Pikšķerēšana, izmantojot SMS, tērzēšanu, tālruni un QR kodu

3. modulis: Pikšķerēšanas atpazīšana · Lasīšanas laiks: 12 minūtes

Mācību mērķis: Pēc šīs nodarbības Jūs varēsiet atpazīt pikšķerēšanu arī ārpus e-pasta: SMS un tērzēšanas lietotnēs, pa tālruni (arī ar imitētu balsi), ar QR kodiem un ar virkni pieteikšanās paziņojumu, un zināsiet, kā pārbaudīt katru no šiem kanāliem.
Pamatjēdzieni: smishing, "drauga nelaimē" krāpšana, vishing, numuru viltošana (spoofing), viltus atbalsta dienests, balss klons, quishing, MFA bombardēšana

Kāpēc citi kanāli darbojas tik labi

Viss, kas minēts 3.1. nodarbībā, attiecas arī šeit: steidzamība, autoritāte, bailes, zinātkāre un atalgojums. Taču ārpus e-pasta šie trikumi bieži darbojas vēl labāk:

• Tālrunī Jūs lasāt ātri. Ekrāns ir mazs, adreses tiek saīsinātas, un bieži Jūs tajā brīdī esat aizņemti ar kaut ko citu.
• Ir mazāk tehnisko aizsargmehānismu. E-pasta serveris pārbauda SPF, DKIM un DMARC ierakstus un tam ir surogātpasta filtrs. SMS ziņām, tērzēšanai un tālrunim šādas aizsardzības ir daudz mazāk.
• Tas šķiet personiskāk. Ziņa tērzēšanas lietotnē vai balss pa tālruni rada lielāku uzticību nekā e-pasts.
• Tas notiek tiešraidē. Zvanītājs var uzdot papildu jautājumus, radīt spiedienu un soli pa solim Jūs vadīt tālāk.

Reakcija paliek tāda pati: apstāties, pārbaudīt pa savu pašu izvēlētu ceļu, pajautāt. Atšķiras tikai tas, kā šī pārbaude izskatās katrā kanālā.

SMS un tērzēšana: smishing un "drauga nelaimē" krāpšana

Smishing ir pikšķerēšana, izmantojot SMS. Krāpnieki izliekas par organizāciju, no kuras Jūs varētu sagaidīt SMS ziņu: kurjerdienestu, banku, valsts iestādi, Jūsu energoapgādātāju. Pēc Nīderlandes NCSC datiem, tas pats notiek arī tādās tērzēšanas lietotnēs kā WhatsApp un Telegram.

Tipisks piemērs:

Kurjerdienests: Jūsu sūtījumu nevarēja piegādāt nepilnīgas adreses dēļ. Plānojiet jaunu piegādi: https://koeriersdienst.track-nl.example/z8K

Izlasiet saiti tāpat kā 3.2. nodarbībā: reģistrējamais domēns ir track-nl.example, nevis kurjerdienesta koeriersdienst.example. Tālrunī tas ir īpaši grūti, jo redzams tikai sākums. Turiet pirkstu nospiestu uz saites, lai redzētu pilnu adresi, vai arī neatveriet to un dodieties tieši uz kurjerdienesta lietotni vai vietni.

Sūtītāja numurs vai vārds neko nepierāda. SMS sūtītāju numurus un vārdus var viltot (spoofing). Tāpēc viltus ziņa var parādīties tajā pašā SMS sarunas pavedienā, kur agrāk saņemtas īstas ziņas no tā paša sūtītāja. Arī zināms vārds virs ziņas nav pierādījums.

"Drauga nelaimē" krāpšana notiek tērzēšanas lietotnēs:

Sveiki, šis ir mans jaunais numurs, mans tālrunis ir salūzis. Vai Jūs varētu man kaut ko samaksāt? Es Jums rīt atdošu. Tas jāizdara vēl šodien.

Uzņēmumā tas pats triks parādās kā ziņa no "direktora" vai "kolēģa" ar jaunu numuru, kurš steidzami vēlas, lai tiktu veikts maksājums vai iegādātas dāvanu kartes. Pārbaudiet: piezvaniet vai uzrakstiet personai uz veco, zināmo numuru, vai uzdodiet jautājumu, uz kuru var atbildēt tikai īstā persona.

Tālrunis: vishing, viltus atbalsta dienests un balss kloni

Vishing (voice phishing) ir pikšķerēšana pa tālruni. Bieži sastopami trīs veidi.

