Mi az adathalászat, és mik az árulkodó jelei? Hogyan kerüld el, hogy te akadj horogra? Olvasd el a Bluebird legújabb bejegyzését!
More...
A gyanútlan vagy gondatlan embert a digitális térben legalább annyi veszély fenyegeti, mint a valós világban. Többen utaznak az adataira, mint arról sejtelme lenne, és olyan információi is értékesek lehetnek valakinek, amelyekről nem is gondolná. Az adathalászatra egész iparág épült, de a veszély nagy részét némi odafigyeléssel elkerülhetjük.
Adathalászat - adat, mint érték
A 21. század harmadik évtizedében, az egyre gyorsuló ütemben digitalizálódó világban az adat lett az egyik, vagy talán a legértékesebb vagyonelem. Az adat pedig annál kívánatosabb, minél inkább titkolni kívánja valaki: üzleti tervek, személyes információk, egészségügyi adatok, jelszavak, és a sor még hosszan folytathatnánk. Az adatok lehetnek önmagukban is értékesek (tervek, szabadalmak, egyebek), de kiindulási pontot is jelenthetnek más, nagyobb károkat okozó támadások számára (például bejelentkezési azonosítók és jelszavak).
Ha pedig valami ennyire értékes, azt sokan próbálják ellopni is. A számítógépek és internet soha nem látott lehetőségeket nyitott ezen a téren a bűnözők előtt, hiszen digitális formában tárolt adatokat úgy lehet eltulajdonítani, hogy az megmarad az eredeti helyén is. Így a tulajdonos talán észre sem veszi, hogy meglopták.
Hogyan zajlik az adathalászat?
A digitális információk ellopásának egyik leggyakoribb módja a phishing, vagyis az adathalászat. Ez a kibertámadási mód alapvetően a felhasználó megtévesztésén alapul és a legtöbb esetben igényli is az aktív közreműködését. A tipikus támadás úgy zajlik, hogy a csaló egy megbízhatónak gondolt személy vagy szervezet nevében e-mailt küld. Ebben többnyire vagy egy link van, amire kattintani kell, vagy egy csatolmányt, aminek a letöltésére vagy megnyitására szólít fel a levél. A link egy hamis, de az eredeti „hivatalos” oldalra nagyon hasonlító weboldalra vezet, ahol a bejelentkezési vagy személyes adatainkat próbálják meg begyűjteni. Az átküldött csatolmány pedig rendszerint valamilyen számítógépes kártevőt, például zsarolóvírust rejt – a dokumentum letöltésével vagy megnyitásával a felhasználó már meg is fertőzte saját gépét.
Az adathalászat veszélyeinek gyakorlatilag minden cég ki van téve. 2020-ban a világ vállalatainak 75 százaléka már volt célpontja phishingnek, az amerikai cégeket érintő adathalász támadások 74 százaléka pedig sikerrel is járt. Az adatvesztéssel járó támadások 22 százalékát adathalászat előzte meg.
Adathalászat felismerése - gyakorlati példák
Az ember félelmére, hiszékenységre vagy jóhiszeműségre alapozni már évezredek óta virágzó üzlet. Hogyan működik ez az adathalászat esetén? Nézzünk meg pár tipikus példát!
Jön egy e-mail (látszólag) a bankunktól. Az üzenet szerint valaki visszaélt a bankkártyánkkal/bankszámlánkkal, ezért arra kérnek, hogy a megadott linket követve adjuk meg adatainkat (személyes információk, bankszámlaszám, kártyaadatok, bármi). Ennek segítségével ellenőrizni tudják személyazonosságunkat.
Levelet kapunk valamelyik online tartalomszolgáltatótól (Spotify, Netflix), hogy hamarosan lejár az előfizetésünk. A folytatáshoz legyünk szívesek megadni a bankkártyánk adatait.
Értesítés jön a Google-től vagy más online szolgáltatótól, hogy betörtek a rendszerükbe és felhasználói azonosítókat loptak. Legyünk szívesek ezért követni a megadott linket, és ott lecserélni a jelszavunkat. Ehhez persze meg kell adni a régit is. (A csaláshoz leggyakrabban felhasznált cégek között a Microsoft vezet, de az élmezőnyben található a LinkedIn, az Amazon vagy a Zoom is.)
