Phishing: jak ho poznat a co dělat, když už někdo klikl

Zpráva vypadá jako od banky, od dodavatele nebo od vašeho šéfa a chce po vás jednu věc: kliknout, zadat heslo, potvrdit platbu. Phishing je podvod na člověka, ne na počítač, a proto ho nezastaví sebelepší technika sama o sobě.

Tenhle článek říká, podle čeho phishing poznáte, co dělat v prvních minutách po kliknutí a co má firma mít připravené předem, aby jeden klik neskončil zašifrovaným serverem.

Co je phishing a proč ho antivirus nezastaví

Phishing je zpráva, nejčastěji e-mail, SMS nebo zpráva v chatu, která se vydává za důvěryhodného odesílatele a snaží se vás přimět k akci: otevřít přílohu, kliknout na odkaz, přihlásit se na falešné stránce nebo poslat peníze. Útočník nepotřebuje prolomit žádný systém. Stačí mu, abyste mu přístup dali sami.

Antivirus hlídá škodlivé soubory a známé adresy. Phishingová zpráva ale často žádný soubor neobsahuje a odkaz vede na stránku, která vznikla před pár hodinami a v žádné databázi ještě není. Falešná přihlašovací stránka Microsoftu nebo Googlu vypadá k nerozeznání od pravé. Technika pomáhá, filtr pošty zachytí část zpráv, ale poslední rozhodnutí dělá člověk u klávesnice.

Z toho plyne jednoduchý závěr: phishing řeší firma školením lidí, vícefaktorovým ověřováním a jasným postupem, co dělat po kliknutí. Ne jedním programem.

Pět znaků, podle kterých ho poznáte i na mobilu

Phishing poznáte podle tlaku na čas, podle odesílatele, který nesedí, a podle toho, že po vás chce heslo nebo peníze. Na mobilu je to těžší, protože nevidíte celou adresu, o to víc platí pět otázek níže.

1. Spěchá to? „Účet bude do 24 hodin zablokován“, „faktura je po splatnosti“, „šéf potřebuje platbu do hodiny“. Tlak na čas je nejčastější trik. Skutečná banka ani účetní nepotřebují, abyste jednali během minuty.
2. Sedí odesílatel? Jméno může být správné, adresa ne. Na mobilu klepněte na jméno odesílatele a podívejte se na celou adresu. ucetni@firma-cz.com není ucetni@firma.cz.
3. Kam vede odkaz? Na počítači najeďte myší na odkaz bez kliknutí, na mobilu ho podržte. Když se text odkazu a cíl liší, nebo cíl vede na doménu, kterou neznáte, neklikejte.
4. Chce to heslo nebo platbu? Žádná seriózní služba nepošle odkaz s žádostí „přihlaste se a potvrďte účet“. Když potřebujete něco zkontrolovat, otevřete si službu sami z prohlížeče nebo aplikace, ne přes odkaz ve zprávě.
5. Je to zvláštní čeština nebo zvláštní žádost? Nezvyklé oslovení, chyby, jiný styl než obvykle, žádost o dárkové karty nebo o změnu čísla účtu dodavatele. Překladače jsou dnes dobré, takže čeština sama o sobě nestačí, ale v kombinaci s ostatními znaky platí pořád.

Když si nejste jistí, zavolejte odesílateli na číslo, které znáte odjinud než ze zprávy. Jedna minuta telefonu je levnější než cokoli, co následuje po kliknutí.

Klikl jsem. Co teď (prvních 15 minut)

Nejdůležitější je nahlásit to hned a nic netajit. Čím dřív správce IT ví, tím menší škoda. Postup pro prvních 15 minut:

1. Odpojte počítač od sítě, pokud jste otevřeli přílohu nebo se něco začalo stahovat: vytáhněte síťový kabel, vypněte Wi-Fi. Počítač nevypínejte, správce z něj potřebuje přečíst, co se stalo.
2. Změňte heslo, pokud jste ho zadali na stránce po kliknutí. Změňte ho z jiného zařízení a všude, kde jste stejné heslo použili. Pokud máte zapnuté vícefaktorové ověřování, útočník se samotným heslem většinou nedostane dál, ale heslo stejně změňte.
3. Zavolejte správci IT. Ne e-mail, telefon. Řekněte, co přesně jste udělali: na co jste klikli, co jste vyplnili, z jakého zařízení.
4. Neodpovídejte útočníkovi a zprávu nemažte. Správce ji potřebuje k dohledání, komu dalšímu přišla.
5. Pokud šlo o platbu, volejte okamžitě do banky. Převod jde někdy zastavit, pokud se jedná v řádu minut.

