Nie zwalniamy tempa i kontynuujemy nasz cykl o zagrożeniach online i mądrym korzystaniu z sieci oraz urządzeń cyfrowych! Jeśli śledzicie nasze ABC, wiecie już sporo na temat cyberbezpieczeństwa. Przypominamy, że do tej pory opublikowaliśmy dziewięć odcinków w serii, jeśli coś przegapiliście, możecie nadrobić zaległości. Sięgnijcie po poprzednie teksty: 

• odcinek 1: bankowość internetowa, klucz U2F, ochrona urządzeń mobilnych, socjotechnika;
• odcinek 2: BLIK, catfishing, fałszywe panele logowania, typosquatting, lista ostrzeżeń przed niebezpiecznymi stronami;
• odcinek 3: credential stuffing, ekran blokady, podatność bezpieczeństwa, separacja tożsamości, tryb incognito;
• odcinek 4: cryptojacking, dialer, infostealer, man-in-the-middle, pętla dopaminowa;
• odcinek 5: atak BLE Spam i bluejacking, kompetencje cyfrowe, szyfrowanie end-to-end, uwierzytelnianie wieloskładnikowe, wyciek danych;
• odcinek 6: Alert RCB, cyberporwanie, e-uzależnienia, multitasking, problemowe używanie internetu (PUI);
• odcinek 7: cheap fake, luka zero-day, NFC, odporność cyfrowa i spray & pray;
• odcinek 8: atak siłowy, nudging, kradzież własności intelektualnej, sniffing, wabbit;
• odcinek 9: Bluetooth, influencerzy, płatności internetowe, stres cyfrowy, wtyczka (plug-in, add-on), zero trust security.

Dodatkowo w naszym poradniku „ABC cyberbezpieczeństwa” znajdziecie ponad 150 pigułek wiedzy związanych z bezpieczeństwem w sieci. Gotowi na jeszcze więcej? Poznajcie kolejne hasła dotyczące cyfrowego świata!

Fałszywe reklamy

Co robicie, gdy chcecie znaleźć w sieci jakiś produkt czy interesującą Was informację? Najczęściej korzystacie z wyszukiwarki internetowej – to oczywiste. Ale czy wiecie, że w myśl zasady po nitce do kłębka cyberprzestępcy i w tym przypadku mogą próbować zwabić Was na specjalnie przygotowaną niebezpieczną stronę, za pomocą której przeprowadzą cyberatak? Jedną z podstępnych metod ich działania są fałszywe reklamy, które przekierowują nas na szkodliwe witryny – najczęściej dotyczące funduszy inwestycyjnych czy wykorzystujące wizerunki banków. Jak dokładnie działają oszuści? 

Wykupują w popularnych wyszukiwarkach reklamy stron, produktów, które mogą się wiązać z najczęściej wpisywanymi w przeglądarkach słowami. Po kliknięciu w przygotowaną przez przestępców fałszywą reklamę zostaniecie przekierowani na szkodliwą stronę phishingową. Co dzieje się później? Scenariuszy może być wiele, w zależności od typu oszustwa. Jedno jest pewne – im dłużej zostaniecie na takiej stronie i wykonacie jakieś działanie – pobierzecie plik, wpiszecie hasło i login w fałszywym panelu logowania czy podacie swoje dane osobowe, narazicie się na duże straty.

CERT Polska ostrzega, że cyberprzestępcy coraz częściej wykorzystują fałszywe reklamy, by podszywać się pod producentów oprogramowania. Przygotowane przez oszustów witryny są łudząco podobne do tych oryginalnych, a w dodatku pojawiają się na pierwszych miejscach w wynikach wyszukiwania, co potrafi uśpić naszą czujność. W rzeczywistości służą do rozpowszechniania złośliwego oprogramowania (malware), które np. wykrada dane uwierzytelniające do serwisów, w tym do bankowości elektronicznej.

