrška. Netko zove u ime dobavljača softvera, Vašeg internetskog providera ili Vaše IT tvrtke: Vaše je računalo zaraženo, postoji problem s Vašim računom. Traži da instalirate program kako bi mogao gledati na daljinu. Time preuzima kontrolu nad Vašim računalom. Nizozemski NCSC jednostavno kaže: nikada bilo kome ne dajte pristup Vašim uređajima na daljinu bez provjere.

Oponašani glas. Pomoću umjetne inteligencije glas se može oponašati na temelju zvučnih zapisa, primjerice iz videa ili govorne pošte. Klon glasa Vašeg direktora ili člana obitelji tada Vas može nazvati s hitnim zahtjevom. Svojim ušima stoga više ne možete slijepo vjerovati.

Što djeluje kod sve tri vrste prevare:

1. Prekinite poziv čim se pojavi pritisak ili se traže kodovi, novac ili pristup. To nije nepristojno.
2. Sami nazovite natrag na broj koji sami potražite ili ste ga već imali: poleđina Vaše bankovne kartice, službena stranica, Vaš vlastiti popis kontakata. Ne broj koji je naveo pozivatelj.
3. Dogovorite kontrolno pitanje ili lozinku s ljudima koji Vas mogu tražiti novac, poput uprave i računovodstva. Zapišite i da se plaćanja nikada ne obavljaju samo na temelju telefonskog poziva (lekcija 1.2).

QR kodovi: quishing

QR kod je jednostavno poveznica koju ne možete pročitati. Quishing je phishing putem QR koda. Dva oblika:

• Na ulici ili u prostoru. Naljepnica s vlastitim QR kodom preko pravog, na parkirnom automatu, punionici, jelovniku ili plakatu. Mislite da plaćate putem aplikacije za parkiranje, ali podatke svoje kartice unosite na lažnoj stranici.
• U e-pošti ili PDF-u. "Skenirajte ovaj kod da biste potvrdili svoj poštanski sandučić." QR kod u slici ne možete provjeriti mišem. A skenirate ga telefonom, na kojem adrese čitate lošije.

Nizozemski NCSC između ostalog savjetuje:

• Ne skenirajte QR kod bez popratnog teksta ili slike, i budite oprezni s kodovima na javnim mjestima.
• Provjerite je li kod doista otisnut na plakatu ili ploči, ili je na njega zalijepljena naljepnica.
• Koristite skener koji najprije prikaže na koju adresu ili domenu idete. U novijim verzijama Androida i iOS-a to kamera čini automatski.
• Ako ne prepoznajete adresu, nemojte nastaviti. Ne unosite lozinku ni podatke za plaćanje ako niste sigurni da je stranica prava.

Kod primjera adrese koju prikazuje kamera gledajte registrabilnu domenu, baš kao u lekciji 3.2. Kod parkirnog automata možete koristiti i službenu aplikaciju za parkiranje ili adresu otisnutu na samoj ploči.

MFA bombardiranje: kad Vam telefon stalno pišti

Mnoge usluge pri prijavi šalju obavijest na Vaš telefon: "Pokušavate li se prijaviti? Odobri ili odbij." Ako napadač već ima Vašu lozinku, pokušava se prijaviti iznova i iznova. Vaš telefon prima jednu obavijest za drugom, ponekad usred noći. To se zove MFA bombardiranje (i MFA umor). Napadač se nada da ćete iz iritacije ili slučajno pritisnuti Odobri. Ponekad uz to i nazove ili pošalje poruku predstavljajući se kao "korisnička podrška": "Obnavljamo Vaš račun, samo pritisnite odobri."

Što učiniti:

1. Nikada ne odobravajte obavijest koju sami niste pokrenuli. Čak ni ako Vas netko o tome izravno zamoli.
2. Shvatite to kao alarm. Neočekivana obavijest o prijavi znači da netko ima Vašu lozinku. Odmah promijenite lozinku tog računa, putem same stranice ili aplikacije.
3. Pregledajte aktivne sesije i odjavite nepoznate sesije (lekcija 2.5).
4. Odaberite snažniji oblik dvofaktorske autentifikacije ako je dostupan. Kod usklađivanja brojeva (number matching) morate u aplikaciju prepisati broj s ekrana za prijavu; obavijest bez tog broja pred sobom tada ne možete olako odobriti. Passkeyevi i sigurnosni ključevi (lekcija 2.4) još su snažniji jer ne rade na lažnoj stranici.

U praksi: ovako to izgleda

U Moj WebOké pod aktivnim sesijama vidite gdje i kada ste prijavljeni te možete odjaviti druge sesije (WebOké upute 3.6). Druge usluge, poput Vašeg programa za e-poštu, knjigovodstvenog paketa ili Nextclouda, imaju sličan pregled u sigurnosnim postavkama Vašeg računa. Ondje prvo pogledajte nakon neočekivane obavijesti o prijavi.

Sažetak

• Izvan e-pošte djeluju isti trikovi, ali ima manje tehnologije koja pomaže, a Vi čitate brže.
• Broj ili ime pošiljatelja na zaslonu ništa ne dokazuju: mogu se krivotvoriti.
• Na telefonu: prekinite poziv, sami nazovite natrag na poznati broj, nikada ne dajte kodove, novac ili pristup na daljinu. I poznati glas može biti oponašan.
• QR kodovi: provjerite ima li naljepnica, pustite kameru da prikaže adresu i pročitajte registrabilnu domenu.
• Neočekivana obavijest o prijavi alarm je: odbijte, promijenite lozinku, provjerite sesije.

Kviz

Zadatak

Zadatak A3.4: Pročitati QR kod bez otvaranja. Program prikazuje QR kod. Skenirajte ga kamerom svog telefona, ali nemojte otvoriti poveznicu. Pročitajte adresu koju prikazuje kamera i upišite registrabilnu domenu, te navedite biste li tu poveznicu otvorili. Program provjerava odgovor.

Zadatak D3.4: Dogovori za telefon, chat i obavijesti o prijavi. S Vašim timom dogovorite pravila za povratni poziv, kontrolno pitanje ili lozinku, te što učiniti kod neočekivane obavijesti o prijavi. Zatim na svom telefonu provjerite prikazuje li kamera adresu QR koda prije nego što nešto otvori.

Dodatno štivo

Koraci u WebOké člancima vrijede za okruženje WebOké; kod drugih pružatelja usluga postupak je sličan.

• Priručnik za WebOké 3.6: Pregled aktivnih sesija i odjava
• Nextcloud priručnik 3.6: Uređaje i sesije pregledati, opozvati ili daljinski izbrisati
• Nizozemski NCSC, SMS phishing ("smishing"): https://www.ncsc.nl/phishing/sms-phishing-smishing
• Nizozemski NCSC, Kako prepoznati lažni telefonski poziv?: https://www.ncsc.nl/phishing/hoe-herken-ik-een-neptelefoontje
• Nizozemski NCSC, QR kodovi: https://www.ncsc.nl/phishing/qr-codes
• Prijava lažne e-pošte i phishinga Nacionalnom CERT-u: https://www.cert.hr/