Klikli jste? Co dělat teď

Modul 3: Rozpoznání phishingu · Doba čtení: 12 minut

Cíl lekce: Po této lekci budete vědět, co dělat v prvních hodinách po kliknutí na odkaz, vyplnění hesla, vyplnění bankovních údajů nebo otevření přílohy, ve správném pořadí, a jak phishing nahlásit a přeposlat.
Klíčové pojmy: omezení škody, změna hesla z čistého zařízení, odhlášení relací, telefonát bance, nahlášení, přeposlání phishingu (například na CSIRT.CZ a zneužité značce)

Může se to stát každému

Každý jednou klikne na nesprávný odkaz. I lidé, kteří absolvovali tento kurz, i lidé z IT. Dobře udělaný phishingový e-mail přijde ve špatnou chvíli, se správným příběhem. Stud nepomůže, rychlé jednání ano. Čím dříve zasáhnete, tím méně toho útočník může s tím, co získal, udělat.

Proto je prvním krokem v každé firmě: nahlaste to ihned kolegovi, který má na starosti IT, nebo Vaší IT firmě. Domluvte se, že kdo nahlásí kliknutí, dostane poděkování, ne vyhubování (více o tom v lekci 9.2). Kdo se bojí trestu, mlčí, a útočník pak má dny času.

Nejprve zjistěte: co přesně se stalo?

Co máte dělat, závisí na tom, jak daleko jste zašli. Nejprve to stručně a upřímně zjistěte.

Samotné kliknutí obvykle není závažné: moderní prohlížeče jsou dobře chráněné. Ale kliknutí může také spustit stahování. Pokud máte pochybnosti, zacházejte s tím jako se závažnější situací.

Krok za krokem v prvních hodinách

1. Nahlaste to ve firmě. Ihned, i při pochybnostech. Řekněte, co jste viděli, kdy, a co jste vyplnili nebo otevřeli. Zprávu uschovejte: nemažte ji, budete ji potřebovat k nahlášení.

2. Omezte škodu. Otevřeli jste přílohu nebo někomu umožnili přístup? Odpojte zařízení od sítě: vypněte wifi, vytáhněte síťový kabel. Nevypínejte ho hned, protože to, co je v paměti, může pomoci při vyšetřování (lekce 8.3). Na tomto zařízení dále nepracujte.

3. Při penězích zavolejte bance. Pokud jste vyplnili bankovní údaje nebo schválili platbu, zavolejte okamžitě své bance, na číslo uvedené na kartě nebo na oficiálních stránkách. Čím rychleji, tím větší šance, že se platbu podaří zastavit nebo vrátit. I platbu na podvodný účet po fakturačním podvodu nahlaste ihned bance.

4. Změňte heslo z čistého zařízení. Změňte heslo účtu, do kterého jste se přihlásili. Udělejte to na jiném zařízení, než na kterém jste otevřeli přílohu, protože tam může program sledovat, co děláte. Adresu napište sami nebo použijte záložku, ne odkaz ze zprávy. Pokud jste stejné heslo použili i jinde, změňte ho i tam (lekce 2.1).

5. Zrušte relace a zkontrolujte účet. Nové heslo automaticky nevyhodí útočníka, který se již přihlásil. Odhlaste proto všechny ostatní relace (lekce 2.5) a zkontrolujte, co mohl změnit:

• dvoufázové ověření: není tam přidaná neznámá aplikace nebo neznámé telefonní číslo?
• obnovovací údaje: nebyl změněn obnovovací e-mail nebo telefonní číslo?
• pravidla pro přeposílání a filtry ve Vaší schránce: útočník si rád nastaví pravidlo, které přeposílá veškerou poštu, nebo jen poštu se slovem „faktura“, na jeho adresu nebo ji rovnou maže. Takto s Vámi čte i poté, co jste si už heslo změnili;
• odeslané položky: byly odeslány e-maily, které jste nenapsali Vy? Pak musíte varovat své kontakty.

6. Nahlaste a přepošlete. Viz níže.

7. Zjistěte, zda nejde o únik dat. Měl útočník přístup do schránky, databáze zákazníků nebo jiného prostředí s osobními údaji? Pak může jít o únik osobních údajů. Podle GDPR musíte únik osobních údajů bez zbytečného odkladu, a pokud možno do 72 hodin od zjištění, nahlásit Úřadu pro ochranu osobních údajů (ÚOOÚ), pokud není nepravděpodobné, že by představoval riziko pro dotčené osoby. V každém případě ho zaznamenejte do registru úniků osobních údajů. Jak to posoudit, se naučíte v lekci 8.2.

Nahlášení a přeposlání phishingu

Nahlášení má smysl, i když se nic nestalo. Falešná stránka tak může rychleji zmizet a ostatní budou varováni.

Národnímu týmu CSIRT.CZ. CSIRT.CZ přijímá podvodné e-maily s podezřelými odkazy nebo přílohami, které mu lze nahlásit prostřednictvím jejich webu https://csirt.cz/. Doporučení:

• pokud možno přepošlete e-mail jako přílohu. Při běžném přeposlání se ztrácejí technické údaje (hlavičky z lekce 3.3). Pokud to nejde, například na telefonu, přepošlete ho jednoduše běžným způsobem;
• zdá-li se, že e-mail pochází od banky nebo jiné známé firmy, uveďte adresu této firmy v kopii (cc), pokud ji máte k dispozici;
• sms, WhatsApp a jiné zprávy nahlaste prostřednictvím Policie ČR (https://www.policie.gov.cz/) nebo národního týmu CSIRT.CZ (https://csirt.cz/). Stejnou cestu použijte i pro podezřelý e-mail bez odkazů či příloh a pro podvody typu helpdesk po telefonu.

