Phishing – jak rozpoznać atak i ochronić firmę

Jak dziś wygląda phishing – to już nie tylko „Wygrałeś nagrodę”

Klasyczne, masowo rozsyłane wiadomości o wygranej na loterii czy zablokowanym koncie bankowym wciąż krążą po skrzynkach, ale to nie one stanowią dziś największe ryzyko dla firm. Prawdziwym zagrożeniem jest spear phishing – atak wymierzony w konkretną osobę lub dział, przygotowany na podstawie informacji zebranych z LinkedIn, strony firmowej czy mediów społecznościowych. Wiadomość zawiera prawdziwe imię odbiorcy, nazwę projektu, a czasem nawet nawiązanie do niedawnej rozmowy – dzięki temu wygląda znacznie wiarygodniej niż masowy spam.

Drugim, bardzo skutecznym schematem są fałszywe faktury i przypomnienia o płatności. Dział księgowości otrzymuje mail rzekomo od stałego dostawcy z informacją o zmianie numeru konta bankowego lub z załącznikiem „korekty faktury”, który w rzeczywistości instaluje złośliwe oprogramowanie lub prowadzi do fałszywego formularza logowania.

Trzeci, coraz częstszy wariant to podszywanie się pod dostawców i przełożonych (tzw. CEO fraud) – wiadomość rzekomo od prezesa lub dyrektora finansowego z pilną prośbą o przelew albo zakup kart podarunkowych. Presja czasu i autorytet nadawcy mają wyłączyć krytyczne myślenie odbiorcy. W bardziej zaawansowanych wariantach przestępcy łączą to z technikami omijania MFA, takimi jak opisany w artykule atak AiTM – tam fałszywa strona logowania przechwytuje nie hasło, a cały token sesji, dzięki czemu nawet prawidłowo skonfigurowana weryfikacja dwuskładnikowa nie chroni ofiary.

Sygnały ostrzegawcze, które zdradzają fałszywy mail

Większość ataków phishingowych, nawet tych dobrze przygotowanych, zdradza się kilkoma powtarzającymi się szczegółami. Warto, by każdy pracownik znał te sygnały na pamięć:

• Adres nadawcy niezgodny z domeną – wyświetlana nazwa może brzmieć znajomo, ale prawdziwy adres to np. faktury@dostawca-platnosci.com zamiast prawdziwej domeny firmy. Zawsze warto sprawdzić pełny adres, nie tylko nazwę wyświetlaną w kliencie poczty.
• Presja czasu i groźby – „konto zostanie zablokowane w ciągu 24 godzin”, „pilna prośba prezesa”, „ostatnia szansa na uregulowanie płatności”. Pośpiech ma nie dać czasu na weryfikację.
• Nietypowa prośba o zmianę danych – zmiana numeru konta bankowego dostawcy, prośba o dane logowania „w celu weryfikacji” albo o zakup kart podarunkowych to niemal zawsze próba oszustwa.
• Link, który po najechaniu kursorem pokazuje inny adres niż tekst wiadomości – przed kliknięciem warto zawsze najechać na link (bez klikania) i sprawdzić rzeczywisty adres docelowy w pasku statusu przeglądarki lub klienta poczty.
• Literówki w domenie – novasys-pl.com, novasys.pl.login-secure.com czy zamiana jednej litery na wizualnie podobną to klasyczny trik podszywania się pod zaufaną markę.
• Nieoczekiwany załącznik, zwłaszcza plik .zip, .exe lub makro w dokumencie Office, którego odbiorca się nie spodziewał.

Żaden pojedynczy sygnał nie jest stuprocentowym dowodem ataku, ale im więcej z nich występuje razem, tym większa pewność, że wiadomość należy zgłosić, a nie na nią odpowiadać.