W kontekście fałszywych reklam warto też wspomnieć o stronach nakłaniających do inwestowania pieniędzy na giełdzie lub w kryptowaluty. Oszuści tworzą fałszywe witryny, na których reklamują intratne interesy. Osoby szukające zysku zostawiają tam swoje dane kontaktowe, po czym odzywa się do nich rzekomy przedstawiciel firmy inwestycyjnej i nakłania ofiary do ulokowania pieniędzy, które w rzeczywistości trafiają na konta przestępców.

Jak uchronić się przed fałszywymi reklamami?

• Uważajcie na typosquatting – adres internetowy fałszywej domeny zazwyczaj zawiera trudny do wychwycenia na pierwszy rzut oka błąd w nazwie, dokładnie sprawdzajcie więc każdą literę i każdy znak nazwy domeny. 
• Zachowajcie czujność, nie klikajcie pochopnie w linki prowadzące do wyszukanej przez Was strony, nie dajcie się zgubić rutynowemu korzystaniu z wyszukiwarek. Dobrą praktyką jest samodzielne wpisywanie adresu strony internetowej w pasku.
• Jeśli przypadkiem znaleźliście się na portalu, na którym widnieje nieaktualny logotyp, treści napisane są niepoprawną polszczyzną, w opisach brakuje polskich znaków – niezwłocznie opuśćcie taką stronę.
• Pamiętajcie też, że zielona kłódka obok adresu w przeglądarce nie jest już gwarancją bezpieczeństwa. Certyfikat TLS, oznaczający, że połączenie z serwerem jest szyfrowane, można łatwo uzyskać. Cyberprzestępcy również korzystają z tego rozwiązania.
• Uniwersalna rada: na bieżąco aktualizujcie swoje sprzęty, korzystajcie z oprogramowania antywirusowego, a także z oprogramowania typu bloker reklam.

Pamiętajcie, że fałszywą stronę możecie zgłosić do CERT Polska! Wystarczy wypełnić formularz dostępny na CERT.PL – zgłoś incydent. Eksperci przyjmą i przeanalizują każde zgłoszenie, a podejrzaną domenę zamieszczą na liście ostrzeżeń przed niebezpiecznymi stronami. Możecie też przesłać wiadomość SMS, zawierającą potencjalnie groźny link. W tym celu skorzystajcie z bezpłatnego numeru 8080 i funkcji „przekaż” albo „udostępnij” lub skontaktujcie się przez WhatsApp: 780 907 000. Tylko w 2023 r. na listę ostrzeżeń trafiło 79 267 domen, a to oznacza, że zablokowano ok. 54 milionów prób wejść na strony uznawane za niebezpieczne (CERT Polska, 2024)!

Więcej o szkodliwych witrynach przeczytacie w naszej aktualności „Bezpieczni w sieci z OSE: lista ostrzeżeń przed fałszywymi stronami”.

Źródła:

„Niebezpieczne reklamy w wyszukiwarkach – jak się nie dać złapać cyberoszustom?”, (2023), artykuł na stronie gov.pl [online, dostęp dn. 23.05.2024].

„Nowa kampania reklamowa ad hijacking za pośrednictwem Google Ads”, (2023), artykuł na stronie cert.pl [online, dostęp dn. 23.05.2024].

CERT, (2024), „Krajobraz bezpieczeństwa polskiego internetu. Raport roczny z działalności CERT Polska 2023”, Warszawa: Państwowy Instytut Badawczy NASK [online, dostęp dn. 23.05.2024].

Maskarada

Termin maskarada kojarzy się najczęściej z zabawą, której uczestnicy występują w przebraniach i maskach. Od dziś hasło to możecie też wiązać z jednej strony z cyberatakiem, podczas którego przestępcy podszywają się pod uprawnionego użytkownika albo urządzenie, wykorzystują pozyskane wcześniej identyfikatory – certyfikaty czy hasła – i uzyskują nieautoryzowany dostęp do sieci, systemu lub wrażliwych danych. Z drugiej strony termin maskarada łączony jest ze zjawiskiem cyberprzemocy. Przeczytajcie, jak dokładnie działają przestępcy wykorzystujący ten rodzaj cyberataku.

