Facebook je rájem pro podvodníky. Důmyslným trikům už naletí i zkušení

Aktuální phishingové hrozby zmapovali bezpečnostní experti z laboratoří FortiGuard Labs. Ti poukazují především na to, že kyberšmejdi často zneužívají Facebook.

Jejich taktika se přitom nijak dramaticky nezměnila – rozešlou podvodné e-maily a čekají podobně jako rybáři, kdo se na „návnadu“ chytne.

Zatímco před pár lety bylo možné phishingový útok rozeznat už na první pohled, v současnosti jsou podvodné zprávy daleko sofistikovanější. Nachytat se tak mohou nechat i jinak technicky zdatnější jedinci.

„Útočníci stále častěji používají personalizované zprávy a přesvědčivé falešné webové stránky, aby se vyhnuli tradičním bezpečnostním opatřením, což bezpečnostním týmům ztěžuje odhalení,“ varoval Ondřej Šťáhlavský, regionální ředitel společnosti Fortinet pro střední a východní Evropu. Právě Fortinet laboratoře FortiGuard Labs provozuje.

Nejnovější sledování útočných aktivit přitom ukázalo, že Facebook je hlavním cílem phishingových e-mailů. „Jeho rozšířené používání a množství osobních údajů spojených s účty jej činí atraktivním pro kyberzločince, kteří se snaží ukrást přihlašovací údaje nebo zneužít data uživatelů. Mnoho phishingových webových stránek se snaží oklamat uživatele tvrzením, že jejich účet byl zablokován nebo že vyžaduje ověření,“ pokračoval Šťáhlavský.

Když sednou podvodníkům důvěřivci na lep, přijdou zpravidla o přihlašovací údaje, v řadě případů ale pak kyberšmejdi pokračují ve spřádání lží tak, aby z obětí dostali ideálně i nějaké peníze.

Podle zprávy Verizon DBIR 2024 je medián doby, za kterou se uživatel stane obětí phishingového e-mailu, kratší než 60 sekund.

V hledáčků kyberšmejdů, kteří na sítích doslova rybaří, jsou také hráči. „V polovině února došlo k nárůstu pokusů o phishing zaměřených na Roblox, oblíbenou herní platformu mezi mladistvými,“ konstatoval bezpečnostní expert.

„Phishingové e-maily se objevovaly maskované jako upozornění z účtu nebo oznámení o výhrách a vyzývaly oběti ke kliknutí na škodlivé odkazy nebo k poskytnutí citlivých či osobních údajů,“ doplnil Šťáhlavský.

V aktuálních phishingových útocích Facebook a Roblox jednoznačně vedou, experti z laboratoří FortiGuard Labs nicméně zachytili také celou řadu dalších platforem, na které se vykutálení internetoví podvodníci v současnosti zaměřují.

Scénář útoků je přitom vždy podobný, snaží se v nevyžádaném e-mailu uživatele vyděsit, že na dané platformě přišel například o přihlašovací údaje. Aktuálně mají kyberšmejdi v globálním měřítku na mušce tyto platformy:

Pokud vám tedy dorazí zpráva pod hlavičkou některé ze zmíněných platforem, měli byste zpozornět. Je zde totiž velká pravděpodobnost, že se vás snaží oklamat počítačoví piráti.

V případě, že si nejste jisti, zda skutečně pochází daný e-mail od provozovatele nějaké webové služby, neměli byste klikat na žádné odkazy ve zprávě. Bezpečnějším řešením je přihlásit se k dané službě napřímo. Případně se spojit s provozovatelem dané platformy prostřednictvím oficiálních kontaktních údajů na jeho webových stránkách.

Díky tomu totiž na první dobrou zjistíte, zda vás kyberšmejdi pouze nevodí za nos.

Ještě před pár lety bylo podle špatné češtiny a dalších znaků možné rozeznat phishingové útoky bez nadsázky na první pohled. To se ale v poslední době změnilo, jak varovali bezpečnostní experti z laboratoří FortiGuard Labs.

Poukazují na to, že taktiky kyberšmejdů se stávají stále sofistikovanějšími, a tak nemusí být ani pro technicky zdatnější uživatele snadné phishingový útok rozeznat. Internetovým podvodníkům totiž značně ulehčuje práci umělá inteligence (AI).

„Využití umělé inteligence tyto techniky dále zdokonalilo, takže pokusy o phishing jsou klamavější a hůře odhalitelné. Útočníci stále častěji používají personalizované zprávy a přesvědčivé falešné webové stránky, aby se vyhnuli tradičním bezpečnostním opatřením, což bezpečnostním týmům ztěžuje odhalení,“ varoval Šťáhlavský.

Podle něj tedy především pro firmy není vůbec jednoduché proti moderním phishingovým útokům bojovat. „Tradiční bezpečnostní prostředky, jako jsou e-mailové filtry a blacklisty, mohou blokovat známé hrozby, jsou ale méně účinné proti nově vznikajícím phishingovým útokům a útokům řízeným AI,“ konstatoval Šťáhlavský.

Tento problém pomáhají podle něj řešit tzv. Real-time anti-phishing (RTAP) řešení, která „využívají AI a strojové učení k identifikaci a zmírnění rozsáhlých phishingových kampaní i cílených spear phishingových útoků v okamžiku jejich vzniku“. Bezpečnostní experti tedy do boje proti hackerům nasazují také umělou inteligenci.

Zmiňovaný Spear phishing je velmi podobný klasickému phishingu. Hlavní rozdíl je v tom, že útočníci své pobídky nerozesílají náhodně, ale cílí je na konkrétní osoby či firmy, aby byly jejich útoky co nejefektivnější.

„Jedním z hlavních důvodů úspěchu phishingových útoků zůstává lidské pochybení, proto je pro obranu zásadní informovanost a vzdělávání zaměstnanců. Školení zaměstnanců v rozpoznávání a hlášení pokusů o phishing může výrazně snížit riziko organizace. Dobře informovaní zaměstnanci slouží jako první linie obrany proti dnešním stále sofistikovanějším taktikám phishingu,“ poradil bezpečnostní expert.

Podle zprávy Verizon DBIR 2024 zahrnuje 68 % všech narušení bezpečnosti nezáměrný lidský faktor buď prostřednictvím sociálního inženýrství, nebo neúmyslných chyb.