Phishing

Čo to znamená

Phishing je podvodná správa, najčastejšie e-mail, SMS alebo správa v komunikátore, ktorá sa vydáva za dôveryhodného odosielateľa, napríklad banku, dodávateľa, kuriéra či daňový úrad. Cieľom je, aby príjemca klikol na odkaz, zadal heslo, otvoril infikovanú prílohu alebo poslal peniaze.

Phishing je najrozšírenejšou formou sociálneho inžinierstva. Neútočí na technológie, ale na ľudí a ich dôveru, zhon či strach. Cielená verzia, takzvaný spear phishing, pracuje s konkrétnymi menami, projektmi a faktúrami, preto je oveľa ťažšie rozpoznateľná.

Pre firmy je najnebezpečnejší podvod s faktúrou a zmenou účtu. Útočník sa vydáva za známeho dodávateľa alebo konateľa a žiada úhradu na nový účet. Pri okamžitej platbe sú peniaze preč za niekoľko sekúnd.

Ako to funguje v praxi

Prvou obranou je technické nastavenie e-mailu. Odporúčame firmám zaviesť SPF, DKIM a DMARC, ktoré sťažujú falšovanie ich domény, a zapnúť dvojfaktorovú autentifikáciu pre e-mail, banku a účtovný systém.

Heslá by si zamestnanci nemali pamätať ani písať, ale uchovávať ich v správcovi hesiel. Ten navyše vyplní heslo len na správnej doméne, takže na falošnej stránke zlyhá, čo je dobrý varovný signál.

V našej práci s klientmi platí pravidlo: zmenu bankového účtu dodávateľa alebo nezvyčajnú platobnú požiadavku vždy overujeme telefonicky na čísle, ktoré už máme, nie na čísle z e-mailu. Rovnaký postup odporúčame zaviesť do interných pravidiel pre platby.

Na čo si dať pozor

Kliknutie na phishingový odkaz môže byť začiatkom väčšieho útoku, napríklad ransomvéru, ktorý zašifruje dáta firmy. Kto klikne, mal by to okamžite nahlásiť, nie skrývať. Rýchla reakcia, zmena hesiel a odpojenie zariadenia výrazne znižujú škodu.

Ak pri útoku uniknú osobné údaje, firma môže mať povinnosť ohlásiť incident dozornému orgánu podľa GDPR a informovať dotknuté osoby. Kybernetické poistenie môže kryť časť nákladov, ale spravidla vyžaduje, aby firma mala zavedené základné bezpečnostné opatrenia.