Do maskarady, a ściślej mówiąc ataków maskujących czy ataków maskarady, dochodzi najczęściej podczas kampanii phinshingowych. Są one przygotowywane tak, by wszystko wyglądało wiarygodnie i nie wzbudzało żadnych podejrzeń. Przestępcy próbują podszywać się pod znane instytucje i firmy czy po prostu naszych znajomych, wysyłają specjalnie przygotowane wiadomości, by skłonić ofiarę do określonego działania: kliknięcia w link, podania swoich danych uwierzytelniających w fałszywym panelu logowania czy pobrania zainfekowanego załącznika. Postępowanie zgodnie z instrukcją oszustów zazwyczaj kończy się utratą pieniędzy lub wyłudzeniem cennych danych.

Warto wiedzieć, że odmianą phishingu jest spoofing, który polega na podszywaniu się pod konkretną osobę lub podmiot (np. instytucję, firmę) lub serwer w celu pozyskania istotnych informacji lub wyłudzenia pieniędzy. Wyróżniamy np. spoofing telefoniczny – to rodzaj ataku, który skupia się na użytkowniku – oraz spoofing IP wymierzony w sieć, aby otrzymać do niej dostęp, i spoofing DNS, który umożliwia przekierowanie ruchu na inny adres IP, czyli prowadzi użytkownika na niebezpieczną stronę. 

Eksperci zajmujący się badaniem zjawiska cyberprzemocy posługują się też terminem maskarady, opisując proceder polegający na zamieszczaniu materiałów kompromitujących osobę, pod którą podszywa się agresor. W tym przypadku maskarada polega na „tworzeniu fałszywego profilu w mediach społecznościowych lub uzyskaniu do niego dostępu bez świadomości ofiary. W  ten sposób sprawca, podszywając się pod ofiarę, tworzy fałszywe wpisy lub zamieszcza kompromitujące zdjęcia, powodując szkody wizerunkowe ofiary oraz komplikacje w relacjach interpersonalnych” (Siemieniecka, Skibińska, Majewska, 2020).

Jak się uchronić przed maskaradą? Przede wszystkim nie dajcie się zwieść niebezpiecznym kampaniom phishingowym. Zachowajcie spokój i nie działajcie pochopnie, szczególnie jeśli ktoś nakłania Was do szybkich, nieprzemyślanych reakcji i straszy, że jeśli czegoś nie zrobicie, wydarzy się coś złego albo stracicie niepowtarzalną okazję. Pamiętajcie, że phishing to wciąż najpopularniejsza forma oszustwa. Z danych zamieszczonych w „Rocznym raporcie z działalności CERT Polska za 2023 r.” wynika, że w ubiegłym roku zespół działający w NASK zarejestrował 41 423 przypadki phishingu, co stanowiło blisko 52% wszystkich incydentów (CERT Polska, 2024)! Dbajcie też o swoje bezpieczeństwo w internecie: z rozwagą dzielcie się informacjami o sobie w mediach społecznościowych, chrońcie swoją prywatność w sieci, stosujcie silne hasła, a najlepiej uwierzytelnianie dwuskładnikowe lub wieloskładnikowe. 

Źródła:

CERT, (2024), „Krajobraz bezpieczeństwa polskiego internetu. Raport roczny z działalności CERT Polska 2023”, Warszawa: Państwowy Instytut Badawczy NASK [online, dostęp dn. 23.05.2024].

Siemieniecka D., Skibińska M., Majewska K., (2020), „Cyberagresja – zjawisko, skutki, zapobieganie”, Toruń: Wydawnictwo Naukowe Uniwersytetu Mikołaja Kopernika [online, dostęp dn. 9.05.2024].

OSINT

OSINT (z ang. open-source intelligence) oznacza biały wywiad, czyli wyszukiwanie, gromadzenie i analizowanie informacji z różnych, ogólnodostępnych źródeł na temat firm, organizacji, osób. W przeciwieństwie do czarnego wywiadu, który wykorzystuje nielegalne metody pozyskiwania wiadomości – np. oprogramowanie szpiegowskie, podsłuchy telefoniczne, socjotechnikę – biały wywiad jest legalny. Z założenia osoby stosujące OSINT działają zgodnie z prawem, choć warto podkreślić, że biały wywiad mogą też prowadzić cyberprzestępcy. Ważny jest cel gromadzenia informacji i sposób ich wykorzystania.

