Prijevare putem e-pošte postaju sve uvjerljivije. Zahvaljujući umjetnoj inteligenciji i zloupotrebi legitimnih digitalnih platformi, lažne poruke danas mogu izgledati profesionalno i gotovo identično službenoj komunikaciji.
Godinama su stručnjaci za kibernetičku sigurnost upozoravali korisnike da pripaze na gramatičke pogreške, provjeravaju poveznice i uključe dvofaktorsku autentifikaciju. Iako su te mjere i dalje važne, više nisu dovoljne za prepoznavanje svih prijetnji.
Današnje prijevare često ne sadrže očite pravopisne pogreške, a neke metode napada mogu zaobići i dvofaktorsku autentifikaciju. U nastavku donosimo četiri vrste prijevara na koje treba posebno obratiti pozornost.
1. Prijevare s QR kodovima skrivaju lažne stranice za prijavu
Korisnik prima poruku s upozorenjem da mu uskoro istječe lozinka za Microsoft 365 ili da mora hitno potpisati dokument putem DocuSigna.
Umjesto uobičajene poveznice, poruka sadrži QR kod koji treba skenirati mobilnim telefonom. Naizgled praktično rješenje zapravo može biti zamka.
Poslovna računala često su zaštićena vatrozidima i alatima koji provjeravaju poveznice. Kada korisnik skenira QR kod osobnim telefonom, može zaobići dio tih zaštitnih mehanizama. Kod ga zatim može odvesti na lažnu stranicu koja izgleda kao službeni portal za prijavu.
Ako neočekivani QR kod traži prijavu na poslovni račun, nemojte ga skenirati bez provjere. Umjesto toga ručno otvorite poznatu službenu stranicu ili aplikaciju i provjerite postoji li doista navedena obavijest.
2. ClickFix prijevara navodi korisnika da sam pokrene zlonamjernu naredbu
ClickFix je metoda napada koja iskorištava želju korisnika da brzo riješi navodni tehnički problem.
Nakon otvaranja dokumenta ili internetske stranice pojavljuje se poruka koja izgleda kao službena obavijest o pogrešci. Korisnik dobiva upute da pritisne Win + R, zalijepi sadržaj iz međuspremnika i pritisne Enter.
Problem je u tome što navodna pogreška ne postoji. Napadač je prethodno u međuspremnik kopirao zlonamjernu naredbu, a korisnik je pokreće sam, slijedeći upute koje izgledaju uvjerljivo.
Nikada nemojte kopirati naredbe s nepoznate internetske stranice i pokretati ih na računalu. Ako stranica tvrdi da morate izvršiti određenu naredbu kako biste otvorili dokument ili potvrdili svoj identitet, prekinite postupak i provjerite situaciju s IT podrškom.
3. Lažne stranice za prijavu mogu zaobići dvofaktorsku autentifikaciju
Dvofaktorska autentifikacija (2FA) važan je sloj zaštite, ali ne pruža apsolutnu sigurnost. Napadi poznati kao Adversary-in-the-Middle (AiTM), odnosno napadi posrednika, mogu napadačima omogućiti krađu podataka o aktivnoj korisničkoj sesiji.
Lažna stranica izgleda gotovo identično službenom portalu kompanije. Korisnik upisuje korisničko ime i lozinku, a zatim i jednokratni sigurnosni kod.
Napadačka stranica te podatke u stvarnom vremenu prosljeđuje pravoj usluzi. Ako je prijava uspješna, napadač može ukrasti kolačić sesije i tako pristupiti računu bez ponovnog unosa lozinke ili sigurnosnog koda.
U takvom scenariju dvofaktorska autentifikacija može ispravno funkcionirati, a da napad ipak uspije.
Zato prije prijave uvijek provjerite domenu u adresnoj traci preglednika i nemojte otvarati stranice za prijavu putem neočekivanih poruka. Dodatnu zaštitu pružaju sigurnosni ključevi i autentifikacija otporna na krađu identiteta, primjerice FIDO2.
4. Lažne poruke mogu stizati i s legitimnih platformi
Poruka koja dolazi s poznate platforme ne mora nužno biti vjerodostojna. Napadači mogu zloupotrijebiti legitimne usluge za slanje računa i obavijesti, primjerice putem platformi kao što su QuickBooks, PayPal ili Google Workspace.
U takvim slučajevima poruka može biti poslana s prave domene i proći dio filtara za neželjenu poštu. Zbog toga je teže prepoznati da se radi o prijevari.
Lažni račun može sadržavati ime primatelja, broj narudžbe i telefonski broj navodne službe za podršku. Međutim, poziv na navedeni broj može korisnika izravno povezati s prevarantom, koji će ga pokušati navesti da otkrije osobne podatke ili izvrši uplatu.
Ako primite neočekivani račun ili zahtjev za plaćanje, nemojte koristiti poveznice ni telefonske brojeve iz poruke. Umjesto toga otvorite službenu stranicu usluge na uobičajeni način i provjerite postoji li račun ili transakcija.
Kako se zaštititi od sve sofisticiranijih prijevara?
Napadači sve češće kombiniraju uvjerljive poruke, legitimne digitalne platforme, mobilne uređaje i tehnike krađe aktivnih korisničkih sesija. Zato se više nije dovoljno osloniti samo na prepoznavanje loše napisanih poruka ili uključivanje dvofaktorske autentifikacije.
Za sigurnije korištenje digitalnih usluga pridržavajte se nekoliko osnovnih pravila:
- Provjeravajte zahtjeve za prijavu. Neočekivane obavijesti provjerite izravno na službenoj stranici ili u aplikaciji.
- Budite oprezni s QR kodovima. Prije skeniranja provjerite tko vam ih je poslao i kamo vode.
- Ne pokrećite nepoznate naredbe. Internetska stranica ne bi smjela tražiti da slijepo kopirate i izvršavate naredbe na računalu.
- Provjerite domenu. Obratite pozornost na točan naziv internetske adrese, a ne samo na izgled stranice.
- Provjerite račune i zahtjeve za plaćanje neovisnim putem. Koristite službene kontakte i poznate kanale komunikacije.
- Koristite dodatne sigurnosne mjere. Gdje je moguće, uključite autentifikaciju otpornu na krađu identiteta i slijedite sigurnosne preporuke IT službe.
Prijevare putem e-pošte postale su sofisticiranije, ali jedno pravilo ostaje nepromijenjeno: svaki neočekivani zahtjev za prijavu, skeniranje QR koda, pokretanje naredbe ili plaćanje treba dodatno provjeriti. Najsigurnije je pristupiti usluzi izravno, putem poznate internetske stranice ili službene aplikacije, umjesto slijepo slijediti upute iz primljene poruke.
Izvor: Fast Company; prijevod i prilagodba: financa.ba
Prilikom preuzimanja obvezno navesti izravni link na članak.
