od 2023-03-31

Temat oszustw związanych z pocztą elektroniczną jest bardzo rozbudowany. Jego zbadanie utrudniają sami cyberprzestępcy, wciąż zmieniający swoje metody działania. Możemy się przed nimi uchronić, jeżeli poznamy stosowane przez nich metody i techniki.

Na szczęście, część prób dokonania oszustwa za pośrednictwem e-maili jest do siebie podobna. Umożliwia to nam pokazanie podstawowych elementów, po których rozpoznamy tego typu działanie.

Podszywanie się

Dobrze znanym wariantem oszustwa jest sytuacja, w której ktoś próbuje podszyć się pod inną osobę lub instytucję. Większość przypadków tego typu działań można dość łatwo wykryć.

Przede wszystkim, musimy zwrócić uwagę na adres e-mail, z którego dotarła do nas wiadomość. Przyjrzyjmy mu się dokładnie, a być może zauważymy mniej lub bardziej widoczne oznaki oszustwa. Często adres oszusta będzie łudząco przypominał prawdziwy, jednak okaże się zmieniony w niewielkim stopniu.

Przykład: otrzymaliśmy wiadomość z adresu "podatkl@gmail.com", informującą o oczekującym na nas zwrocie podatku. Zanim zaczniemy planować, na co wydamy zaoszczędzoną kwotę, zwróćmy uwagę na wygląd tego adresu.

Najbardziej rzuca się w oczy domena, z której został wysłany, a więc Gmail. Pierwszy sygnał, że to oszustwo - praktycznie wszystkie instytucje publiczne posiadają własne domeny, np. "@gov.pl" lub "@um.poznan.pl". Kolejny znak - litera "i" w słowie "podatki" zostało zamieniona na literę "l". Jest to prosta technika, dzięki której można udawać wysłanie wiadomości z budzącego zaufanie adresu.

Oczywiście istnieją mniej wyrafinowani oszuści, w swoich wiadomościach nie próbujący nawet podszyć się pod wiarygodny adres. Możemy tutaj przyjąć generalną zasadę - jeżeli adres nadawcy wydaje się podejrzany, z reguły właśnie taki jest. A skoro nie znamy nadawcy, nie warto nawet zwracać uwagi na treść wiadomości.

Najtrudniejszy język świata?

Wiele prób oszustw w sieci jest dokonywanych przez osoby pochodzące spoza naszego państwa. Przebywając poza granicami Polski, liczą na utrudnienie ewentualnych działań organów ścigania i uniknięcie odpowiedzialności. Problem w tym, że tacy oszuści na co dzień nie mówią po polsku.

Tutaj mamy pewną przewagę nad innymi narodami, przynajmniej w kwestii bezpieczeństwa w sieci - nasz język jest trudny do nauki dla osób nie posługujących się nim od dziecka. Choć obcokrajowcy niekiedy potrafią całkiem dobrze się w nim porozumieć, dość trudno będzie im ułożyć e-mail o treści na tyle przekonującej, aby stał się elementem przekonującego oszustwa.

Podobnie sytuacja ma się w przypadku różnego rodzaju tłumaczy i translatorów. Choć technologia idzie do przodu, nadal popełniają błędy przy tłumaczeniu dłuższego tekstu.

Dobra rada - jeżeli otrzymana wiadomość jest pełna błędów gramatycznych, ortograficznych i ogólnie wydaje się mało czytelna, najpewniej jest to próba oszustwa.

Masowa wysyłka

Są takie dni, w których praca po prostu "nie idzie". Jesteśmy wtedy zdekoncentrowani, a co za tym idzie - bardziej narażeni na popełnienie błędu. Cyberprzestępcy na szczęście nie są pod tym względem wyjątkowi i im również zdarzają się pomyłki. Jedną z nich jest wysyłka wiadomości na masową skalę tak, że widzą to ich odbiorcy.

Generalnie można bez trudu ukryć fakt wysłania wiadomości e-mail do wielu odbiorców, korzystając z opcji wysyłki "UDW". Wyobraźmy sobie jednak, że oszust chce wysłać mail udający gratulacje wygranego wyjazdu na weekend do Zakopanego na kilkadziesiąt adresów. W ten sposób zwiększy szansę, że któraś z nich kliknie w podany link i podzieli się z nim swoimi danymi logowania do banku. Zamiast skorzystać z opcji "UDW", przez przypadek wkleja przygotowane adresy do normalnego pola adresata wiadomości.

