Phishing poza mailem: jak rozpoznać atak przez SMS, telefon, kod QR lub komunikator?

W skrócie: filtr pocztowy nie zatrzyma telefonu od osoby podszywającej się pod bank, fałszywego kodu QR ani wiadomości z przejętego komunikatora. Pracownik powinien rozpoznawać nie tylko wygląd wiadomości, lecz także próbę ominięcia firmowej procedury. Firma potrzebuje do tego prostego sposobu weryfikacji i jednego, dobrze znanego kanału zgłoszeń. Zobacz dwie lekcje kursu bez logowania.

Firmowa poczta może być dobrze zabezpieczona, a mimo to pracownik dostanie fałszywą prośbę na prywatny telefon, podczas rozmowy albo po zeskanowaniu naklejki przy urządzeniu w biurze. Wtedy filtr antyspamowy nie ma czego analizować.

Krótkie nagranie powyżej pokazuje cztery takie sytuacje. W artykule skupiamy się na drugiej stronie problemu: dlaczego zabezpieczenia poczty ich nie widzą, jak ułożyć procedurę dla różnych kanałów i co powinno trafić do zgłoszenia incydentu.

Dlaczego filtr pocztowy nie wystarczy?

Bramka pocztowa może sprawdzić domenę nadawcy, odnośniki i załączniki. Działa jednak tylko na tym, co przechodzi przez firmową skrzynkę. Nie widzi rozmowy telefonicznej, wiadomości na prywatnym smartfonie ani naklejki z kodem QR przy ekspresie lub drukarce.

To samo dotyczy komunikatorów. Wiadomość może przyjść z prawdziwego konta współpracownika, które ktoś wcześniej przejął. Technicznie nadawcą jest wtedy znane konto. Organizacyjnie nadal mamy do czynienia z próbą wyłudzenia danych, pieniędzy albo dostępu.

Powstaje luka między systemami. Zespół IT chroni pocztę, lecz służbowa decyzja przenosi się na telefon, komunikator lub prywatne urządzenie. Atakujący nie musi pokonać filtra, jeśli przekona pracownika, żeby ominął zwykły obieg akceptacji.

Dlatego brak ostrzeżenia w skrzynce nie potwierdza wiarygodności prośby. Ważniejsze pytanie brzmi: czy ktoś próbuje skrócić albo ominąć sposób, w jaki firma zwykle zatwierdza tę czynność?

Jakie formy przybiera phishing poza pocztą?

Nazwy brzmią technicznie, ale opisują znane sytuacje.

Smishing to phishing prowadzony przez SMS. Wiadomość ma skłonić odbiorcę do otwarcia odnośnika, podania danych albo kontaktu pod wskazanym numerem. Z punktu widzenia firmy najważniejsze jest ustalenie, czy pracownik ma wykonywać służbowe działania na podstawie wiadomości otrzymanej na prywatny telefon.

Vishing to phishing głosowy, najczęściej przez telefon. Rozmówca może podawać się za bank, dostawcę, przełożonego albo pracownika działu IT. Głos i rozmowa w czasie rzeczywistym utrudniają spokojne sprawdzenie prośby, bo osoba dzwoniąca narzuca tempo oraz oczekuje natychmiastowych odpowiedzi.

Quishing wykorzystuje kod QR, aby skierować odbiorcę na fałszywą stronę. Sam kod zasłania adres docelowy, a telefon pokazuje go na małym ekranie. W biurze dodatkowym sygnałem powinien być nieznany wydruk lub naklejka, zwłaszcza jeśli rzekomo informuje o zmianie systemu logowania.

Phishing przez komunikator nie potrzebuje osobnej nazwy, żeby był skuteczny. Krótka prośba o plik, kod albo przelew pasuje do codziennej rozmowy. Jeśli pochodzi z przejętego konta, może też pojawić się obok prawdziwej historii wcześniejszych wiadomości.

Wideo pokazuje, jak te kanały wyglądają w praktyce. Dla firmy ważniejszy jest wspólny mianownik: każdy z nich może przenieść decyzję poza miejsce, w którym działają zwykłe zabezpieczenia.

Dlaczego telefon i komunikator osłabiają ostrożność?

Mail można zostawić na chwilę i obejrzeć później. Rozmowa telefoniczna wymaga reakcji teraz. Dzwoniący zadaje kolejne pytania, powołuje się na pilną sprawę i nie daje odbiorcy czasu na porównanie informacji z procedurą.

