Michał Rosiak 
Sieciowi przestępcy potrafią nawet mnie czasami zaskoczyć. I nie chodzi o ich nowe, wyrafinowane techniki oszustw - tu akurat wszyscy w CERT Orange Polska mamy otwarte umysły i spodziewamy się wszystkiego. Ale powrót do pomysłów na phishing starych, siermiężnych i - wydawać by się mogło - do bólu ogranych?
Spójrzcie na tego maila i zastanówcie się, czy wszystko jest z nim w porządku:
Zastanowiliście się już, macie parę pomysłów? Ja już na pierwszy rzut oka widzę przynajmniej cztery elementy, wprowadzające dysonans. Nie będę zatem powoli wprowadzał Was w dramatyczną atmosferę, bo przecież - na litość! - ten mail śmi... tzn. pachnie niezbyt szlachetnym zapachem prostackiego phishingu. Tymczasem na nieco ponad 2500 takich maili, które "zapodziały" się w naszej sieci, 16 osób kliknęło w link! Na szczęście nie zobaczyło takiego ekranu:
tylko ostrzeżenie z CyberTarczy, że byli bliscy dania się oszukać przez phishing.
Tylko 16, czy aż 16?
16 na 2500. 0,64%. Tylko tyle, czy aż tyle? Faktycznie tak nikły odsetek dowodzi, że akurat ten wektor ataku faktycznie już się internautom opatrzył. Na bardziej wyrafinowane socjotechniczny phishing potrafi się złapać nawet kilkanaście procent osób! Co więcej, to wyniki badań, dotyczących ransomware. Zakładając 10 tysięcy wysłanych maili i nawet 10-procentową skuteczność, mamy 1000 osób, od których przestępcy będą chcieli załóżmy po 1000 dolarów w bitcoinach. Z tej grupy zapłaci 20% (dlaczego tyle? - przeczytajcie relację z konferencji Confidence) czyli mamy 200 tysięcy dolarów.
"Gdzie 200 tysięcy dolarów, a gdzie głupie 16 loginów i haseł?! Co to w ogóle za porównanie!". Pewnie znajdzie się wśród Was parę osób, które tak pomyśli. I nawet się z nimi zgodzę, ale... nie do końca. Każdy sposób, który działa - jest dobry. 16 osób, które kliknęły w tego maila to 16 przejętych kont np. Mój Orange, ale też wszelkich innych, do których używacie takich samych haseł. W tej sytuacji wyjątkowa nieostrożność może doprowadzić do utraty dostępu do konta pocztowego, do serwisów społecznościowych, a nawet (błagam, nie robicie tak, prawda?) do banku.
W całej tej sytuacji zobaczyłem jednak nawet nie promyk, ale całkiem wyraźne ognisko nadziei. Z formularza na stronie CERT Orange Polska dostaliśmy co najmniej kilkanaście pytań, trochę trafiło służbowym mailem, kilka dostałem nawet ja od znajomych. Każdy wysyłał nam screenshota tego maila z pytaniem: "Ej, to chyba nie Wasze, co? Wygląda jak phishing!". Super sprawa! I choć nie będę chwalił dnia, bo w tej materii słońce nigdy nie zajdzie, ta sytuacja natchnęła mnie sporym optymizmem. Przestajemy robić pewne rzeczy automatycznie, decydujemy się na poświęcenie chwili i nawet szybką, "po łebkach" analizę tego, co do nas dotarło. I co jeszcze lepsze - nie mając pewności, piszemy do CERTu z prośbą o potwierdzenie.
Wspaniała sprawa, jestem z Was dumny, bo widzę, że moja robota ma sens.
Wpadniecie na Safer Internet?
Macie jakieś plany na początek przyszłego tygodnia? Interesuje Was tematyka bezpieczeństwa dzieci w internecie? Możecie sobie pozwolić na przynajmniej zerkanie (i słuchanie) konferencji online przez kilka godzin w poniedziałek i wtorek? Jeśli na wszystkie te pytanie odpowiedzieliście pozytywnie, polecam Wam zarejestrowanie się na 15. międzynarodową konferencję "Bezpieczeństwo dzieci i młodzieży w internecie", potocznie nazywaną Safer Internet, której głównym partnerem od początku jest Fundacja Orange. Sam jestem jej gościem (kilka razy z prezentacją) od przeszło dekady i za każdy razem trafiałem na sporo bardzo ciekawych i wartościowych treści. Warto "skorzystać z pandemii", jakby to dziwnie nie zabrzmiało. W przypadku konferencji stacjonarnej liczba miejsc jest siłą rzeczy ograniczona i trafiają na nie osoby zajmujące się zawodowo edukacją, czy ogólnie sprawami młodzieży. Naprawdę warto, a ja - już tradycyjnie - za tydzień opiszę na blogu moje wrażenia.
Kasia Barys 
Antonina Bojanowska 
Komentarze
Ciekawe w jakim wieku byli ludzie którzy „złapali” się na taki trik oszutów. Jesli mam być szczery to myślę że spory idsetek naszych rodziców 60+ by się dało złpać na takie oszustwo.
Odpowiedz