Levelet küld a céges rendszergazda, hogy frissítették a biztonsági szoftvert, ezért cseréljük le a vállalati jelszavunkat a belinkelt oldalon.
Az adathalász üzenetek a legtöbb esetben valamilyen félelemre játszanak rá: feltörték az online fiókodat, veszélyben vannak az adatait, a pénzed, a számítógéped. Ezekhez az utóbbi időben a pandémiával kapcsolatos információk is társultak.
Az ijesztés után jön a felszólítás: cselekedj azonnal, hogy megelőzd a nagyobb bajt: telepítsd ezt a programot, kattints erre a linkre, add meg az adataidat. Az ijedt, pánikba esett ember hajlamos kapkodni és nem gondolkodni (különösen, ha hihetőnek tűnik az üzenet), engedelmeskedik a kérésnek, és ezzel már bele is esett a csapdába.
Az adathalászok kezébe jutott adatait aztán a bűnözők vagy eladják vagy újabb, kifinomultabb támadások előkészítésére használják fel. A legtöbb adathalász támadás e-mailben érkezik, de jöhetnek az üzenetek közösségi médián keresztül vagy akár sms-ben is.
Támadások fajtái adathalászat során
Ahogy az adathalászat során megszerezni kívánt adatok köre, úgy a támadások fajtái is igen változatosak lehetnek.
Egyszerű phishing
Ezt a változatot a nyílt tengeri hálós halászathoz lehetne hasonlítani. Az adathalász megírja a becsapós e-mailt, elkészíti a hamis weboldalt. Ezt követően kidobja a hálót, azaz elküldi a lehető legtöbb címzettnek, azt remélve, hogy minél többen akadnak bele. Ez nem különösebben célzott támadás, így viszonylag könnyű észrevenni – miért is kapnánk levelet egy olyan banktól vagy szolgáltatótól, amelynek nem vagyunk ügyfelei?
Spear phishing
Leginkább talán szigonyos halászatnak fordíthatnánk. Itt már nem vaktában dobják ki a hálót, hanem megkeresik a célszemély(eke)t (például egy adott bank ügyfeleit), és nekik címzik a levelet, rájuk szabják az üzenetet. Ezekben az adathalász üzenetek már tartalmazhatnak olyan információkat (cégnév, pozíció, stb), illetve hivatkozhatnak olyan személyekre, cégekre, akik és amelyek alkalmasak lehetnek a gyanakvás elaltatására. Ezáltal a célszemély könnyebben rávehető arra, hogy teljesítse a kiberbűnözők kérését.
Whaling
Azaz bálnavadászat, amikor az igazán nagy halakra utaznak az adathalászok (mielőtt bárki megjegyezné: igen, tudjuk, hogy a bálna nem hal…). A bálna ez esetben egy vállalat, szervezet valamely felső vezetője (CEO, CFO, stb) lehet, aki hozzáfér különösen bizalmas vállalati adatokhoz, illetve olyan dolgokat tehet meg, amelyeket alacsonyabb beosztású kollégák nem. Őket kétféle módon is felhasználják: vagy tőlük próbálnak adatokat szerezni vagy a nevükben írnak leveleket, hogy az alkalmazott haptákba vágja magát és kérdés nélkül teljesítse az utasítást. Emiatt az ilyen támadások különösen veszélyesek, annál is inkább, mert többnyire nagyon kifinomultak. A célszemély és környezete alapos feltérképezése után indítják el őket, hogy minél hihetőbb legyen az egész.
Vishing
Itt a szó eleji v betű a voice-ra, azaz a hangra utal, mert hogy adathalász támadásokat telefonon keresztül is elkövetnek. Jön egy hívás egy valódinak látszó (hallatszó) egyéntől és személyes információkat kér tőlünk – mondjuk egy banki ügyintéző akarja egyeztetni az adatainkat. De pontosan ezen az elven működik a Magyarországon elterjedt „unokázós csalás” is, csak ott egyből pénzt kérnek az állítólag bajba jutott unoka kisegítésére.
Smishing
Vagyis sms-ben elkövetett adathalászat. Az üzenetben rendszerint egy kattintható link van, ami szintén egy adathalász weboldalra vezet.
