W ostatnim wpisie zwracałem uwagę na to, jak istotnym motywatorem naszych działań jest strach/lęk. A teraz dodajmy do tego regułę autorytetu wg. Cialdiniego, problemy z nie wykraczającą poza podstawy znajomością angielskiego i mamy znakomitą receptę na… phishing. Phishing, któremu wróżę niezły sukces.
A to dlatego, że tym razem cyber-przestępcy chcą nas pobić naszą własną bronią. Wszyscy straszą „złymi hackerami”, co krok przypominają, żeby natychmiast instalować wszystkie możliwe łatki bezpieczeństwa? Super, w to kryminalistom graj! Serio, będą nawet na tyle mili, że poinformują nas o tym, że ostatni pakiet łatek od Microsoftu źle się zainstalował i zrobią nam nawet tę przysługę, że podeślą maila z linkiem. Co więcej, po kliknięciu weń nic nam się nie zainstaluje, nic nie trzeba ściągać! Microsoft sam na przyśle patcha jeszcze raz, musimy tylko wpisać podany przy system kod błędu, skojarzony z naszym Microsoftowym kontem e-mail, no i oczywiście hasło… Wait, WHAT?
Sami przyznacie, że ten numer złym ludziom niestety się udał i mogą się na niego złapać nawet Ci, którzy zazwyczaj są bardzo „elektryczni”, jeśli chodzi o próby cyber-kradzieży, bo cały opisany proces naprawdę budzi zaufanie. W tej sytuacji stawiam, że znaczna większość użytkowników nawet nie spojrzy, że strona, na którą wchodzimy, nie jest w domenie domniemanego nadawcy, nie jest także szyfrowana (brakuje symbolu https i kłódki).
Niestety, coraz częściej informacje, na które trafiam, dowodzą, że skończyliśmy już z erą „bełkot-phishingu” i maile o treści w rodzaju: „(…) jak Wynik, nazwa użytkownika zostanie wylaczona, jeśli nie wyslac nam wymagane informacje” będą się zdarzać coraz rzadziej. W tej sytuacji, oprócz nie wyłączania zdrowego rozsądku, na pewno warto zrobić sobie audyt haseł i do każdego z serwisów stosować unikalne (nie trzeba ich pamiętać, do dyspozycji jest przynajmniej kilka darmowych tzw. „password managerów”) – wtedy strata jednego hasła nie oznacza utraty dostępu do x miejsc, gdzie również go używamy lub do przechowywanych w nich danych. No i tam, gdzie tylko można, używać uwierzytelniania dwuskładnikowego.
Źródło: Sophos Labs
