Co to jest spear phishing? Oszustwo precyzyjne

Spear phishing jest często wykorzystywany do ataków na podmioty wpływowe. Cyberprzestępcy starają się zaatakować osoby, które pracują na wysokich stanowiskach i takie, które mają dostęp do najważniejszych zasobów w przedsiębiorstwie. Mowa tu na przykład o ludziach na stanowiskach kierowniczych, ale nie tylko.

- Może to być pracownik działu księgowości, ze względu na przysługujący mu wgląd do informacji o sytuacji finansowej firmy i jej klientów. Ofiarami spear phishingu bywają też osoby odpowiedzialne za zarządzanie kadrami, ponieważ mają dostęp do wrażliwych danych personelu – wyjaśnia Jolanta Malak, dyrektor Fortinet w Polsce.

Dalsza część artykułu pod materiałem wideo

Po wytypowaniu ofiary, cyberprzestępcy zaczynają kolekcjonować najważniejsze informacje na jej temat. Zazwyczaj do tego celu służą im media społecznościowe. Po dokonaniu rekonesansu oszuści są w stanie przedstawić się jako zaufany znajomy ofiary. Następnym krokiem jest przesłanie do ofiary wiadomości, w której zawarto:

link do złośliwej strony, gdzie ofiara jest proszona o podanie swoich danych;link do złośliwego kodu, który pobierze na urządzenie złośliwe oprogramowanie;prośba o udostępnienie informacji, które są kluczowe dla atakującego i dotyczą m.in. kluczowych informacji na temat firmy lub kont ofiary w mediach społecznościowych.

Jednym z rodzajów spear phishingu jest whaling. Technika ta zakłada wycelowanie ataków w osoby na stanowisku kierowniczym. Przestępcy podszywają się za dyrektorów lub innych wysoko postawionych pracowników danej firmy, czasem mogą też podszywać się za dostawców.

- Osoby na stanowiskach kierowniczych wykazują mniejszą wrażliwość na cyberataki niż zwykli pracownicy. Wynika to z faktu, że często znajdują się one pod większą presją oraz mają do wykonania więcej zadań o krytycznym znaczeniu, co zmniejsza ich ogólną czujność – zauważa Jolanta Malak.

Zasady ochrony przed spear phishingiem nie różnią się specjalnie od tych, które należy stosować przy zwykłym phishingu. Warto mieć zainstalowane oprogramowanie antywirusowe i filtry antyspamowe. Wskazane jest prowadzenie w firmach szkoleń z zakresu cyberbezpieczeństwa, co powinno ułatwić rozpoznawanie prób oszustwa.

W przedsiębiorstwach powinna być wprowadzona procedura zgłaszania podejrzanych wiadomości. Dodatkowym sposobem na walkę ze spear phishingiem może być na przykład uwierzytelnianie wieloskładnikowe – ten rodzaj ochrony znacząco utrudnia przejęcie cudzego konta. Nic nie zastąpi jednak ostrożności pracownika i jego zdrowego rozsądku. Należy pamiętać, że najważniejszych informacji firmowych nie powinno udostępniać się za pośrednictwem wiadomości e-mail lub komunikatorów internetowych. Należy też unikać podejrzanych linków i załączników.