Nie jest tajemnicą, że OSINT wykorzystują służby firmy, organizacje, ale też pracodawcy lub osoby prywatne. Zbiór danych, odpowiednio zinterpretowanych, może stanowić bardzo ważne źródło wiedzy. Czy trudno jest pracować w białym wywiadzie? I tak, i nie. Czasem potrzebne informacje mamy dosłownie na wyciągnięcie ręki, bo np. wszelkie materiały można znaleźć w sieci, a czasem trzeba poszukać głębiej, np. w rejestrach państwowych, a te nie zawsze są dostępne online. Cała sztuka polega jednak na uporządkowaniu okruchów informacji, ich analizie oraz przygotowaniu spójnego i wiarygodnego zbioru danych.  

W kontekście białego wywiadu nie sposób nie wspomnieć o konieczności ochrony prywatności w sieci. Spróbujcie wykonać OSINT na swoim przykładzie i wyszukać online informacje na swój temat. Jeśli korzystacie z mediów społecznościowych, a Wasze profile są otwarte, na pewno przekonacie się, jak wiele wiadomości o sobie udostępniacie. Każdy detektyw OSINT bez trudu ustali Waszą datę urodzenia, miejsce pracy, a nawet historię zatrudnienia. Pozna Waszych znajomych, członków rodziny, ulubione miejsca, które odwiedzacie, aktywności poza domem i pracą. Zainteresowani Waszym życiem bez problemu ustalą też adres zamieszkania czy numer telefonu, poznają firmowe dokumenty, np. sprawozdania, także adres IP Waszego komputera czy metadane z opublikowanych w sieci zdjęć (np. dane geolokalizacyjne). Dużo informacji, prawda? Pomyślcie, co może się stać, jeśli trafią one w niepowołane ręce.

Cyberprzestępcy potrafią zrobić użytek z każdej wiadomości. Znając wiele szczegółów z Waszego życia, mogą np. przygotować precyzyjny atak phishingowy, uwiarygodnić cyberporwanie czy przeprowadzić doxing, czyli zebrać informacje o Was i upublicznić te wpływające na bezpieczeństwo i wizerunek.

Jak się bronić przed białym wywiadem? Przede wszystkim dbajcie o swoje cyfrowe ślady zostawiane w sieci. Oto kilka zasad, które warto wdrożyć:

• Zastanówcie się, zanim coś opublikujecie! W internecie nic nie ginie, z rozwagą dzielcie się więc informacjami o sobie. Na pewno nie udostępniajcie w sieci prywatnych informacji typu numer telefonu, adres zamieszkania, e-mail.
• Pamiętajcie o ukrytych danych. Zdjęcia, filmy i inne dokumenty mogą zawierać informacje o ich autorze, czasie utworzenia czy lokalizacji. Kontrolujcie, jakie dane udostępniacie przy okazji aktywności w sieci. Pomocne może być wyłączenie funkcji geolokalizacji w smartfonie.
• Wybierajcie konto prywatne zamiast publicznego. W mediach społecznościowych dbajcie o ustawienia prywatności – nie każdy musi mieć dostęp do publikowanych przez Was treści.
• Bądźcie asertywni.Reagujcie, jeśli ktoś bez Waszej zgody udostępnił w internecie materiał zdradzający szczegóły z Waszego życia lub przedstawiający Was w niekorzystnym świetle. Ustalcie wcześniej z rodziną i znajomymi zasady zamieszczania online wspólnych zdjęć i filmików.
• Chrońcie się przed kradzieżą danych. Uważajcie na phishing, stosujcie silne hasła, aktualizujcie aplikacje i oprogramowanie, w tym antywirusowe. Pamiętajcie też o wylogowaniu się z urządzenia, blokadzie telefonu, jeśli go nie używacie.
• Zapoznajcie się z polityką prywatności. Za każdym razem, gdy zaczynacie korzystać z nowego portalu lub aplikacji, przeczytajcie zasady ochrony prywatności. Niektóre z nich zawierają zapisy dotyczące dostępu do zbyt wielu Waszych informacji, np. galerii zdjęć czy listy kontaktów w telefonie.
• Korzystajcie z prawa do bycia zapomnianym. Zawsze możecie prosić o usunięcie z internetu materiałów, które Was dotyczą. Takie prawo wynika z rozporządzenia unijnego RODO.

