Κάνατε κλικ: τι κάνετε τώρα;

Ενότητα 3: Αναγνώριση phishing · Χρόνος ανάγνωσης: 12 λεπτά

Στόχος μαθήματος: Μετά από αυτό το μάθημα θα ξέρετε τι να κάνετε τις πρώτες ώρες μετά από ένα κλικ, έναν κωδικό πρόσβασης που συμπληρώσατε, τραπεζικά στοιχεία που δώσατε ή ένα συνημμένο που ανοίξατε, με τη σωστή σειρά, και πώς αναφέρετε και προωθείτε ένα phishing μήνυμα.
Βασικές έννοιες: περιορισμός, αλλαγή κωδικού πρόσβασης από καθαρή συσκευή, ανάκληση συνεδριών, κλήση στην τράπεζα, αναφορά, προώθηση phishing (για παράδειγμα στη Δίωξη Ηλεκτρονικού Εγκλήματος και στην εταιρεία της οποίας το όνομα χρησιμοποιήθηκε)

Συμβαίνει σε όλους

Όλοι κάνουν κάποια στιγμή κλικ στον λάθος σύνδεσμο. Ακόμη και όσοι έχουν παρακολουθήσει αυτό το μάθημα, ακόμη και επαγγελματίες IT. Ένα καλό phishing email έρχεται τη λάθος στιγμή, με τη σωστή ιστορία. Η ντροπή δεν βοηθάει, η γρήγορη αντίδραση βοηθάει. Όσο πιο γρήγορα αντιδράσετε, τόσο λιγότερα μπορεί να κάνει ο επιτιθέμενος με ό,τι έχει αποκτήσει.

Γι' αυτό το πρώτο βήμα σε κάθε επιχείρηση είναι: αναφέρετέ το αμέσως, στον συνάδελφο που διαχειρίζεται το IT ή στην εταιρεία IT σας. Συμφωνήστε ότι όποιος αναφέρει ένα κλικ θα λαμβάνει ένα ευχαριστώ και όχι επίπληξη (περισσότερα σχετικά στο μάθημα 9.2). Όποιος φοβάται την τιμωρία δεν λέει τίποτα, και τότε ο επιτιθέμενος έχει μέρες στη διάθεσή του.

Πρώτα προσδιορίστε: τι ακριβώς συνέβη;

Το τι πρέπει να κάνετε εξαρτάται από το πόσο μακριά φτάσατε. Προσδιορίστε το πρώτα, σύντομα και ειλικρινά.

Το απλό κλικ συνήθως δεν είναι σοβαρό: οι σύγχρονοι browsers είναι καλά προστατευμένοι. Όμως ένα κλικ μπορεί επίσης να ξεκινήσει μια λήψη αρχείου. Αν έχετε αμφιβολίες, αντιμετωπίστε το σαν να πρόκειται για τη βαρύτερη περίπτωση.

Βήμα βήμα τις πρώτες ώρες

1. Αναφορά εντός της επιχείρησής σας. Αμέσως, ακόμη και αν έχετε αμφιβολίες. Περιγράψτε τι είδατε, πότε, και τι συμπληρώσατε ή ανοίξατε. Κρατήστε το μήνυμα: μην το διαγράψετε, θα το χρειαστείτε για την αναφορά.

2. Περιορισμός. Ανοίξατε συνημμένο ή δώσατε πρόσβαση σε κάποιον; Αποσυνδέστε τη συσκευή από το δίκτυο: κλείστε το wifi, αφαιρέστε το καλώδιο δικτύου. Μην την απενεργοποιήσετε αμέσως, γιατί ό,τι βρίσκεται στη μνήμη μπορεί να βοηθήσει στην έρευνα (μάθημα 8.3). Μην συνεχίσετε να εργάζεστε σε αυτή τη συσκευή.

3. Κλήση στην τράπεζα αν εμπλέκονται χρήματα. Αν συμπληρώσατε τραπεζικά στοιχεία ή εγκρίνατε πληρωμή, καλέστε αμέσως την τράπεζά σας, στον αριθμό που αναγράφεται στην κάρτα σας ή στον επίσημο ιστότοπο. Όσο πιο γρήγορα, τόσο μεγαλύτερη η πιθανότητα να σταματήσει ή να ανακτηθεί μια πληρωμή. Επίσης μια πληρωμή σε ψεύτικο IBAN λόγω απάτης τιμολογίου αναφέρεται αμέσως στην τράπεζά σας.

