Sukčiavimo laiškų atpažinimas Jūsų webmail pašte

2 modulis: Laiškų skaitymas · Skaitymo laikas: 10 min.

Mokymosi tikslas: Po šios pamokos atpažinsite sukčiavimo (phishing) laiško požymius, galėsite webmail pašte patikrinti, kur iš tikrųjų veda nuoroda ir kam iš tikrųjų nueis atsakymas, ir žinosite, ką daryti su įtartinu laišku ir ką daryti, jei vis dėlto spustelėjote.

Pagrindinės sąvokos: sukčiavimas (phishing), nuorodos tekstas, tikroji nuoroda, domeno vardas, subdomenas, panašus domenas (lookalike), Atsakymą gaus, įspėjimas apie įtartinus adresus, Pranešti apie brukalą, kitas kanalas

Kas yra sukčiavimas (phishing)

Sukčiavimo laiškas (phishing) yra laiškas, kuriuo bandoma Jus paskatinti padaryti tai, kas naudinga siuntėjui: prisijungti netikrame puslapyje, atlikti mokėjimą, atidaryti priedą arba atsiųsti savo duomenis. Žodis kilęs iš angliško fishing (žvejyba): užpuolikas užmeta meškerę ir laukia, kas užkibs.

Dauguma sukčiavimo atvejų nukreipti ne į Jūsų kompiuterį, o į Jus. Viruso dažnai visai nėra. Laiškas tik nori, kad Jūs patys ką nors padarytumėte. Todėl antivirusinė programa padeda tik iš dalies, o gudrybių žinojimas padeda iš tikrųjų.

Nuolatinės sudedamosios dalys

Beveik kiekviename sukčiavimo laiške naudojama viena ar kelios iš šių priemonių:

• Skuba: "per 24 valandas", "dar šiandien", "paskutinis priminimas". Kas skuba, tas mažiau tikrina.
• Grasinimas: Jūsų pašto dėžutė bus uždaryta, Jūsų domeno galiojimas baigiasi, yra neapmokėtas tiesioginis debetas, Jūsų siunta grąžinama.
• Atlygis arba smalsumas: pinigų grąžinimas, bendrinamas dokumentas, balso pranešimas.
• Mygtukas arba nuoroda į puslapį, kuris atrodo kaip Jūsų banko, paslaugų teikėjo ar Jūsų webmail puslapis.
• Siuntėjas arba domenas, kuris beveik sutampa.
• Kitoks atsakymo adresas, kad Jūsų atsakymas pasiektų sukčių.

Laiškas, kuriame yra ir skuba, ir nuoroda į prisijungimo puslapį, visada vertas antro žvilgsnio, net jei atrodo tvarkingai. Geri sukčiavimo laiškai kalbos klaidų nebeturi.

Nuorodos tekstas ir tikroji nuoroda

Laiške matomas tekstas ir adresas, į kurį veda nuoroda, yra du skirtingi dalykai. Laiško šaltinyje tai atrodo taip:

<a href="https://login.weboke.nl.account-check.example/inloggen">
  https://webmail.weboke.lt
</a>

Matote https://webmail.weboke.lt, bet pateksite visai kitu adresu. Kompiuteryje tai patikrinsite taip: užveskite pelę ant nuorodos ar mygtuko, bet nespauskite. Naršyklės lango apačioje pasirodys tikrasis adresas. Telefone ar planšetėje ilgai palaikykite nuorodą nuspaudę: atsiras meniu, kurio viršuje matysite adresą. Tada nesirinkite atidarymo.

Kaip skaityti interneto adresą

Tikrąjį adresą taip pat reikia mokėti gerai perskaityti. Žiūrėkite į dalį tarp https:// ir pirmojo po jo pasvirojo brūkšnio. Skaitykite ją iš dešinės į kairę: galūnė (.nl, .com, .example) ir prieš ją esantis žodis kartu sudaro domeno vardą. Būtent ši dalis ir svarbi.