Kliknąłeś w podejrzany link? Oto co zrobić w pierwszych minutach

Nawet najbardziej uważny pracownik może dać się nabrać na dobrze przygotowaną wiadomość. Liczy się wtedy szybka i uporządkowana reakcja:

1. Odłącz urządzenie od sieci – wyłącz Wi-Fi lub wyciągnij kabel sieciowy, żeby ograniczyć ewentualne rozprzestrzenianie się złośliwego oprogramowania na inne komputery w firmie.
2. Nie zamykaj panicznie, ale też nic dalej nie klikaj – jeśli otworzyła się fałszywa strona logowania, nie wpisuj na niej żadnych dodatkowych danych.
3. Zgłoś incydent do działu IT lub swojego dostawcy wsparcia od razu, nie po kilku godzinach – im szybciej ktoś zareaguje, tym mniejsze ryzyko przejęcia konta czy dalszego ataku.
4. Zmień hasło do konta, jeśli zostało wpisane na podejrzanej stronie, a najlepiej również do wszystkich kont, w których używano tego samego hasła.
5. Sprawdź historię logowań i aktywne sesje na koncie pocztowym oraz w systemach firmowych – nietypowa lokalizacja logowania lub nowa reguła przekierowania poczty to sygnał, że konto mogło zostać przejęte.
6. Poinformuj współpracowników, jeśli podejrzana wiadomość mogła trafić też do innych osób w firmie – wspólne ostrzeżenie ogranicza skalę incydentu.

Firmy korzystające ze stałej opieki informatycznej mają tu wyraźną przewagę – zgłoszenie trafia od razu do zespołu, który wie, jak w kilka minut zablokować konto, sprawdzić logi i ocenić realny zakres incydentu, zamiast działać po omacku.

Jak zbudować realną odporność organizacyjną na phishing

Pojedyncze szkolenie „na wejściu” nie wystarczy – phishing zmienia się z miesiąca na miesiąc, więc odporność firmy trzeba budować systematycznie, na kilku poziomach jednocześnie.

• Regularne szkolenia i krótkie przypomnienia – zamiast jednej długiej prezentacji raz w roku, lepiej sprawdzają się krótkie, cykliczne przypomnienia o aktualnych schematach ataków i konkretnych przykładach z branży.
• Symulacje phishingowe – kontrolowane, testowe kampanie phishingowe pozwalają sprawdzić, jak faktycznie zachowują się pracownicy, i wskazać osoby lub działy wymagające dodatkowego wsparcia, bez czekania na prawdziwy incydent.
• Uwierzytelnianie wieloskładnikowe (MFA) oparte na silnej, spójnej polityce haseł – nawet jeśli hasło wycieknie, drugi składnik znacząco utrudnia przejęcie konta. Tam, gdzie to możliwe, warto sięgać po metody odporne na phishing, takie jak klucze sprzętowe czy passkeys.
• Filtrowanie i uwierzytelnianie poczty na poziomie domeny – poprawnie skonfigurowane rekordy SPF, DKIM i DMARC utrudniają przestępcom podszywanie się pod firmową domenę i pozwalają serwerom pocztowym odrzucać część fałszywych wiadomości, zanim w ogóle trafią do skrzynki pracownika.
• Jasna procedura zgłaszania podejrzanych wiadomości – jeden przycisk lub jeden adres, pod który każdy może przesłać podejrzany mail, bez obawy, że zostanie skarcony za „fałszywy alarm”. Im mniej barier zgłoszenia, tym szybciej firma dowiaduje się o próbie ataku.

Żadne z tych działań nie jest drogie ani skomplikowane we wdrożeniu – wymaga jednak konsekwencji i kogoś, kto będzie pilnował, by procedury faktycznie działały, a nie tylko istniały na papierze.

Rola stałego wsparcia IT w codziennej ochronie przed phishingiem

Najskuteczniejsza ochrona przed phishingiem łączy technologię, procedury i ludzi – a to wymaga kogoś, kto na bieżąco monitoruje pocztę, konfiguruje zabezpieczenia i reaguje na zgłoszenia, zamiast zajmować się tym dopiero po incydencie. Stałe wsparcie IT pozwala wdrożyć filtrowanie poczty, MFA i procedury zgłaszania w sposób spójny dla całej firmy, a jednocześnie szybko reagować, gdy pracownik zgłosi podejrzaną wiadomość.

Warto też okresowo sprawdzać, czy wdrożone zabezpieczenia rzeczywiście działają – przegląd konfiguracji poczty, uprawnień i ustawień MFA w ramach audytu bezpieczeństwa pozwala wychwycić luki, zanim wykorzysta je przestępca, a nie dopiero po tym, jak coś pójdzie nie tak.