4. Αλλαγή κωδικού πρόσβασης από καθαρή συσκευή. Αλλάξτε τον κωδικό πρόσβασης του λογαριασμού που συμπληρώσατε. Κάντε το σε άλλη συσκευή από εκείνη όπου ανοίξατε το συνημμένο, γιατί εκεί μπορεί να παρακολουθεί ένα κακόβουλο πρόγραμμα. Πληκτρολογήστε τη διεύθυνση εσείς οι ίδιοι ή χρησιμοποιήστε τον σελιδοδείκτη σας, όχι τον σύνδεσμο από το μήνυμα. Αν χρησιμοποιούσατε τον ίδιο κωδικό πρόσβασης και αλλού, αλλάξτε τον και εκεί (μάθημα 2.1).

5. Ανάκληση συνεδριών και έλεγχος του λογαριασμού. Ένας νέος κωδικός πρόσβασης δεν αποβάλλει πάντα αυτόματα έναν επιτιθέμενο που έχει ήδη εισβάλει. Γι' αυτό αποσυνδέστε όλες τις άλλες συνεδρίες (μάθημα 2.5) και ελέγξτε τι μπορεί να έχει αλλάξει:

• έλεγχος ταυτότητας δύο παραγόντων (2FA): υπάρχει κάποια άγνωστη εφαρμογή ή άγνωστος αριθμός τηλεφώνου καταχωρισμένος;
• στοιχεία επαναφοράς: έχει αλλάξει το email επαναφοράς ή ο αριθμός τηλεφώνου;
• κανόνες προώθησης και φίλτρα στο mailbox σας: ένας επιτιθέμενος συχνά τοποθετεί έναν κανόνα που προωθεί όλα τα email, ή μόνο τα email που περιέχουν τη λέξη "τιμολόγιο", στη δική του διεύθυνση ή τα διαγράφει αμέσως. Έτσι διαβάζει τα πάντα, ακόμη και αν έχετε ήδη αλλάξει τον κωδικό πρόσβασής σας·
• απεσταλμένα στοιχεία: έχουν σταλεί email που εσείς δεν γράψατε; Τότε πρέπει να προειδοποιήσετε τις επαφές σας.

6. Αναφορά και προώθηση. Δείτε παρακάτω.

7. Εξέταση αν πρόκειται για παραβίαση δεδομένων. Μπόρεσε ο επιτιθέμενος να μπει σε ένα mailbox, σε αρχείο πελατών ή σε άλλο περιβάλλον με δεδομένα προσωπικού χαρακτήρα; Τότε ενδέχεται να πρόκειται για παραβίαση δεδομένων. Σύμφωνα με τον GDPR (ΓΚΠΔ), μια παραβίαση δεδομένων πρέπει να γνωστοποιείται χωρίς αδικαιολόγητη καθυστέρηση και, αν είναι δυνατόν, εντός 72 ωρών από τη στιγμή που γίνεται αντιληπτή, στην Αρχή Προστασίας Δεδομένων Προσωπικού Χαρακτήρα (ΑΠΔΠΧ), εκτός αν είναι απίθανο να συνεπάγεται κίνδυνο για τα πρόσωπα που αφορά. Σε κάθε περίπτωση καταγράψτε το στο μητρώο παραβιάσεων δεδομένων σας. Πώς αξιολογείτε κάτι τέτοιο, θα το μάθετε στο μάθημα 8.2.

Αναφορά και προώθηση phishing

Η αναφορά έχει νόημα, ακόμη και αν τελικά δεν συνέβη τίποτα. Έτσι μπορεί ένας ψεύτικος ιστότοπος να κλείσει πιο γρήγορα, και προειδοποιούνται και άλλοι.

Στη Δίωξη Ηλεκτρονικού Εγκλήματος. Αναφέρετε το ψεύτικο email με ύποπτους συνδέσμους ή συνημμένα στη Δίωξη Ηλεκτρονικού Εγκλήματος (https://www.cyberalert.gr/). Σύμφωνα με τις οδηγίες της υπηρεσίας:

• προωθήστε κατά προτίμηση το email ως συνημμένο. Με απλή προώθηση χάνονται τα τεχνικά στοιχεία (οι κεφαλίδες από το μάθημα 3.3). Αν αυτό δεν είναι εφικτό, για παράδειγμα σε τηλέφωνο, απλώς προωθήστε το κανονικά·
• αν το email φαίνεται να προέρχεται από τράπεζα ή άλλη γνωστή εταιρεία, προσθέστε τη διεύθυνση εκείνης της εταιρείας σε κοινοποίηση (cc). Πολλές υπηρεσίες αναφοράς διαθέτουν στον ιστότοπό τους λίστα με τέτοιες διευθύνσεις·
• sms, WhatsApp και άλλα μηνύματα δεν τα στέλνετε στην ίδια διεύθυνση, αλλά τα αναφέρετε μέσω της αντίστοιχης φόρμας αναφοράς. Αυτή τη φόρμα χρησιμοποιείτε επίσης για ύποπτο email χωρίς συνδέσμους ή συνημμένα, και για απάτη μέσω τηλεφωνικής υποστήριξης (helpdesk).

Σε πολλά προγράμματα email η προώθηση ως συνημμένο ονομάζεται "Προώθηση ως συνημμένο" ή κάτι παρόμοιο.

Στην εταιρεία της οποίας το όνομα χρησιμοποιήθηκε. Αν χρησιμοποιείται καταχρηστικά το όνομα τράπεζας, μεταφορικής εταιρείας ή προμηθευτή, ενημερώστε τον οργανισμό μέσω καναλιού που θα αναζητήσετε εσείς οι ίδιοι στον πραγματικό ιστότοπό του, όχι μέσω του μηνύματος. Πολλοί οργανισμοί διαθέτουν δική τους διεύθυνση αναφοράς phishing. Αν πρόκειται για τη δική σας εταιρεία φιλοξενίας (hosting) ή τον πάροχο email σας, στείλτε το και εκεί: στην WebOké αυτό γίνεται με ένα ticket, με το email ως συνημμένο (Βάση Γνώσεων 581).

Καταγγελία στην αστυνομία. Αν χάσατε χρήματα, ή υπήρξε κατάχρηση ή απόπειρα κατάχρησης, υποβάλετε καταγγελία στην Ελληνική Αστυνομία, Δίωξη Ηλεκτρονικού Εγκλήματος (https://www.cyberalert.gr/). Οι υπηρεσίες αναφοράς συμβουλεύουν και συγκεντρώνουν καταγγελίες, αλλά δεν μπορούν να διενεργήσουν οι ίδιες ανάκριση. Αυτό μπορεί να το κάνει μόνο η αστυνομία.

Στη συνέχεια μπορείτε να διαγράψετε το μήνυμα και να αποκλείσετε τον αποστολέα.

Έλεγχος μετά από μία εβδομάδα

Μια επίθεση δεν τελειώνει πάντα μετά από μία ημέρα. Ορίστε μια υπενθύμιση για μία εβδομάδα αργότερα:

• Υπάρχουν νέες ειδοποιήσεις σύνδεσης ή άγνωστες συνεδρίες;
• Υπάρχουν άγνωστες πληρωμές στα τραπεζικά αντίγραφα κίνησης;
• Υπάρχουν νέοι κανόνες προώθησης ή φίλτρα στο mailbox;
• Παραπονούνται πελάτες ή προμηθευτές για περίεργα email στο όνομά σας; Τότε ενδέχεται το mailbox σας να χρησιμοποιείται ακόμη για αποστολή spam (Βάση Γνώσεων 25).
• Τι μπορούμε να μάθουμε από αυτό; Ήταν το μήνυμα εύκολο να αναγνωριστεί, και τι θα το έκανε πιο εύκολο να ξεχωρίσει την επόμενη φορά;

Στην πράξη: έτσι μοιάζει

Δευτέρα 9:12. Η Φωτεινή από το Αρτοποιείο Παράδειγμα συμπληρώνει τον κωδικό πρόσβασης του email της σε μια πλαστή σελίδα σύνδεσης του "λογισμικού λογιστικής". Στις 9:15 παρατηρεί ότι η διεύθυνση ήταν boekhoudpakket.inlog-check.example. Το αναφέρει στον Κώστα, που διαχειρίζεται το IT. Στις 9:20 ο Κώστας αλλάζει από το δικό του laptop τον κωδικό πρόσβασης του mailbox της και αποσυνδέει όλες τις συνεδρίες. Στο webmail βρίσκει έναν νέο κανόνα: όλα τα email που περιέχουν "τιμολόγιο" προωθούνται σε άγνωστη διεύθυνση και μετά διαγράφονται. Αφαιρεί τον κανόνα, ενεργοποιεί τον έλεγχο ταυτότητας δύο παραγόντων και ελέγχει τα απεσταλμένα στοιχεία: τίποτα δεν έχει σταλεί. Η Φωτεινή προωθεί το phishing email ως συνημμένο στη Δίωξη Ηλεκτρονικού Εγκλήματος. Ο Κώστας το καταγράφει στο αρχείο καταγραφής περιστατικών και ελέγχει αν ο επιτιθέμενος μπορεί να είδε δεδομένα προσωπικού χαρακτήρα. Μετά από μία εβδομάδα ελέγχει ξανά τους κανόνες και τις συνεδρίες.