Az adathalászat árulkodó jelei
Minél kifinomultabb egy adathalász támadás, annál nehezebb észrevenni és védekezni ellene. Azonban mindig vannak árulkodó jelek, amelyek felkelthetik a gyanakvásunkat, illetve egyszerű módszerek, amelyekkel meggyőződhetünk az üzenetek hitelességéről.
Ismeretlen feladótól érkező üzenet
Miért kérne tőlünk valamit egy olyan személy, akivel eddig még semmilyen kapcsolatban nem voltunk? Viszonylag könnyen (ha nem is 100 százalékig biztosan) ellenőrizhetjük ezeket a címeket: másoljuk át a keresőbe, esetleg írjuk mellé, hogy „phishing”, „scam” vagy „hacking”. Ha ismert adathalász feladóról van szó, szinte biztosan kapunk találatot, amely megerősíti a gyanúnkat. Az is gyanús, ha a céges e-mailre kapunk olyan cégtől levelet, amelyikkel magánszemélyként állunk kapcsolatban és a magán címünkről levelezünk velük. (Ugyanez igaz fordítva is.)
Furcsa email-cím
Hitelesnek látszik a levél, létezik a feladó is és a cég, amelyiknek dolgozik, de valami nem stimmel a feladó címével. Más a végződése: @bank.hu helyett @bank.com, vagy éppen fordítva, a megszokott .com-os cím helyett egy országdomain szerepel a pont után. Aldomain szerepel a címben: @bank.hu helyett a @hitelezes.bank.hu vagy a @ext.bank.hu címről kapjuk a levelet. Különösen gyanús, ha egy cég nevében eljáró személy nyilvános szolgáltató (Gmail, stb) címét használja. Lehet betűcsere a címben: @telekom.hu helyett @telek0m.hu.
Nyelvezet
A magyar nyelv viszonylag sokáig védte a hazai felhasználókat az adathalász támadások ellen. Az angol vagy más nyelvű levelek kapásból feltűnőbbek. Egy online fordítóval elkészített, nyelvtani és stiláris hibáktól hemzsegő üzenetről pedig messziről ordít, hogy csalás van mögötte. Manapság azonban már egészen jól fogalmazott magyar nyelvű adathalász e-mailek is készülnek, leginkább bankok nevében. Ettől még gyanússá teheti a nem hivatalos nyelvezet, a veszély eltúlzása, a szokatlan sürgetés.
Általánosságok
Amikor egy cég vagy szolgáltató, amellyel régóta kapcsolatban állsz, úgy kezdi a levelet, hogy „Tisztelt Cím!” vagy „Kedves vásárlónk!”, majd úgy írja alá, mint „Az ön bankja”, akkor elgondolkodtató, hogy miért nem tudják ennél személyesebbé tenni a levelet.
Némi óvatossággal azokat a webhelyeket is felismerhetjük, ahova az adathalász levelek próbálnak bennünket átirányítani. Itt is a szokatlan jelekre kell figyelnünk.
Rosszul írt webcím
Ahogy a feladó e-mail-címében, itt is lehetnek apró eltérések. Hozzátesznek egy szót a hivatalos címhez, kicserélnek egy betűt másra (1-est használnak l helyett, q-t a g-t helyett, és így tovább). Különösen figyelni kell a rövidített webcímekre (bit.ly), mert azok mögött bármit el lehet rejteni.
Nem biztonságos kapcsolat
Ha egy cég a személyes adatainkra kíváncsi, akkor az csak biztonságos kapcsolaton keresztül teszi, vagyis a webcím előtt https:// szerepel. Ha a belinkelt weboldal nem biztonságos kapcsolatot kínál (http://), akkor inkább semmilyen adatot ne adjunk meg rajta.
Nem hivatalos kinézet
Ismét csak az, ami az emailek-nél: ha valami furcsát tapasztalunk, kezdjünk gyanakodni. Ha vörös nagybetűkkel írják ki az oldal közepére, hogy „VESZÉLYBEN VANNAK AZ ADATAI!!”, azt aligha az eredeti cég tette ki.