Bankas darbinieks. Kāds zvana bankas vai "krāpšanas novēršanas nodaļas" vārdā: ir aizdomīgi maksājumi, Jūsu nauda jāpadara "droša", vai arī Jums jāpaziņo kods vai jāapstiprina maksājums bankas lietotnē. Dažkārt Jūsu ekrānā pat redzams bankas īstais numurs, taču arī to var viltot. Īsta banka nekad neprasa paziņot pieteikšanās kodus vai pārskaitīt naudu uz "drošu kontu".

Viltus atbalsta dienests. Kāds zvana programmatūras piegādātāja, interneta pakalpojumu sniedzēja vai IT uzņēmuma vārdā: Jūsu dators esot inficēts, ar Jūsu kontu esot problēma. Viņš lūdz uzinstalēt programmu, lai varētu attālināti piekļūt un vērot Jūsu darbības. Tādējādi viņš pārņem Jūsu datoru. Nīderlandes NCSC to pasaka vienkārši: nekad nedodiet nevienam piekļuvi savām ierīcēm attālināti bez pamatota iemesla.

Imitēta balss. Ar MI var imitēt balsi, izmantojot skaņas ierakstus, piemēram, no video vai balss pasta. Balss klons Jūsu direktora vai kāda ģimenes locekļa vārdā var piezvanīt ar steidzamu lūgumu. Tāpēc vairs nevar aklin paļauties uz dzirdi.

Kas palīdz visos trīs gadījumos:

1. Nolieciet klausuli, tiklīdz jūtams spiediens vai tiek prasīti kodi, nauda vai piekļuve. Tas nav nepieklājīgi.
2. Piezvaniet atpakaļ pats uz numuru, ko atrodat pats vai jau zinājāt iepriekš: bankas kartes aizmugurē, oficiālajā vietnē, savu pašu kontaktu sarakstā. Nevis uz numuru, ko nosauca zvanītājs.
3. Vienojieties par kontroljautājumu vai kodvārdu ar cilvēkiem, kuri var prasīt naudu, piemēram, vadību un grāmatvedību. Vienojieties arī, ka maksājumi nekad netiek veikti, pamatojoties tikai uz tālruņa zvanu (1.2. nodarbība).

QR kodi: quishing

QR kods ir vienkārši saite, ko nevar izlasīt. Quishing ir pikšķerēšana ar QR kodu. Divi veidi:

• Uz ielas vai telpā. Uzlīme ar paša izveidotu QR kodu uzlīmēta virs īstā koda, piemēram, uz stāvvietas automāta, uzlādes stacijas, ēdienkartes vai plakāta. Jūs domājat, ka apmaksājat stāvvietas lietotni, bet patiesībā ievadāt kartes datus viltus vietnē.
• E-pastā vai PDF failā. "Noskenējiet šo kodu, lai apstiprinātu savu pastkasti." QR kodu attēlā nevar pārbaudīt, pārvietojot peli virs tā. Un Jūs to noskenējat ar tālruni, kurā adreses ir grūtāk salasāmas.

Nīderlandes NCSC cita starpā iesaka:

• Neskenējiet QR kodu bez pavadošā teksta vai attēla, un esiet piesardzīgi ar kodiem publiskās vietās.
• Pārbaudiet, vai kods patiešām ir iespiests plakātā vai dēlī, vai arī tam ir uzlīmēta uzlīme.
• Izmantojiet skeneri, kas vispirms parāda, uz kādu adresi vai domēnu Jūs dosieties. Jaunākās Android un iOS versijās to pēc noklusējuma dara pati kamera.
• Ja adrese Jums nešķiet pazīstama, nerīkojieties tālāk. Neievadiet paroli vai maksājuma datus, ja neesat pārliecināti, ka vietne ir īsta.

Skatoties uz adresi, ko parāda kamera, pievērsiet uzmanību reģistrējamajam domēnam, tieši tāpat kā 3.2. nodarbībā. Pie stāvvietas automāta varat izmantot arī oficiālo stāvvietas lietotni vai pašu adresi, kas norādīta uz dēļa.

MFA bombardēšana: kad Jūsu tālrunis nemitīgi pīkst

Daudzi pakalpojumi, piesakoties, nosūta paziņojumu uz Jūsu tālruni: "Vai mēģināt pieteikties? Apstiprināt vai noraidīt." Ja uzbrucējam jau ir Jūsu parole, viņš atkārtoti mēģina pieteikties. Jūsu tālrunis saņem vienu paziņojumu pēc otra, dažkārt vidū naktī. To sauc par MFA bombardēšanu (saukts arī par MFA nogurumu). Viņš cer, ka no kaitinājuma vai nejauši nospiedīsiet "Apstiprināt". Dažkārt viņš vēl piezvana vai raksta kā "atbalsta dienests": "Mēs atjaunojam Jūsu kontu, lūdzu, nospiediet apstiprināt."