Το πού βρίσκονται αυτοί οι κανόνες και οι συνεδρίες διαφέρει ανάλογα με το περιβάλλον. Στην WebOké, οι προωθήσεις μιας διεύθυνσης βρίσκονται στο Το WebOké μου και στο DirectAdmin (Forwarders), και ένας κανόνας μπορεί επίσης να βρίσκεται στο ίδιο το webmail ή το πρόγραμμα email. Σε άλλους παρόχους λειτουργεί παρόμοια: αναζητήστε όρους όπως προώθηση, forwarders, κανόνες ή φίλτρα.

Σύνοψη

• Όλοι κάνουμε κάποια στιγμή κλικ. Αναφέρετέ το αμέσως, χωρίς ντροπή, και συμφωνήστε ότι η αναφορά ανταμείβεται.
• Προσδιορίστε πρώτα τι συνέβη: μόνο κλικ, κωδικός πρόσβασης, κωδικός σύνδεσης, τραπεζικά στοιχεία, συνημμένο ή πρόσβαση εξ αποστάσεως.
• Σειρά: αναφορά, περιορισμός (αποσύνδεση από το δίκτυο), κλήση στην τράπεζα αν εμπλέκονται χρήματα, αλλαγή κωδικού πρόσβασης από καθαρή συσκευή, ανάκληση συνεδριών και έλεγχος λογαριασμού (ιδίως κανόνων προώθησης), αναφορά και προώθηση, αξιολόγηση παραβίασης δεδομένων.
• Προωθήστε το ψεύτικο email ως συνημμένο στη Δίωξη Ηλεκτρονικού Εγκλήματος (https://www.cyberalert.gr/), με την εταιρεία της οποίας το όνομα χρησιμοποιήθηκε σε κοινοποίηση· sms και μηνύματα chat μέσω της φόρμας αναφοράς. Σε περίπτωση ζημίας: καταγγελία στην αστυνομία.
• Επανελέγξτε μετά από μία εβδομάδα.

Κουίζ

Άσκηση

Άσκηση A3.5: Ο χάρτης βημάτων μετά από ένα κλικ. Σας δίνεται μια κατάσταση και μια στοίβα καρτών με βήματα. Επιλέξτε ποια βήματα είναι απαραίτητα και τοποθετήστε τα στη σωστή σειρά. Το πρόγραμμα ελέγχει την απάντησή σας και εξηγεί γιατί ένα βήμα πρέπει να γίνει νωρίτερα ή αργότερα.

Για περαιτέρω μελέτη

Τα βήματα στα άρθρα της WebOké ισχύουν για το περιβάλλον της WebOké· σε άλλους παρόχους λειτουργεί παρόμοια.

• Είναι αυτό το email πραγματικά από την WebOké; Αναγνώριση phishing και χρήση του κωδικού προσφοράς
• Το mailbox σας παραβιάστηκε ή αποστέλλεται spam από τη διεύθυνσή σας: δείτε πώς να το διορθώσετε
• Εγχειρίδιο WebOké 3.6: Προβολή ενεργών συνδέσεων και αποσύνδεση
• Εγχειρίδιο DirectAdmin 3.7: Ασφαλείς κωδικοί πρόσβασης και τι κάνετε όταν διαρρεύσει ένας κωδικός πρόσβασης
• Δίωξη Ηλεκτρονικού Εγκλήματος, αναφορά ψεύτικου email: https://www.cyberalert.gr/
• Δίωξη Ηλεκτρονικού Εγκλήματος, φόρμα αναφοράς για sms, WhatsApp και άλλη απάτη: https://www.cyberalert.gr/
• Εθνική Αρχή Κυβερνοασφάλειας, Phishing: https://cyber.gov.gr/