Kliknutí není selhání, se kterým by se měl člověk schovávat. Útoky jsou dělané tak, aby na ně kliknul i pozorný člověk ve spěchu. Problém vzniká, až když se o tom správce dozví o tři dny později z toho, že server nejede.

Co dělá správce IT po nahlášení

Správce nejdřív zjistí, co se stalo, a teprve pak uklízí. Obvyklý postup u našich klientů vypadá takhle:

• Zablokuje účet nebo odhlásí všechna přihlášení uživatele a vynutí nové heslo, aby útočník, který heslo získal, vypadl ze schránky.
• Projde schránku: útočníci po získání přístupu často nastaví pravidlo, které přeposílá poštu ven nebo maže upozornění. Tahle pravidla se mažou jako první.
• Zjistí rozsah: komu dalšímu stejná zpráva přišla, kdo na ni klikl, jestli se z napadeného účtu rozeslaly další zprávy klientům nebo dodavatelům.
• Zkontroluje počítač: skenování, kontrola spuštěných procesů a stažených souborů, u podezření na malware přeinstalace místo čištění.
• Varuje ostatní: krátká zpráva do firmy, jak podvodná zpráva vypadala a že se nemá otvírat. Bez jména toho, kdo klikl.
• Zapíše incident: co se stalo, kdy, co se udělalo. U firem, kterých se týká NIS2, je to povinnost, u ostatních dobrý zvyk.

Přesně tohle děláme v rámci kybernetické bezpečnosti pro firmy u klientů ve správě, a to i bez samostatné objednávky: nahlášený phishing je běžný požadavek na helpdesk, ne mimořádná událost.

Z praxe: [DOPLNIT: anonymní příklad incidentu z posledního roku, jak zpráva vypadala, kdo klikl, co se stihlo a co ne, bez jména klienta].

Jak firmu připravit: školení, simulace, MFA, tlačítko

Firma, která je na phishing připravená, má čtyři věci: lidi, kteří zprávu poznají, vícefaktorové ověřování, které zmírní následky, jednoduchý způsob nahlášení a správně nastavenou poštu.

Školení lidí. Dvě hodiny jednou ročně s ukázkami z vlastního oboru a krátké připomínky mezi tím. Cílem není, aby lidé uměli vyjmenovat druhy útoků, ale aby se při podezřelé zprávě zastavili a zavolali. Jak takové školení uživatelů vedeme, včetně živých ukázek phishingu a podvodných telefonátů, popisujeme na stránce služby.

Simulace. Po školení pošleme lidem testovací phishing, podobný skutečným zprávám z jejich oboru. Výsledek nikdy neslouží k trestání, slouží k tomu, aby firma věděla, kde je slabé místo, a aby lidé zažili situaci nanečisto. [DOPLNIT: jen pokud máme vlastní data, kolik lidí typicky klikne při první simulaci a kolik po roce].

Vícefaktorové ověřování. Když útočník získá heslo, ale ne druhý faktor, většinou skončil. Zapnout ho pro všechny účty s e-mailem, s přístupem k financím a pro administrátory je nejlevnější opatření s největším účinkem. Týká se to i účtů ve škole, kde učitel s přístupem ke známkám a kontaktům na rodiče bez druhého faktoru je zbytečné riziko.

Tlačítko Nahlásit. V Outlooku i v Gmailu jde přidat tlačítko, které podezřelou zprávu jedním kliknutím pošle správci. Když je nahlášení jednodušší než smazání, lidé nahlašují. Právě z nahlášených zpráv se správce dozví o útoku, který filtr propustil.

Pošta, která se nedá napodobit. Útočník se rád vydává za vaši vlastní doménu: zpráva „od ředitele“ přijde zevnitř firmy. Správně nastavené záznamy SPF, DKIM a DMARC tohle u vaší domény znemožní a zároveň zlepší doručitelnost vašich vlastních zpráv.

Co z toho plyne

Phishing nejde vypnout. Přijde každý týden a jednou za čas na něj někdo klikne, i ve firmě, kde jsou všichni poučení. Rozdíl mezi nepříjemným odpolednem a týdnem bez dat nedělá to, jestli někdo klikl, ale to, co se stalo v prvních patnácti minutách potom.

Co by udělal člověk ve vaší firmě, kdyby dnes klikl? Ví, komu zavolat, a ví, že se za to nemusí stydět?