W komunikatorze działa inny mechanizm: zaufanie do relacji. Zdjęcie, nazwa konta i historia rozmowy wyglądają znajomo. Odbiorca sprawdza więc treść mniej dokładnie niż wiadomość od obcej osoby. Samo konto potwierdza, skąd przyszła wiadomość, ale nie potwierdza, kto w danej chwili je obsługuje.

Smartfon dokłada ograniczenia małego ekranu. Pełny adres strony może być schowany, a przejście z SMS-a do przeglądarki trwa sekundę. To wystarczy, żeby pracownik potraktował otwartą stronę jak naturalną część rozmowy, zamiast jak osobny punkt wymagający kontroli.

Szkolenie nie powinno więc sprowadzać się do szukania literówek w mailu. Pracownik musi rozumieć presję, zmianę kanału i prośbę o wyjątek od reguły.

Jak rozpoznać atak bez podejrzanego maila?

Wygląd wiadomości bywa mylący. Procedura daje lepszy punkt odniesienia. Podejrzenie powinny wzbudzić zwłaszcza sytuacje, w których ktoś:

• prosi o działanie inne niż zwykle, na przykład o akceptację przelewu w komunikatorze zamiast w systemie finansowym,
• przenosi rozmowę na nowy kanał i odradza kontakt z innymi osobami,
• żąda hasła, kodu logowania, instalacji programu lub uruchomienia zdalnego dostępu,
• wywołuje presję przez rzekomą awarię, blokadę konta albo pilne polecenie przełożonego,
• podaje numer telefonu lub odnośnik, którego odbiorca ma użyć do „weryfikacji”,
• reaguje niechęcią na propozycję oddzwonienia pod znany numer albo potwierdzenia prośby w firmowym systemie.

Pojedynczy sygnał nie rozstrzyga, że trwa atak. Wystarczy jednak, żeby przerwać czynność i sprawdzić ją niezależnie. Pracownik nie ma prowadzić dochodzenia. Ma zauważyć odstępstwo i bezpiecznie przekazać sprawę dalej.

Jak powinna wyglądać firmowa procedura zgłoszeń?

Procedura musi działać również wtedy, gdy pracownik jest zdenerwowany i korzysta tylko z telefonu. Jeśli instrukcja zajmuje kilka stron albo wymaga wyboru między pięcioma adresami, w praktyce trafi do niej dopiero po incydencie.

Dobra wersja mieści się w czterech krokach:

1. Przerwij działanie. Nie otwieraj kolejnego odnośnika, nie podawaj danych i nie zatwierdzaj operacji.
2. Zachowaj ślad. Zrób zrzut ekranu, zapisz numer telefonu, nazwę konta, godzinę rozmowy albo sfotografuj podejrzaną naklejkę.
3. Sprawdź innym kanałem. Użyj numeru z firmowej książki kontaktów, strony banku wpisanej ręcznie albo znanego systemu wewnętrznego. Nie korzystaj z danych podanych w podejrzanej wiadomości.
4. Zgłoś w jednym ustalonym miejscu. Może to być adres zespołu IT, przycisk w poczcie, numer alarmowy lub kanał w firmowym komunikatorze. Ważne, aby każda osoba wiedziała, który kanał jest właściwy.

Firma powinna wyraźnie powiedzieć, że zgłoszenie podejrzenia nie jest oskarżeniem ani przyznaniem się do błędu. Pracownik przekazuje obserwację. Zespół odpowiedzialny za bezpieczeństwo ocenia, czy trzeba blokować konto, ostrzec inne osoby lub wykonać dalsze czynności.

To podejście skraca czas reakcji. Usuwa też częsty hamulec: obawę, że zgłoszenie okaże się fałszywym alarmem.

Co powinno zawierać dobre zgłoszenie incydentu?

Zespół IT nie potrzebuje długiego opisu. Potrzebuje informacji, które pozwolą odtworzyć sytuację i ocenić jej zasięg:

• kiedy i jakim kanałem przyszła prośba,
• z jakiego numeru, konta lub profilu,
• czego oczekiwał nadawca,
• zrzutu ekranu, zdjęcia albo treści wiadomości,
• informacji, czy pracownik kliknął, podał dane, zatwierdził logowanie, pobrał plik lub zainstalował aplikację,
• nazwy urządzenia albo konta, którego dotyczy zdarzenie.