Dzięki temu, potencjalna ofiara podstępu po odebraniu wiadomości zauważy, że komunikat trafił do dużej grupy nadawców. Tutaj sprawca nieumyślnie sam pomógł nam wykryć swoje działania - dzięki czemu wiemy, że jest to próba oszustwa.

Nagrody dla każdego

Pozostańmy na chwilę w temacie wygranych nagród i loterii. Chyba nie trudno zgodzić się ze stwierdzeniem, że w życiu rzadko zdarza się otrzymać coś za darmo. Najczęściej będziemy musieli podjąć w tym celu jakieś działanie, choćby miało nim być wysłanie zgłoszenia. Innym razem trzeba będzie spełnić określone wymagania, np. zakupić zwycięski los na loterię.

Możemy zatem z dużą pewnością powiedzieć, że wiadomość e-mail o wygraniu kompletu tytanowych garnków raczej nie będzie miała na celu przekazanie nam radosnej nowiny. Przyjmijmy, że jest to po prostu próba oszustwa.

Jako wyjątek można natomiast potraktować sytuację, w której oczekiwaliśmy takiej wiadomości, ponieważ startowaliśmy w jakimś konkursie. Musimy jednak pamiętać, że oszust mógł się o tym dowiedzieć i stara się wykorzystać tą wiedzę na swoją korzyść. Warto zatem jednocześnie stosować pozostałe, przedstawione w tym tekście porady.

Mam twoje konto

Dość bezczelną metodą oszustwa jest próba wmówienia nam, że sprawca posiada dostęp do naszych kont i urządzeń. Nadawca potrafi też grozić ujawnieniem zapisów z kamery internetowej, co z różnych przyczyn potrafi przerazić niektórych internautów.

Tego typu wiadomości najczęściej zawierają ultimatum - albo wpłacimy na konto sprawcy określoną kwotę, albo ujawni posiadane dane. Niektórzy przestępcy są nawet na tyle uczynni, że zamieszczają instrukcję przelewu, np. w Bitcoinach, które trudniej namierzyć niż zwykłą walutę.

Jeżeli nie damy się ponieść emocjom to w większości przypadków łatwo ocenimy, że taka wiadomość jest próbą oszustwa i nie ma sensu się nią martwić. Gorzej, gdy nadawca podaje informacje, do których w teorii nie powinien mieć dostępu. Również tutaj musimy na spokojnie przeanalizować ten problem.

Czasami w internecie pojawiają się wycieki z różnych baz danych. Cyberprzestępcy mogą pozyskać z nich nasze dane do logowania na portalach, z których pochodzi wyciek. Nie jest to dla nas problem, o ile do każdego konto stosujemy osobne, mocne hasło. Więcej na ich temat pisaliśmy w artykule: Bezpieczeństwo haseł (bip.poznan.pl).

Jeżeli mimo wszystko używaliśmy tego samego hasła do wielu serwisów, zrobiliśmy przysługę oszustowi. Poznając hasło do jednego portalu, może za pomocą tych samych danych zalogować się w innym miejscu. W taki sposób zdobywa dostęp do informacji, które wykorzysta do przekonania nas, że złamał dostęp do wszystkich naszych kont - także tych, do których de facto nigdy się nie włamał.

Istnieje strona internetowa na której sprawdzimy, czy nasze dane nie były elementem jednego z wielu wycieków. Jest ona dostępna tutaj: Have I been pwned (haveibeenpwned.com), niestety jedynie w języku angielskim. Jeżeli otrzymamy z niej komunikat o wykryciu naszych danych w jednym z wycieków, najlepiej profilaktycznie zmienić hasła powiązane z tym kontem. Należy też zmienić hasło na wszystkich portalach, na których używaliśmy identyczncyh lub zbliżonych danych logowania.