Źródło:

„Co to jest OSINT (biały wywiad) i jak przebiega?”, (2024), artykuł w serwisie bezpiecznyinternet.edu.pl [online, dostęp dn. 23.05.2024].   

Przeciążenie informacją

Dziś, dzięki urządzeniom mobilnym z dostępem do internetu, możemy być stale „on”: sprawdzać interesujące nas wiadomości w sieci, komunikować się, monitorować przychodzące z różnych aplikacji powiadomienia – jednym słowem być na bieżąco. Natłok docierających do nas informacji daje nam poczucie, że trzymamy rękę na pulsie wydarzeń, ale może też męczyć, powodować przeciążenie informacją, co nie służy naszemu zdrowiu.

Czym dokładnie jest przeciążenie informacyjne? Ogólnie można powiedzieć, że to „stan psychiczny, w którym nadmiar informacji utrudnia nam wykonywanie zadań” (Politechnika Warszawska, 2024) Przebodźcowanie wiadomościami płynącymi z sieci sprawia, że nie możemy się skoncentrować, odczuwamy silny stres (w tym stres cyfrowy), zmęczenie, niepokój, a nawet lęk. Cierpi też na tym nasza wydajność. Skutkiem przeciążenia informacyjnego jest również utrata lub brak motywacji do działania, odsuwanie zainteresowania codziennymi obowiązkami.

Sprawy nie ułatwia multitasking, czyli coraz częstsza skłonność do korzystania z kilku urządzeń ekranowych jednocześnie (np. smartfona, laptopa i telewizora) lub wykonywania wielu czynności na jednym urządzeniu (jednoczesne korzystanie z laptopa do oglądania filmów i robienia zakupów online).

Warto wiedzieć, że dostęp do wielu ekranów to źródło dodatkowej stymulacji i przyjemności. Te z kolei powodują większy wyrzut dopaminy, czyli neuroprzekaźnika odpowiedzialnego za motywowanie nas do działania. Łatwo jednak wpaść w pułapkę pętli dopaminowej – z czasem układ nagrody będzie potrzebował zwiększonej liczby silnych bodźców, czyli w tym przypadku więcej treści płynących do nas z ekranów w tym samym czasie. Przebodźcowanie nadmiarem informacji przyczynia się do  uwolnienia hormonów stresu, co wpływa na nasze zdrowie, w tym na jakość snu (Borkowska, 2024).

Jak pokonać cyfrowy stres wynikający z przeciążenia informacyjnego czy ekspozycji na szum informacyjny? Przede wszystkim kształtować pozytywne wzorce korzystania z internetu i urządzeń ekranowych – już u najmłodszych. Wdrażać zasady cyfrowej higieny, które sprawią, że zachowacie tak ważny balans między czasem spędzanym online i offline. Ciągle zdobywać wiedzę na temat ochrony przed powszechnymi cyberzagrożeniami – bezpieczeństwo w sieci to ważny element dbania o cyfrowy dobrostan.

Więcej informacji o dobrostanie cyfrowym znajdziecie w naszych aktualnościach „Zadbaj o siebie z OSE: cyfrowy stres”, „Stres cyfrowy – czym jest i jak go pokonać?”. Śledźcie też materiały, które tworzymy dla Was w ramach trwającego właśnie roku cyfrowej higieny. Komiks, kursy i scenariusze zajęć publikujemy na platformie OSE IT Szkoła. 

Źródła:

„Jak sobie radzić z przeciążeniem informacyjnym?”, (2024), artykuł w serwisie pw.edu.pl [online, dostęp dn. 23.05.2024].  

Borkowska A., (2024), „Mniej znaczy więcej – o multiscreeningu i wielozadaniowości”, Warszawa: Państwowy Instytut Badawczy NASK [online, dostęp dn. 23.05.2024].

