Phishing króluje, a nie umiera
Nie ma drugiej tak popularnej metody cyberataku, co phishing. Dziennie wysyłanych jest 3,4 miliarda fałszywych wiadomości e-mail na całym świecie. Jak twierdzą badacze cyberbezpieczeństwa, aż 48% maili w samym tylko 2022 roku były spamem. W tym samym czasie 83% brytyjskich organizacji, które odnotowały cyberatak na swoją firmę, wskazało, że był to phishing. Również w 2021 roku do najpopularniejszych metod cyberoszustwa w Azji należała właśnie ta metoda. Ponadto 92% przedsiębiorstw w Australii padło choć raz ofiarą phishingu. Jeszcze w 2021 roku było to „zaledwie” 39%. Czyli mamy tu wzrost na poziomie aż 53 punktów proc.
I pomimo ciągłego ulepszania filtrów antyspamowych, ciągle trudno jest wyeliminować to zjawisko. Dość powiedzieć, że Google blokuje dziennie aż 100 milionów fałszywych wiadomości e-mail. Jednak na 3,4 miliarda (oczywiście – nie wszystkie wysyłane są przez Gmail) to zaledwie kropla w morzu potrzeb. Szacuje się, że średni koszt naruszenia danych w organizacji wynosi 4 miliony dolarów. A jeden tzw. whaling attack może kosztować firmę nawet 47 milionów dolarów.
Najgorsze w tym wszystkim jest to, że phishing dotyczy każdego. Niezależnie od tego, czy jest się firmą, czy zwykłym użytkownikiem internetu – prędzej czy później zetkniemy się z phishingiem. I w dużej mierze to od nas zależy, czy nie damy się zwieźć. W samym tylko 2021 r. ponad 323 tys. internautów padło ofiarą phishingu (tzn. stracili dane lub pieniądze przez cyberprzestępców). A należy dodać, że aż 62% wszystkich cyberataków ma miejsce dzięki wykradzeniu danych pozyskanych w wyniku phishingu lub ataków typu brute-force.
Była to połowa wszystkich ofiar cyberataków w tamtym okresie. Ponadto aż 92% organizacji zgłosiło, że przynajmniej jeden ich firmowy mail został naruszony. A 93% doświadczyło wycieku danych z powodu nieostrożności. Tak wielką „moc” ma phishing. A co zmienia się w tej kwestii na przestrzeni lat?
Cyberprzestępcy chętnie podszywają się pod marki
Phishing jest metodą równie starą co internet. Pierwsze oszustwa tego typu szacuje się na lata 90 XX wieku. Czyli w okresie, kiedy sieć zaczęła się znacząco popularyzować na globalnej Północy. Jednak to po prostu scyfryzowanie oszustwa starego jak świat. Prawdopodobnie od początku istnienia naszego gatunku mieliśmy do czynienia z osobami, które podszywały się pod innych ludzi czy organizacje. Phishing stał się na tyle popularny, bo zwyczajnie jest prosty. W zasadzie nie wymaga tak dużych umiejętności, jak klasyczne hakowanie. Wykorzystuje się tu głównie socjotechniki, czasem również złośliwe oprogramowania typu ransomware. Nierzadko jednak cyberprzestępcy posiłkujący się tą metodą, nie są żadnymi hakerami, a zwyczajnie – oszustami.
Badacze cyberbezpieczeństwa sprawdzili, pod jakie marki cyberoszuści podszywają się najchętniej. I okazuje się, że w I kwartale 2022 roku najczęściej cyberprzestępcy starali się przekonać swoje ofiary, że te korespondują z LinkedInem (52%). Na 2. miejscu znalazło się DHL (14%), na 3. Google (7%), na 4. miejscu ex aequo Microsoft i FedEx (po 6%). Oczywiście – to w kwestii marek globalnych. W poszczególnych krajach sytuacja może wyglądać nieco inaczej. W Polsce np. cyberoszuści chętnie podszywają się pod marketplace’y takie jak OLX.