Mindezeken kívül leginkább a józan eszünkre hagyatkozhatunk. Ne töltsünk le és ne nyissunk meg gondolkodás nélkül szokatlan csatolmányokat, még akkor sem, ha látszólag megbízható feladótól jött (az ő e-mail-címét is felhasználhatták a csalásra).
Gyanakodjunk, ha egy üzenet, kérés nem a megszokott csatornán érkezik. Ha cégen belül keres meg bennünket valaki egy szokatlannak tűnő kéréssel, inkább hívjuk fel az illetőt, és kérdezzük meg, tőle jött-e a levél. Tegyük ezt meg akkor is, ha a főnökünkről van szó: inkább egy enyhe letolás, mint, hogy elutaljunk egy csalónak több tízmillió forintot (lásd példáinkat).
A legnagyobb adathalász támadások
Az alábbi példák megmutatják, hogy az adathalászat milyen sokféle célra használható, és hogy még a legnagyobbak sem immunisak ellene.
1. Sony
2014-ben, a LinkedIn-ről begyűjtött neveket és email-címeket felhasználva célzott (spear) adathalász levél ment ki számos Sony alkalmazottnak, köztük a vezérigazgatónak. Nem csak bejelentkezési azonosítókat szereztek így, hanem kártevőket is bejuttattak a Sony rendszerébe. A végén összesen több mint 100 terabájt információt loptak el a cégtől, köztük belső levelezést, személyes adatokat, illetve még be nem mutatott filmeket. Az okozott kárt 80-100 millió dollárra becsülik.
2. Facebook és Google
A két céget ugyanaz az ember, a litván Evaldas Rimasauskas tréfálta meg, már ha tréfának lehet nevezni egy olyan csalást, amely 90-100 millió dollárral károsította meg a techvilág két óriását. Az illető kikutatott egy tajvani céget, amely mind a két vállalatnak beszállítója volt, majd a nevében hamis, de abszolút eredetinek látszó számlákat küldött, csatolva hozzá minden szükséges dokumentációt. Több éven át folytatta az üzelmeit, de később elkapták, kiadták az USA-nak, ahol most ötéves börtönbüntetését tölti.
3. Crelan Bank
2016-ban a belga Crelan Bank esett áldozatául egy gondosan kitervelt célzott adathalász támadásnak. A támadó a cég vezérigazgatójának nevében küldött egy emailt az egyik alkalmazottnak, és utasította, hogy utaljon át pénzt a levélben megnevezett számlára – ami persze a kiberbűnözőé volt. Az átutalt pénz pontos összegét nem hozták nyilvánosságra, de a cég később megerősítette, hogy a támadás összességében 75,6 millió dolláros kárt okozott.
4. FACC
Szintén 2016-ban történt, hogy az osztrák légiipari beszállító, a FACC egyik alkalmazottja kapott egy levelet, amelyben a cég vezérigazgatója (látszólag) arra kérte, utaljon át 42 millió eurót egy felvásárlási projekt részeként. Az alkalmazott nem vette észre a csalást és átutalta a pénzt. Valószínűleg nem csak ő volt a hibás: erre utal, hogy a belső vizsgálatot követően mind a vezérigazgatót, mind a pénzügyi vezetőt kirúgták a cégtől.
+1: Colonial Pipeline
Jól emlékezhetünk még, amikor idén májusban az USA keleti partján megbénult az üzemanyag-ellátás, mert az egyik meghatározó nagykereskedőt, a Colonial Pipeline-t zsarolóvírus-támadás érte. A zsarolóvírust viszont minden valószínűség szerint egy adathalász támadás során megszerzett jelszóval tudták bejuttatni a vállalat rendszereibe. A cég végül „csak” 4,4 millió dollárt fizetett ki a támadóknak, de az ellátási nehézségek és az ennek nyomán egekbe szökő üzemanyag-árak felbecsülhetetlen költséget jelentettek az amerikai gazdaságnak.
Az adathalászaton kívül még milyen veszélyek leselkedhetnek a felhasználókra? Tudd meg A kibertér veszélyeiről szóló cikkünkből!
Ha a blogbejegyzéseinkről mindig elsőként akarsz értesülni, kövess minket LinkedInen és Facebookon is!