• https://webmail.weboke.lt/ : domeno vardas yra weboke.nl. Prieš jį esanti dalis webmail paverčia jį subdomenu; jį gali sukurti tik weboke.nl savininkas.
• https://login.weboke.nl.account-check.example/inloggen : domeno vardas yra account-check.example. Viskas prieš jį ("login.weboke.nl") yra subdomenas, kurį užpuolikas pasirinko pats. Tai žinomiausia gudrybė.
• https://weboke-beveiliging.example/ : panašus domenas (lookalike). Jame yra žinomas pavadinimas, bet tai kitas domenas, kurį gali užregistruoti bet kas.
• https://www.example.com@account-check.example/ : viskas prieš @ ignoruojama; pateksite į account-check.example.

Yra ir domenų, kuriuose naudojamos raidžių gudrybės: skaitmuo 0 vietoj raidės o, rn vietoj m arba kitos abėcėlės raidės, kurios atrodo taip pat. Jei tokio skirtumo plika akimi nematote, padės slaptažodžių tvarkyklė: ji įrašo Jūsų slaptažodį tik tikrajame domene (pamoka 1.3).

Siuntėjas ir Atsakymą gaus

Pamokoje 2.2 matėte, kad rodomas vardas nieko neįrodo ir kad laukelyje Atsakymą gaus gali būti atskiras adresas. Sukčiaujant šie du dalykai dažnai pasitaiko kartu. Laiškas neva siunčiamas "WebOké Support" vardu, adresas yra support@weboke-beveiliging.example, o Atsakymą gaus nurodo nemokamą el. pašto adresą. Arba laiškas ateina iš tikrojo Jūsų direktoriaus adreso, bet Atsakymą gaus nurodo kitą domeną. Pastarąjį atvejį dažnai matysite CEO sukčiavimo atveju: tai "skubus mokėjimas", kurio direktorius neva prašo iš susitikimo.

Webmail šiek tiek padeda. Jei siuntėjo adrese yra ženklų, kurie atrodo kaip įprastos raidės, bet jomis nėra, webmail virš laiško rodo įspėjimą, kad laiške yra el. pašto adresų, kuriais galbūt negalima pasitikėti. Jei matote šį pranešimą, laikykite laišką įtartinu. Jei jo nematote, tai nieko nereiškia: dauguma sukčiavimo laiškų tiesiog naudoja kitą domeną.

Ir prisiminkite iš pamokos 2.2: laiškas, kuris sėkmingai praeina SPF, DKIM ir DMARC patikras, vis tiek gali būti sukčiavimo laiškas. Tokiu atveju užpuolikas naudoja savo paties tikrą domeną.

Ką daryti su įtartinu laišku

1. Nespauskite, neatsakykite, neatidarykite priedų. Net ir "tik pažiūrėti".
2. Patys eikite į svetainę. Ar laiškas susijęs su Jūsų banku, paslaugų teikėju ar siunta? Atidarykite svetainę ar programėlę taip, kaip darote visada: per žymelę arba patys įvesdami adresą. Jei ten nieko nėra, laiškas buvo netikras.
3. Kilus abejonių, paskambinkite numeriu, kurį jau turėjote, o ne numeriu iš laiško.
4. Praneškite apie laišką. WebOké webmail pašte tai daroma mygtuku Pranešti apie brukalą: laiškas siunčiamas WebOké šlamšto komandai ir perkeliamas į Jūsų aplanką Brukalas. Jei laiškas susijęs su Jūsų banku, persiųskite jį ir to banko pranešimų adresu. Lietuvoje apie sukčiavimą taip pat galite pranešti policijai per e. policiją (https://www.epolicija.lt/).
5. Įspėkite kolegas, jei laiškas buvo išsiųstas daugiau Jūsų organizacijos žmonių.

Vis dėlto spustelėjote ar prisijungėte?

Taip gali nutikti bet kam. Didžiausią skirtumą lemia greiti veiksmai.