Ve většině e-mailových programů se přeposlání jako příloha nazývá „Přeposlat jako přílohu“ nebo podobně.

Zneužité značce. Je-li zneužito jméno banky, dopravce nebo dodavatele, dejte to dané organizaci vědět přes kanál, který si sami najdete na jejich skutečných stránkách, ne přes zprávu samotnou. Mnoho organizací má vlastní adresu pro nahlášení phishingu. Jde-li o Vašeho vlastního poskytovatele hostingu nebo e-mailu, pošlete to i tam; u WebOké to lze přes tiket, s e-mailem jako přílohou (Znalostní báze 581).

Trestní oznámení na policii. Přišli jste o peníze, nebo došlo ke zneužití či pokusu o něj, podejte trestní oznámení. Policie České republiky (https://www.policie.gov.cz/) je jediná, kdo může věc skutečně vyšetřovat.

Poté můžete zprávu smazat a odesílatele zablokovat.

Kontrola po týdnu

Útok nemusí vždy skončit po jednom dni. Nastavte si připomínku na týden později:

• Objevila se nová přihlašovací oznámení nebo neznámé relace?
• Jsou na bankovních výpisech neznámé platby?
• Objevila se nová pravidla pro přeposílání nebo filtry ve schránce?
• Stěžují si zákazníci nebo dodavatelé na podivné e-maily zasílané jménem Vaší firmy? Pak může být Vaše schránka stále zneužívána k odesílání spamu (Znalostní báze 25).
• Co se z toho můžeme poučit? Dala se zpráva dobře rozpoznat a co by ji příště prozradilo dříve?

V praxi: takto to vypadá

Pondělí 9:12. Fatima z Pekárny Example vyplní heslo ke svému e-mailu na napodobené přihlašovací stránce „účetního programu“. V 9:15 si všimne, že adresa byla boekhoudpakket.inlog-check.example. Nahlásí to Kryštofovi, který má na starosti IT. V 9:20 Kryštof ze svého vlastního notebooku změní heslo k její schránce a odhlásí všechny relace. Ve webmailu najde nové pravidlo: veškerá pošta se slovem „faktura“ jde na neznámou adresu a poté se maže. Pravidlo odstraní, zapne dvoufázové ověření a zkontroluje odeslané položky: nic odesláno nebylo. Fatima přepošle phishingový e-mail jako přílohu národnímu týmu CSIRT.CZ. Kryštof to zapíše do incidentního deníku a zkontroluje, zda útočník mohl vidět osobní údaje. Po týdnu znovu zkontroluje pravidla a relace.

Kde se tato pravidla a relace nacházejí, se liší podle prostředí. U WebOké jsou přesměrování adresy v Můj WebOké a v DirectAdmin (Forwarders), a pravidlo může být i přímo ve webmailu nebo v e-mailovém programu. U jiných poskytovatelů to funguje podobně: hledejte přeposílání, forwardery, pravidla nebo filtry.

Shrnutí

• Každý někdy klikne vedle. Nahlaste to ihned, bez studu, a domluvte se, že nahlášení se odměňuje.
• Nejprve zjistěte, co se stalo: jen kliknutí, heslo, kód, bankovní údaje, příloha nebo vzdálený přístup.
• Pořadí: nahlásit, omezit škodu (odpojit od sítě), při penězích zavolat bance, změnit heslo z čistého zařízení, zrušit relace a zkontrolovat účet (zejména pravidla pro přeposílání), nahlásit a přeposlat, posoudit únik osobních údajů.
• Podvodný e-mail přepošlete jako přílohu národnímu týmu CSIRT.CZ (https://csirt.cz/), případně s kopií zneužité značce; sms a chatové zprávy přes Policii ČR nebo CSIRT.CZ. Při škodě: trestní oznámení.
• Po týdnu zkontrolujte znovu.

Kvíz

Úkol

Úkol A3.5: Kartička kroků po kliknutí. Dostanete situaci a sadu kartiček s kroky. Vyberte, které kroky jsou potřeba, a seřaďte je ve správném pořadí. Program to zkontroluje a vysvětlí, proč má krok následovat dříve nebo později.

Další čtení

Kroky v článcích WebOké platí pro prostředí WebOké; u jiných poskytovatelů to funguje podobně.

• Je jedná o e-mail skutečně od WebOké? Jak rozpoznat phishing a použít akční kód
• Zabraný e-mail nebo spam z Vaší adresy: jak to vyřešit
• Příručka WebOké 3.6: Zobrazení aktivních relací a odhlášení
• Příručka k DirectAdmin 3.7: Bezpečná hesla a co dělat při úniku hesla
• CSIRT.CZ, nahlášení podvodného e-mailu: https://csirt.cz/
• Policie České republiky: https://www.policie.gov.cz/
• NÚKIB, doporučení k phishingu: https://nukib.gov.cz/