Co ważne – cyberprzestępcy chętnie podszywają się też pod marki osobiste. Najczęściej pod CEO (22% wszystkich fałszywych wiadomości wysyłanych do pracowników) danej firmy. Dzięki temu łatwo wzbudzają zaufanie pracowników.
LinkedIn ulubioną platformą cyberoszustów
Platforma należąca do Microsoftu – LinkedIn – ma globalnie ponad 800 milionów użytkowników i działa w 200 krajach. Jest to też zresztą medium społecznościowe, na którym ludzie chętnie wymieniają się swoimi danymi czy informacjami ze względów biznesowych. I jak się okazuje – LinkedIn stał się ulubioną platformą dla cyberoszustów. Nie tylko najczęściej się pod nią podszywają, ale też maile wysyłane rzekomo pod szyldem LinkedIna mają największą otwieralność – na poziomie aż 42%. Na 2. miejscu uplasował się Facebook z 20%, a na 3. Twitter z 9%. Dlaczego tak się dzieje? Jak wspomniałem – LinkedIn jest medium społecznościowym wykorzystywanym w biznesie i karierze. W niektórych firmach czy branżach to wręcz narzędzie pracy.
Użytkownicy tej platformy poszukują na niej pracy, zleceń, potencjalnych kandydatów itd. Innymi słowy – raj dla wszelkiej maści oszustów. Niedawno zresztą firma Mandiant wydała obszerny raport, w którym opisuje proceder phishingowy na LinkedInie. Cyberprzestępcy podszywali się pod rekruterów, zdobywali zaufanie użytkowników, a następnie przenosili komunikację na WhatsApp, gdzie wysyłali złośliwe oprogramowanie. Co ciekawe – na tym komunikatorze najczęściej wysyłane są phishingowe wiadomości tekstowe – aż 90%. Na 2. miejscu znalazł się Telegram z zaledwie 5,04%.
Oszuści uderzali przede wszystkim w firmy w Europie i Stanach Zjednoczonych. Głównie w branżę mediową i cyberbezpieczeństwa. Może nawet któryś z Twoich obecnych pracowników zetknął się z „ofertą od konkurencji”? Albo nawet padł ofiarą takiego oszustwa. Choć LinkedIn stara się z tym walczyć i ukrócić proceder, to nie ma lekko.
¼ phishingowych maili pochodzi z Rosji
Za wspomnianą wcześniej kampanią phishingową na LinkedInie stoi najprawdopodobniej północnokoreańska grupa hakerów znana jako UNC2970, którą utożsamia się też z UNC577 znaną jako Temp.Hermit. I faktycznie północni Koreańczycy specjalizują się w atakach hakerskich i phishingowych na organizacje z globalnej Północy. Jednak jak pokazują dane – za największą liczbą maili phishingowych stoją… Rosjanie.
Aż ¼ (24,77%) tego typu wiadomości ma być wysyłana właśnie przez nich. Oczywiście – niekoniecznie tak musi być. W jednym z artykułów w Security Magazine opisywaliśmy, jak chińscy hakerzy często, aby zmylić tropy, zapisują kod w cyrylicy. I tu podobnie – niektóre grupy z innych krajów mogą podszywać się pod Rosjan. Zwłaszcza te organizacje i cyberprzestępcy z byłego ZSRR. Na 2. miejscu pod względem liczby wysyłanych maili phishingowych co ciekawe stoją Niemcy (14,12%), a na 3. Stany Zjednoczone (10,46%). Chiny znalazły się dopiero na 4. miejscu (8,73%), a na 5. Niderlandy (Holandia, 4,75%).