Ostatni punkt jest szczególnie ważny. Zdanie „chyba nic się nie stało” nie pomaga w ocenie ryzyka. Konkretna informacja „otworzyłem stronę, ale nie wpisałem loginu” od razu zawęża zakres dalszych działań.

W procedurze powinien znaleźć się prosty wzór zgłoszenia. Pracownik nie musi wtedy zastanawiać się, co opisać, a zespół IT dostaje porównywalne informacje niezależnie od tego, czy zdarzenie zaczęło się od SMS-a, rozmowy czy kodu QR.

Co zrobić, jeśli pracownik już kliknął lub podał dane?

Najgorszą reakcją jest czekanie do końca dnia. Szybkie, szczere zgłoszenie daje zespołowi IT szansę ograniczyć skutki.

Zakres reakcji zależy od wykonanej czynności:

• po samym otwarciu strony należy ją zamknąć, niczego nie wpisywać i zgłosić adres,
• po podaniu hasła trzeba zgłosić sprawę natychmiast i zmienić hasło z zaufanego urządzenia zgodnie z instrukcją firmy; zespół IT może zakończyć aktywne sesje,
• po przekazaniu kodu lub zatwierdzeniu logowania trzeba powiedzieć dokładnie, które konto i operacja były objęte potwierdzeniem,
• po instalacji aplikacji albo uruchomieniu zdalnego dostępu należy przerwać połączenie sieciowe urządzenia i skontaktować się z IT; nie wolno samodzielnie usuwać śladów,
• po podaniu danych karty lub zleceniu przelewu trzeba równolegle zawiadomić bank przez oficjalny numer kontaktowy.

Nie każda pomyłka kończy się naruszeniem. Ukrywanie jej niemal zawsze utrudnia reakcję. Dlatego komunikat dla pracowników powinien brzmieć jasno: zgłoś od razu, nawet jeśli nie masz pewności, co dokładnie się wydarzyło.

Jak szkolić pracowników z phishingu poza mailem?

Jednorazowa prezentacja o podejrzanych mailach nie przygotuje zespołu na rozmowę z „bankiem” ani kod QR przy urządzeniu. Ćwiczenia powinny zmieniać kanał, ale zachowywać ten sam punkt decyzyjny: zatrzymanie, niezależna weryfikacja i zgłoszenie.

W praktyce warto sprawdzić trzy umiejętności. Czy pracownik rozpoznaje próbę ominięcia procedury? Czy potrafi znaleźć bezpieczny kanał potwierdzenia? Czy wie, gdzie zgłosić zdarzenie i jakie informacje przekazać?

Takie szkolenie powinno korzystać z sytuacji podobnych do codziennej pracy, a nie wyłącznie z definicji. Innego przykładu potrzebuje księgowość, która zatwierdza płatności, innego recepcja odbierająca telefony, a jeszcze innego zespół pracujący głównie w komunikatorze.

Na stronie kursu „Cyberbezpieczeństwo dla pracowników i menedżerów” znajdziesz program szkolenia i warianty dostępu. Zanim podejmiesz decyzję, możesz przejść dwie pełne lekcje w demie bez logowania i sprawdzić sposób prowadzenia scenariuszy.

Podsumowanie

• Phishing może ominąć pocztę i pojawić się przez SMS, telefon, kod QR albo przejęte konto w komunikatorze.
• Filtr pocztowy nie analizuje prywatnego telefonu, rozmowy głosowej ani fizycznej naklejki w biurze.
• Punktem odniesienia jest firmowa procedura: nietypowa prośba lub próba jej ominięcia wymaga weryfikacji.
• Pracownik powinien znać jeden kanał zgłoszeń i prosty wzór informacji do przekazania.
• Po kliknięciu, podaniu danych lub instalacji programu liczy się natychmiastowe, dokładne zgłoszenie bez ukrywania pomyłki.

Mail nadal jest ważnym kanałem ataku. Nie powinien jednak wyznaczać granic szkolenia. Jeśli pracownik potrafi rozpoznać mechanizm nacisku i wie, jak wrócić do bezpiecznej procedury, nazwa aplikacji przestaje mieć decydujące znaczenie.