• Nedelsdami pakeiskite slaptažodį iš įrenginio, kuriuo pasitikite, taip pat visose kitose vietose, kuriose naudojote tą patį slaptažodį.
• Įjunkite dviejų veiksmų patvirtinimą (pamoka 8.1).
• Patikrinkite, ar pašto dėžutėje nėra pėdsakų. Į pašto dėžutę patekę užpuolikai dažnai sukuria filtrą, kuris persiunčia ar paslepia laiškus, arba pakeičia laukelį Atsakymą gaus Jūsų tapatybėje. Patikrinkite skiltyse Nuostatos > Filtrai, Nuostatos > Tapatybės ir Ne biure, ar ten nėra ko nors, ko nesukūrėte patys.
• Įvedėte mokėjimo duomenis? Nedelsdami skambinkite į savo banką.
• Jūsų pašto dėžutė staiga siunčia šlamštą? Praneškite savo paslaugų teikėjui.

Praktiškai: kaip tai veikia webmail pašte

Webmail pašte užveskite pelę ant nuorodos, kad naršyklės apačioje pamatytumėte tikrąjį adresą. Spustelėję Išsamiau matysite siuntėjo adresą, o laiško rašymo lange matysite, kam nueis atsakymas. Mygtukas Pranešti apie brukalą yra virš laiško.

Paveikslėlyje matote langą, kuris atsiranda spustelėjus Pranešti apie brukalą. Roundcube vadove tai aprašyta skyriuje apie pranešimą apie brukalą mygtuku Pranešti apie brukalą. Kituose webmail paštuose, pavyzdžiui, Gmail ar Outlook.com, tai veikia panašiai: ten mygtukas gali vadintis, pavyzdžiui, Pranešti apie sukčiavimą arba Pranešti.

Santrauka

• Sukčiavimas pasitelkia skubą, grasinimus, nuorodą į netikrą puslapį ir beveik sutampantį siuntėją.
• Nuorodos tekstas ir tikroji nuoroda skiriasi: užveskite pelę arba telefone ilgai palaikykite nuspaudę.
• Domeno vardą skaitykite iš dešinės į kairę; viską, kas yra prieš jį, pasirenka to domeno savininkas.
• Atsakymą gaus su kitu domenu ir įspėjimas apie įtartinus adresus yra signalai; sėkminga DMARC patikra nieko neįrodo apie patikimumą.
• Nespauskite, patys eikite į svetainę, praneškite; jei vis dėlto spustelėjote: pakeiskite slaptažodį ir peržiūrėkite savo filtrus bei tapatybes.

Testas (quiz)

Užduotis

Užduotis A2.4: Įtartino laiško analizė. Medžiaga phishing-1.eml pateikta po šia užduotimi. Atidarykite ją kaip tekstą (pavyzdžiui, programoje Užrašinė ar TextEdit, o ne pašto programoje) ir suraskite antraštes From ir Reply-To bei adresą, į kurį veda turinyje esantis mygtukas (href). Įrašykite: tikrąjį siuntėjo domeną, domeną, į kurį iš tikrųjų veda mygtukas, Atsakymą gaus domeną, ir pasirinkite, ar pasitikite šiuo laišku. Programa palygins Jūsų atsakymus su atsakymų raktu ir prie kiekvieno klausimo parodys, kur faile galėjote tai rasti.

Platesniam skaitymui

Kur aprašyti veiksmai webmail pašte, jie taikomi WebOké webmail paštui; kituose webmail paštuose tai veikia panašiai.

• Roundcube Webmail 11.2: Pranešimas apie brukalą mygtuku „Pranešti apie brukalą“
• Ar šis el. laiškas tikrai iš WebOké? Kaip atpažinti sukčiavimą (phishing) ir panaudoti akcijos kodą
• Phishingo atpažinimas: kaip perskaityti nuorodą ir siuntėją
• Perimta pašto dėžutė arba nuo Jūsų adreso siunčiamas šlamštas: kaip susitvarkyti
• Nemokamas kursas „Saugus internetas verslininkams“ 1.2: Sukčiavimas (phishing), vadovo apgaulė ir sąskaitų faktūrų sukčiavimas
• Nemokamas kursas „Saugus internetas verslininkams“ 3.2: Domenų ir nuorodų skaitymas
• Nemokamas kursas „Saugus internetas verslininkams“ 3.5: Paspaudėte: ką daryti toliau?