Kas Jums jādara:

1. Nekad neapstipriniet paziņojumu, kuru pats neesat uzsācis. Pat ja kāds to lūdz.
2. Uztveriet to kā trauksmes signālu. Negaidīts pieteikšanās paziņojums nozīmē, ka kāds zina Jūsu paroli. Nekavējoties nomainiet šā konta paroli, izmantojot pašu vietni vai lietotni.
3. Pārskatiet aktīvās sesijas un izrakstiet nezināmās sesijas (2.5. nodarbība).
4. Izvēlieties spēcīgāku divu faktoru autentifikācijas veidu, ja tāds pieejams. Izmantojot skaitļu saskaņošanu (number matching), Jums lietotnē jāievada skaitlis no pieteikšanās ekrāna; paziņojumu bez šā ekrāna Jūsu priekšā tad vairs nevar vienkārši apstiprināt. Passkeys un drošības atslēgas (2.4. nodarbība) ir vēl drošākas, jo tās nedarbojas viltus vietnē.

Praksē: šādi tas izskatās

Mans WebOké sadaļā par aktīvajām sesijām Jūs varat redzēt, kur un kad esat pieteikušies, un izrakstīt citas sesijas (WebOké rokasgrāmata 3.6). Citiem pakalpojumiem, piemēram, Jūsu e-pasta programmai, grāmatvedības sistēmai vai Nextcloud, ir līdzīgs pārskats konta drošības iestatījumos. Pēc negaidīta pieteikšanās paziņojuma vispirms pārbaudiet tieši to.

Kopsavilkums

• Ārpus e-pasta tiek izmantoti tie paši trikumi, bet tur ir mazāk tehnisko aizsargmehānismu, un Jūs lasāt ātrāk.
• Numurs vai sūtītāja vārds ekrānā neko nepierāda: tos var viltot.
• Pa tālruni: nolieciet klausuli, piezvaniet atpakaļ paši uz zināmu numuru, nekad nedodiet kodus, naudu vai piekļuvi attālināti. Arī pazīstamu balsi var imitēt.
• QR kodi: pārbaudiet, vai nav uzlīmes, ļaujiet kamerai parādīt adresi un izlasiet reģistrējamo domēnu.
• Negaidīts pieteikšanās paziņojums ir trauksmes signāls: noraidiet to, nomainiet paroli, pārbaudiet sesijas.

Tests

Uzdevums

Uzdevums A3.4: QR koda nolasīšana, neatverot to. Programma parāda QR kodu. Noskenējiet to ar sava tālruņa kameru, bet neatveriet saiti. Izlasiet adresi, ko parāda kamera, ievadiet reģistrējamo domēnu un norādiet, vai Jūs atvērtu šo saiti. Programma to pārbauda.

Uzdevums D3.4: Vienošanās par telefonu, tērzēšanu un pieteikšanās paziņojumiem. Vienojieties ar savu komandu par atzvanīšanu, kontroljautājumu vai kodvārdu un par to, kā rīkoties negaidīta pieteikšanās paziņojuma gadījumā. Pēc tam pārbaudiet savā tālrunī, vai kamera parāda QR koda adresi, pirms tā kaut ko atver.

Vairāk lasīt

WebOké rakstos minētie soļi attiecas uz WebOké vidi; pie citiem pakalpojumu sniedzējiem process ir līdzīgs.

• WebOké rokasgrāmata 3.6: Aktīvo sesiju apskate un iziešana
• Nextcloud rokasgrāmata 3.6: Ierīces un sesijas apskatīt, atsaukt vai attālināti dzēst
• Nīderlandes NCSC, SMS pikšķerēšana ("smishing"): https://www.ncsc.nl/phishing/sms-phishing-smishing
• Nīderlandes NCSC, Kā atpazīt viltus zvanu?: https://www.ncsc.nl/phishing/hoe-herken-ik-een-neptelefoontje
• Nīderlandes NCSC, QR kodi: https://www.ncsc.nl/phishing/qr-codes
• Ziņojiet par krāpniecisku e-pastu vai pikšķerēšanu CERT.LV: https://cert.lv/