Ataki phishingowe, które przyniosły największe straty
Może wydawać się, że najprostszymi celami dla cyberoszustów są zwykli użytkownicy internetu czy firmy z sektora MMŚP. Przeważnie takie osoby nie mają szczególnej wiedzy o cyberbezpieczeństwie, a wspomniane organizacje nie posiadają w zespołach stałych ekspertów czy departamentów. Jednak ofiarami cyberoszustów równie często padają duże spółki. Przykładowo sieć hoteli Marriott straciła dane nawet 5,2 miliona swoich gości zaledwie w ciągu 3 lat. A to wszystko z powodu cyberataków. Z kolei Google i Facebook w latach 2013–2015 straciły nawet 100 milionów dolarów z powodu kampanii phishingowych.
Od (udanych) ataków phishingowych nie są wolne nawet banki. Crelan Bank w Belgii z powodu oszustwa stracił 75,8 miliona dolarów. Cyberprzestępca podszył się wówczas pod jednego z dyrektorów.
Ponad 76% cyberataków w Polsce to phishing
Co się zaś tyczy naszego kraju to według danych NASK w 2021 roku 76,57% wszystkich zgłoszonych incydentów związanych z cyberprzestępczością stanowił phishing. Oznacza to wzrost o prawie 200% w kontekście tego typu zdarzeń w stosunku do 2020 roku. Najbardziej narażoną branżą w Polsce na tego typu próby oszustwa są usługi, handel i przemysł. Choć Polska nie znajduje się na czele krajów, w których dochodzi do ataków phishingowych (w przeciwieństwie np. do Stanów Zjednoczonych czy Niderlandów), to liczba tych incydentów stale rośnie. I to o zatrważające liczby.
W samym tylko 2020 roku liczba incydentów związanych z cyberprzestępczością wyniosła ponad 29 tys. A mówimy tu o wykrytych przypadkach. Dlatego CERT i rząd ostrzegają przed natężeniem występowania takich ataków. Zarówno zwykłych użytkowników, jak i firmy. Tym bardziej że cyberprzestępcy stają się coraz bardziej wyrafinowani. Przykładowo według badań 61% internautów nie było w stanie odróżnić prawdziwej strony Amazona od tej podrobionej.
A to coraz częstsza metoda phishingowa. Tzn. tworzenie fałszywych landing page’y, które do złudzenia przypominają rzeczywiste witryny. W ten sposób oszuści podszywają się np. pod marketplace’y, bramki płatności, banki i innych usługodawców. I często dbają o nawet drobne szczegóły – takie jak chociażby certyfikaty SSL (aż 50% stron wyłudzających dane je posiada).
Phishing to już proceder zorganizowany
Na początku artykułu wspominałem, że do phishingu nie trzeba mieć szczególnych umiejętności hakerskich. Nie trzeba nawet mieć kompetencji programistycznych. Często wystarczają socjotechniki. Jednak phishing ze względu na swoją popularność jest wspierany przez różne grupy cyberprzestępcze. Jak wskazuje Microsoft – w sieci znajdziemy wiele grup czy nawet zestawy narzędzi, które pomniejsi przestępcy wykorzystują do phishingu. Mowa tutaj m.in. o zestawie DEV-1101.
Ów zestaw można „wypożyczyć” czy „wykupić” od twórcy i używać do kampanii phishingowych. To zupełnie tak jakby skorzystać z gotowych narzędzi od firm zajmujących się e-mail marketingiem, aby dokonać wysyłki wiadomości. Działa to na podobnej zasadzie – w tym przypadku jednak mamy gotowy produkt, który stworzy dla nas fałszywy landing page. Skorzystać z narzędzia możemy, uiszczając od 300 do 1000 dolarów miesięcznie.
Co ciekawe – eksperci z Microsoftu, tj. zespół Microsoft Threat Intelligence śledzi cyberprzestępcę, który odpowiada za opracowanie DEV-1101. Big-techy podobnie jak organy ścigania starają się wyeliminować takie zagrożenia, ponieważ tracą przez nie pieniądze a nierzadko i reputację. Przed phishingiem nie ma jednak ucieczki. I prawdopodobnie długo nie będzie. Przez kolejne lata pozostanie on najpopularniejszą metodą cyberataków na świecie. I zwyczajnie – trzeba będzie być coraz uważniejszym.