Natomiast co do samego oszustwa - pamiętajmy, że nawet gdyby przestępca faktycznie włamał się na nasze konto, nie warto płacić. Przede wszystkim, nigdy nie mamy gwarancji czy faktycznie wykradziono nasze dane. Sama zapłata okupu nie da nam również pewności, czy sprawca tych informacji i tak nie udostępni lub nie sprzeda. Co więcej, płacąc okup dla cyberprzestępców w pewnym sensie finansujemy ich działalność. Dzięki naszym pieniądzom mogą zakupić lepsze narzędzia, dzięki którym będą przeprowadzać dalsze oszustwa. W takich wypadkach należy jak najszybciej skontaktować się z Policją lub Prokuraturą, co można zrobić online. Powinniśmy również poinformować zespół CERT Polska, monitorujący zagrożenia w sieci. Więcej na ten temat przeczytacie tutaj: Jak zgłosić zagrożenie? (bip.poznan.pl).

Tutaj nie klikaj

Częstym elementem oszustw jest wykorzystywanie odpowiednio przygotowanych odnośników. Ich celem jest skłonienie nas do kliknięcia i przejścia pod inny adres internetowy. Tutaj możemy zauważyć dwa podstawowe sposoby działania cyberprzestępców.

Pierwszym z nich jest skierowanie nas na stronę internetową, która będzie próbowała wyłudzić nasze dane, np. informacje potrzebne do płatności kartą. Taka witryna potrafi być wyrafinowana i do złudzenia przypominać inną, w której również podajemy jakiegoś rodzaju dane. Przykład - logowanie do banku. Zazwyczaj fałszywe strony są jednak przygotowane mało starannie i nie ma problemu ze stwierdzeniem, że to oszustwo.

Jak się przed tym ochronić? Wystarczy nie podawać żadnych danych na stronach, na które trafiliśmy dzięki linkom z przeglądarki. Te same strony, np. banku, możemy otworzyć w osobnym oknie przeglądarki i zalogować się na nich.

Innym sposobem działania jest spreparowanie odnośnika prowadzącego do strony mogącej zainfekować nasz komputer złośliwym oprogramowaniem. Często cała wiadomość jest spreparowana w taki sposób, aby przekonać nas do kliknięcia w taki odnośnik. Może w tym celu zawierać np. informację o blokadzie konta w serwisie np. Google - chyba, że klikniemy w odnośnik. Oczywiście nie ma żadnej blokady, to tylko sprytna próba oszustwa.

Główną linią obrony przed takim atakiem jest nasza uwaga podczas korzystania z poczty. Nie klikajmy w taki odnośnik! Na początek sprawdźmy, czy reszta wiadomości nie zawiera innych oznak oszustwa, które omówiliśmy już w tym tekście.

Jeżeli mimo wszystko treść wydaje się wiarygodna, możemy spróbować skopiować odnośnik i sprawdzić go w serwisie: VirusTotal (virustotal.com), dostępnym w języku angielskim. Pozwala on przeanalizować adresy internetowe i pliki, które wydają się nam podejrzane. Tutaj znowu prosta zasada - jeżeli odnośnik jest niepewny, nie klikamy w niego.

Możemy również spróbować bez klikania najechać kursorem myszy na dany odnośnik. Zobaczymy wtedy w lewym dolnym rogu przeglądarki adres strony, na który zostaniemy przekierowani w przypadku kliknięcia w link. Dla zachowania bezpieczeństwa, adres musi zgadzać się z tym, co próbuje nam zakomunikować link. Dla przykładu: jeśli link ma prowadzić do strony Poznan.pl, w odnośniku nie powinien znajdować się adres innej strony internetowej. Ten sposób działania można przetestować na następującym odnośniku: Sprawdź tutaj (poznan.pl). Jak widać, odnośnik może być spreparowany - musimy więc zwracać uwagę, w co klikamy.

Podsumowanie

Trudno jest w tak krótkim tekście zmieścić jak najwięcej porad o bezpiecznym korzystaniu z poczty elektronicznej. Inwencja twórcza oszustów dodatkowo utrudnia analizę metod ich działań.

Niemniej, stosując się do powyższych zasad unikniemy części zagrożeń mogących płynąć z wiadomości e-mail. Generalnie warto pamiętać, że przy codziennym korzystaniu z internetu należy po prostu zachować uwagę i zdrowy rozsądek. Czytajmy wiadomości ze zrozumieniem i nie klikajmy w każdy odnośnik, a już staniemy się potencjalnie trudniejszą ofiarą dla znacznej części oszustów.

Uwaga! Problem niebezpiecznych załączników do wiadomości został poruszony w inny artykule. Jeżeli chcecie dowiedzieć się, jak je rozpoznawać, sprawdźcie artykuł: Niebezpieczne załączniki... (poznan.pl).