Varování: podvodná zpráva bude nejspíš i ve vaší schránce

Kyberbezpečnostní tým Masarykovy univerzity monitoruje zvýšenou hrozbu phishingových útoků, jejichž cílem je obelstít a zmanipulovat uživatele k chování, které útočník vyžaduje. Chceme proto vyzvat všechny uživatele Masarykovy univerzity ke zvýšené opatrnosti.

1. 12. 2023 Varování

O co jde?

Při phishingovém útoku se útočník obvykle vydává za důvěryhodnou osobu nebo instituci a přiměje oběť za pomocí manipulace (urgence, časového nátlaku), aby pro něj něco vykonala – poslala mu informace, nainstalovala si škodlivý software či klikla na odkaz v e-mailu, který vede
na podvrženou webovou stránku. Na této stránce jsou většinou umístěny podvodné webové formuláře k zadání přihlašovacích údajů, čísel platebních karet a dalších citlivých informací. Útočníci často používají různé sofistikované techniky, aby svůj podvod co nejvíce přiblížili skutečnosti, a proto je mnohdy náročné phishing identifikovat.

Phishingové e-maily jsou mimořádně nebezpečné. Mohou se snadno zamaskovat mezi běžnými e-maily, což zvyšuje riziko, že uživatelé bez povšimnutí kliknou na podvržené odkazy nebo poskytnou citlivé informace, aniž by si uvědomili, že se jedná o podvod.

Jak může takový phishing vypadat?

From: MUNI Personální muni.personalni@gmail.com
Sent: Wednesday, April 19, 2023 1:24 PM
Subject: Dodatek k pracovní smlouvě – upozornění na chybějící vyjádření

Dobrý den,

doposud od Vás nemáme vyjádření k tomu, zda je připravovaný dodatek k Vaší pracovní smlouvě v pořádku. Upozorňujeme, že termín
pro odeslání zpětné vazby končí zítra. Návrhy odeslané po tomto datu nebudou zapracovány.

Současnou formu dodatku naleznete zde.
Vaše komentáře posílejte prosím v reakci na tento email.

S pozdravem
Mgr. et Mgr. Veronika Novotná
HR specialistka – Odbor pro personální řízení MU

Jak se tedy nenechat zmanipulovat a na co si dávat pozor?

Hlavičky e-mailu

Odesílatel e-mailu může být podobný jménu a adrese e-mailu legitimní organizace (například bankovní instituci), ale ve skutečnosti se liší např. mírně upraveným názvem nebo doménou. V případě našeho univerzitního prostředí se můžeme setkat hlavičkami podobnými
inet-mt@ics.munl.cz místo oficiální inet-mt@ics.muni.cz (použití malého "L" namísto "i" v doméně @ics.muni.cz).

Co dělat?

Je nutné kontrolovat adresu odesílatele a každou nepatrnější změnu v názvu domény
(jako je použití písmena "v" místo "u" apod.).

Tělo e-mailu

Je důležité kontrolovat obsah phishingového e-mailu, který může obsahovat URL odkazy vedoucí na neznámé webové stránky a požadavky na citlivé informace, jako jsou přihlašovací údaje a čísla platebních karet. Útočníci mohou v e-mailech navozovat falešné urgentní situace (například výhrůžky ztrátou dat), aby uživatele pod tlakem donutili k rychlému jednání bez dostatečného zvážení.

Co dělat?

I když se tyto e-maily mohou zdát na první pohled jako důvěryhodné, podstatné je si uvědomit, že legitimní autorita (např. banka nebo univerzita) nikdy nebude požadovat citlivé údaje, jako je např. heslo, prostřednictvím e-mailu. Kriticky zhodnoťte obsah
e-mailu a webových stránek na které je odkazováno. Hlídejte si neobvyklý text s gramatickými chybami, krkolomnými frázemi a nesmyslným oslovením. Dále se ujistěte, že odkazy vedou na legitimní webové stránky, a že URL adresa je opravdu ta, kterou chcete navštívit.

Patičky e-mailu

Loga umístěna v patičkách e-mailů jsou nejčastěji zneužita, aby navodila pocit, že se jedná o oficiální e-mail. V momentě, kdy uživatel vidí logo instituce, kterou zná a důvěřuje jí, je méně opatrný a může být náchylnější k zadání citlivých informací, aniž by si uvědomil, že se jedná o útok.

Co dělat?

Při přijímání e-mailů od neznámých odesílatelů je nutné být opatrný a nenechat se uchlácholit zdánlivě věrohodně vypadajícími prvky. V případě pochybností o jejich pravosti neklikejte na odkazy. Místo toho kontaktujte přímo danou instituci či odesílatele, aby ověřili pravost e-mailu.

Upozorňujeme také na sofistikovanější variantu phishingu, a to tzv. spear-phishing. Přesněji se jedná o typ útoku, při kterém útočník sbírá informace o jednotlivcích nebo skupinách a vytváří podvodné e-maily tak, aby byly co nejvíce věrohodné. Informace o cíli útočníci nejčastěji získávají z veřejně dostupných zdrojů. I když není tato forma útoku tak běžná, jedná se o velmi nebezpečný způsob získávání informací a dat
od uživatelů. Proto v případě, kdy v e-mailové komunikaci jde o důležitá data, peněžní částky apod., buďte zvláště obezřetní.

Efektivní ochranu proti phishingovým útokům, které se pokouší ukrást vaše přístupové údaje, představuje multifaktorové ověření, zejména pak jeho varianta využívající bezpečnostní klíč. Návody, jakým způsobem je možné zavést tento způsob ověření na vaše zařízení najdete na IT MU. Dalším klíčovým prvkem ochrany před phishingem je využívání správce hesel. Správci vám zajistí bezpečnou (šifrovanou) správu hesel a ochranu vašich účtů. Zároveň vám usnadní každodenní rutinu tím, že eliminují potřebu pamatovat si různá hesla.

Slovo závěrem

Zaútočit na člověka je levnější, rychlejší a celkově snažší než se o totéž pokoušet u sofistikovaně zabezpečených technologií. Právě proto pro vás náš tým neustále připravuje vzdělávací obsah, který vám pomůže chovat se v kyberprostoru bezpečněji. Pokud se vám přeci jen někdy stane, že budete obětí útočníků, nebo máte jen podezření na phishingový e-mail, tak se neváhejte obrátit na Kyberbezpečnostní tým Masarykovy univerzity.