Mityczni hackerzy, złośliwe oprogramowanie, kradzież haseł i w jej efekcie wyciek wrażliwych danych (albo pieniędzy z konta) – to tylko część szerokiego arsenału cyber-przestępców. Ostatnio po raz kolejny okazało się jednak, że największym zagrożeniem wciąż jest dla nas żywy człowiek. I nawet – jak pokazuje przykład urzędników z warszawskiego Metra – niekoniecznie będący wulkanem błyskotliwości i pomysłowości.
Powiecie być może, że opisywany w mediach przypadek, gdy Metro Warszawskie zostało oszukane na 560 tys. złotych nie ma wiele wspólnego z bezpieczeństwem teleinformatycznym. Analogii jest jednak sporo, bo tak naprawdę mamy do czynienia z wzorcowym phishingiem, tylko, że… bez komputera i kolejnym przykładem przenikania się światów online i offline. Każdy z nas (może prawie każdy) dostał kiedyś maila do złudzenia przypominającego oficjalną korespondencję, informującego o zmianach w systemach teleinformatycznych „firmy”, z której usług korzystamy, konieczności podania hasła pod rygorem wyłączenia naszego konta mailowego, a zdarzały się też przypadki bliźniacze do opisywanego przez media, gdy do użytkownika trafiała informacja o zmianie numeru konta. Zastanawiam się, jak to jest, że o ile jesteśmy coraz bardziej wyczuleni na takie przypadki, korzystając z komputera, to „offline” wciąż potrafimy być znacznie bardziej lekkomyślni. Czytając o tym, jak Metro złapało się na proste – wręcz prostackie – oszustwo, przypomniałem sobie fragment filmu „Kilerów 2-óch”, gdy Jose Arcadio Morales, którego Siara chce podstawić, by zamiast Kilera odebrał złoto z lotniska, mówi: „Szszszeeeeszcz Waldeeeg, szyszszedem pooo zoooto!”. Ci, którzy oglądali ten film, wiedzą, że głos był normalnie nie do odróżnienia od prawdziwego głosu Cezarego Pazury 🙂
Tymczasem wystarczyło chwilę się zastanowić nad treścią pisma, zamiast potraktować je mechanicznie. Tak, jak w przypadku spamu przyglądamy się (prawda, że się przyglądacie?) adresowi, z którego przyszedł, treści, sprawdzamy (bez klikania) linki, tak w tym przypadku wystarczyło po prostu… zadzwonić do domniemanego nadawcy. Warto o tym pamiętać, bowiem specyfika polskiego prawa, które wymaga, by informacje, dotyczącego tego typu przetargów były podawane do wiadomości publicznej, to wymarzona sytuacja dla tego typu przestępców i nie zdziwiłbym się, gdyby opisywana analogowa odmiana ataku Man-In-The-Middle była jedną z wielu, akurat w tym przypadku upublicznioną.
