Vo februári tohto roku špecialisti Centra digitálnych expertíz Roskačestva odhalili celú podvodnú kampaň zameranú na používateľov portálu štátnej služby, ktorá predstavuje viac ako 126 mil. občania Ruska. V kampani sa používa niekoľko techník sociálneho inžinierstva a tomu istému používateľovi sa môžu niekoľkokrát za sebou poslať rôzne e-maily.
Všetky e-maily sú navrhnuté podobným spôsobom a napodobňujú pôvodné bulletiny Gosuslubi: rozloženie, logo, písmo a štruktúra písmen sú veľmi realistické a zobrazujú správu zo skutočnej služby. Obsah e-mailov však predstavuje jednu z niekoľkých klasických schém phishingu. Kvalita textu v bulletine je pomerne nízka a pri pozornom čítaní je zrejmé, že ide o súbor voľne prepojených viet. Sú navrhnuté tak, aby vyvolali emócie a prinútili čitateľa k cielenej akcii: kliknúť na odkaz a prejsť na externú webovú stránku, ktorá tiež napodobňuje dizajn portálu verejných služieb, ktorý ukradne osobné a platobné údaje používateľa.
Príklad phishingového textu z kampane, ktorý obsahuje pravopisné, štylistické a logické chyby:
„Dobrý deň! V novom roku 2023 ste stále pravidelným používateľom našich online služieb. Na oslavu vám oficiálna divízia poskytuje dotáciu v podobe voľného prístupu do tomboly. Akcia trvá od 1. februára 2023 do 28. februára, čo vám umožní využiť túto ponuku. Ak sa chcete zapojiť, postupujte podľa pokynov na oficiálnej stránke: Získajte prístup do lotérie G0CL0T0 Prístup platí tri dni. Počet dotácií je obmedzený. Ak po prečítaní tejto ponuky nezareagujete, prístup vám môže byť odobratý. Aktivujte list a prejdite na oficiálnu webovú stránku. Ak chcete aktivovať prepojenie, kliknite na tlačidlo „Zahrnúť“ v hornej časti e-mailu alebo na tlačidlo „Nevyhadzovať spam!“ „
Do popredia vystupuje niekoľko detailov: absurdná zámienka na napísanie listu, odvolanie sa na obmedzený čas, neexistujúca lotéria G0CL0T0 a dokonca hrozba „zrušenia prístupu v prípade, že nebude reagovať“. Mali by ste tiež poznamenať, že gososudlugi nie je služba, ale „oficiálny online portál verejných služieb. Ďalšie phishingové texty tej istej série, ktoré skúmali experti Roskatchestvo, údajne ponúkajú získanie sociálnych dávok od vlády zároveň sa pre presvedčivosť poukazuje na niektoré čísla dokumentov a vyhlášok, mená vládnych úradníkov buď neexistujú, alebo sú náhodne prevzaté z internetu .
Ilja Loevsky, zástupca riaditeľa spoločnosti Roskachevo
„Bez ohľadu na dizajn e-mailov a použitú zámienku majú podvodníci v konečnom dôsledku jediný cieľ: prinútiť obeť phishingu, aby nasledovala odkaz na externú webovú stránku a tam zadala svoje údaje z portálu štátnych služieb ktorý už sám osebe hrozí stratou osobných údajov . Útočníci sa zvyčajne okrem toho snažia svoju obeť „oklamať“, aby zarobila peniaze – napríklad platbou „provízie“ za výhru v štátnej lotérii. Nájdu si zámienky, aby mohli od obete vymámiť údaje o karte. Vašou úlohou je nenechať sa oklamať a na to sa musíte naučiť, ako rozpoznať podvod.
Centrum digitálnej expertízy Roskačestvo pripomína:
Neklikajte na portály vrátane webových stránok štátnych služieb a online obchodov pomocou externých odkazov z e-mailov, aj keď vyzerajú presvedčivo. Tieto odkazy sa zvyčajne uvádzajú v skrátenej forme ako napr. bit.Používateľ nevidí, kam ide, a adresa stránky je podobná tej skutočnej. Ak chcete prejsť na portál a skontrolovať dostupnosť ponuky uvedenej v liste, zadajte do adresného riadka webovú adresu ručne.
Pozorne si text prečítajte, a ak máte čo i len najmenšie pochybnosti, či ide o skutočnú ponuku, pošlite ju do spamu. Podvodníci zvyčajne využívajú rovnaký súbor psychologických trikov s prísľubom výhry alebo sociálnej výplaty – skrátka, tlačia na emócie.
Venujte pozornosť protokolu HTTPS, skontrolujte vlastnosti bezpečnostného certifikátu a zistite, ako dlho bol vydaný ak bol vydaný pred niekoľkými dňami alebo týždňami, je vysoko pravdepodobné, že stránka je podvodná .
Používanie antivírusu. Tieto programy často upozorňujú na pokus o prechod na podvodnú webovú lokalitu.
Existuje veľa online podvodných schém. Nemôžete sa naučiť rozpoznať všetky na prvý pohľad. Jedinou zbraňou proti podvodným sieťam je poznať základné pravidlá digitálnej gramotnosti a uplatňovať ich vždy, keď otvoríte e-mail, webovú stránku alebo zdanlivo jednoduchú správu v messengeri. Stručne povedané, buďte na internete vždy ostražití, najmä ak ide o emócie, pretože sociálne inžinierstvo sa podvodníkom vypláca.
Ako môžem rozlíšiť medzi skutočným portálom štátnych služieb a phishingovým systémom? Existujú nejaké varovné znaky, na ktoré by som mal byť pozorný, aby som sa im nechytal do pasce? Čo je najlepší spôsob, ako ochrániť svoje údaje a predchádzať podvodom na internete?