Romance scam

Nawiązujecie w sieci nowe znajomości albo szukacie online drugiej połówki? Uważajcie na romance scam, czyli „romantyczne oszustwo”.

W dobie dostępu do internetu nasze serce może zabić szybciej również do osoby po drugiej stronie ekranu. Komunikatory, media społecznościowe, portale randkowe stwarzają szansę na poznanie online bratniej duszy. Często historie internetowych znajomości kończą się happy endem, ale nie zawsze. Niestety cyberprzestępcy wykorzystają każdą okazję, żeby zaatakować i wyłudzić pieniądze. Co więcej – potrafią po mistrzowsku żerować na naszych emocjach, stosując ataki bazujące na różnych technikach manipulacji. Schemat działania „romantycznych oszustów” jest podobny: wzbudzają zaufanie, wyznają miłość, roztaczają wizję wspólnej przyszłości… i proszą o pomoc finansową. Gdy to się nie uda albo pieniądze ukochanej osoby po prostu się skończą, miłość pryska – podobnie jak oszust.

Przykładów romance scam jest wiele, ale popularne są przede wszystkim dwa scenariusze.

• Oszustwo na „amerykańskiego żołnierza”, „lekarkę na misji w kraju objętym wojną” lub inną „niezwykłą” osobę, która nagle znalazła się w bardzo trudnej sytuacji i potrzebuje pieniędzy. Najczęściej przyczyną problemów ukochanego lub ukochanej jest choroba bliskiej osoby, brak dostępu do konta, konieczność zakupu biletu powrotnego.
• Wzbudzenie zaufania i wyłudzenie od ofiary intymnych materiałów, np. zdjęć lub filmików o charakterze erotycznym (sexting), w przypadku romance scam często prowadzi do szantażu (sextortion) i żądania zapłaty okupu w zamian za obietnicę nieupublicznienia krępujących materiałów.

Nie wszystko złoto, co się świeci – i nie każdy w internecie może być tym, za kogo się podaje. Podszywanie się w sieci pod istniejącą lub nieistniejącą osobę w celu złowienia potencjalnej ofiary w sidła miłości ma nawet swoją nazwę: catfishing. Wiemy, że zauroczenie nowo poznaną osobą potrafi uśpić naszą czujność, ale zanim dacie się ponieść emocjom, pamiętajcie o zachowaniu podstawowych zasad bezpieczeństwa:

• Weryfikujcie profil danej osoby w mediach społecznościowych. Sprawdźcie, kiedy założyła swoje konto, czy ma wielu znajomych, czy fotografuje się z nimi. Skorzystajcie też z opcji wyszukiwania obrazem w sieci. Być może okaże się, że fotografia potencjalnego oszusta pochodzi np. z banku zdjęć.
• Namawiajcie poznaną w sieci osobę na kontakt online, ale z włączoną kamerką lub na spotkanie w „realu”. Jeśli wystarczy jej tylko rozmowa na czacie, przez telefon albo za pośrednictwem e-maila to znak, że może chcieć ukryć swoją prawdziwą tożsamość.
• Nie działajcie pod presją czasu. Uważajcie na natarczywe prośby o przesłanie swoich zdjęć lub pieniędzy osobie, której nawet nie widzieliście na oczy. Pod żadnym pozorem nie podawajcie swoich haseł, danych do logowania, numerów kart płatniczych!
• Z rozwagą dzielcie się w sieci informacjami o sobie. Pamiętajcie, że oszust to doskonały manipulator i z pewnością wykorzysta wszystkie pozyskane o Was wiadomości, żeby odegrać rolę idealnie dopasowanej połówki.

Więcej o zagrożeniach związanych internetowymi znajomościami przeczytacie w naszych aktualnościach na stronie ose.gov.pl: „Uwaga na romance scam!”, „Walentynki online? Sexting – niebezpieczny trend”, „Wirtualna miłość – realne zagrożenie”. Polecamy też poradnik przygotowany przez ekspertów NASK:  „Internetowe love. Jak zadbać o swoje cyberbezpieczeństwo w relacjach online”.