Kako zaščititi e-pošto pred phishing napadi

Kaj je phishing?

Phishing je oblika kibernetskega napada, pri katerem napadalec poskuša prevarati žrtev, da razkrije občutljive informacije, kot so gesla, številke kreditnih kartic ali osebni podatki. Napadalec se predstavlja kot zaupanja vredna organizacija ali oseba prek e-pošte, SMS-a ali lažne spletne strani.

Po poročilih je phishing odgovoren za več kot 90 % vseh kibernetskih napadov. V Sloveniji so še posebej pogosti napadi, ki posnemajo banke, davčni urad, dostavne službe in priljubljene spletne storitve. Vsako podjetje, ne glede na velikost, je lahko tarča phishing napadov. Profesionalna profesionalna e-pošta s pravilno avtentikacijo je prva linija obrambe.

Vrste phishing napadov

Email phishing

Najpogostejša oblika phishing-a. Napadalec pošlje masovne e-pošte, ki izgledajo, kot da prihajajo od legitimne organizacije. E-pošta običajno vsebuje povezavo na lažno spletno stran, ki izgleda enako kot prava, ali okuženo prilogo (attachment).

Spear phishing

Ciljan napad na določeno osebo ali organizacijo. Napadalec raziskuje žrtev prek družbenih omrežij in javnih podatkov, nato pa ustvari personalizirano e-pošto, ki deluje zelo prepričljivo. Veliko bolj nevarno od množičnega phishing-a, ker ga je težje prepoznati.

Whaling

Podzvrst spear phishing-a, ki cilja na visoko pozicionirane zaposlene (CEO, CFO, direktorje). E-pošte pogosto posnemajo pravne dokumente, davčne napovedi ali zahteve za nujne prenose denarja.

Business Email Compromise (BEC)

Napadalec kompromitira ali posnema e-poštni naslov zaposlenega (običajno direktorja) in pošilja zahteve za prenos denarja ali občutljivih podatkov drugim zaposlenim. BEC napadi so izjemno donosni za napadalce - povprečna škoda je preko 100.000 dolarjev na napad.

Smishing in Vishing

Smishing uporablja SMS sporočila, vishing pa telefonske klice za prevaro. V Sloveniji so pogosti SMS-i, ki se predstavljajo kot dostavne službe z zahtevo za plačilo "dodatnih stroškov dostave".

Kako prepoznati phishing e-pošto

Obstaja več znakov, ki kažejo, da je e-pošta lahko poskus phishing-a. Bodite pozorni na naslednje elemente, preden kliknete na katero koli povezavo ali odprete prilogo.

• Sumljiv naslov pošiljatelja: Preverite natančen e-poštni naslov, ne samo ime pošiljatelja. Napadalci uporabljajo naslove, kot je "support@banka-slovenija.com" namesto prave domene banke.
• Nujnost in grožnje: "Vaš račun bo blokiran v 24 urah" ali "Nujno potrdite svoje podatke" so klasične phishing taktike.
• Slovnične napake: Profesionalne organizacije imajo lektorje. Veliko slovničnih napak in čudnih formulacij so rdeča zastava.
• Generičen pozdrav: "Spoštovani uporabnik" namesto vašega imena - legitimne organizacije vas običajno nagovorijo po imenu.
• Sumljive povezave: Z miško pojdite čez povezavo (brez klika!) in si oglejte pravi URL. Če se razlikuje od pričakovanega, ne kliknite.
• Nepričakovane priloge: Nikoli ne odpirajte prilog, ki jih niste pričakovali, še posebej .exe, .zip ali .doc datotek z makri.
• Zahteva po občutljivih podatkih: Nobena legitimna organizacija po e-pošti ne bo zahtevala gesla, PIN-a ali številke kartice.

Tehnična zaščita: SPF, DKIM in DMARC

SPF, DKIM in DMARC so trije dopolnjujoči protokoli, ki skupaj zagotavljajo močno zaščito pred email spoofing-om - tehniko, s katero napadalec pošilja e-pošto z lažnim naslovom pošiljatelja.

SPF (Sender Policy Framework)

SPF lastniku domene omogoča, da določi, kateri strežniki imajo dovoljenje za pošiljanje e-pošte v imenu te domene. Sprejemajoči strežnik preveri SPF zapis v DNS-u in zavrne e-pošto, ki prihaja z neavtoriziranih strežnikov.

SPF zapis v DNS-u izgleda takole: v=spf1 include:_spf.google.com include:mail.beohosting.com -all. Ta zapis pravi, da samo Google in BeoHosting mail strežniki smejo pošiljati e-pošto z vaše domene. Oznaka "-all" na koncu pomeni, da je treba vse ostale zavrniti.

DKIM (DomainKeys Identified Mail)

DKIM doda digitalni podpis vsaki e-pošti, ki jo pošljete. Sprejemajoči strežnik uporabi javni ključ, objavljen v DNS-u, za preverjanje, da e-pošta med prenosom ni bila spremenjena in da resnično prihaja z vaše domene.

DKIM uporablja asimetrično kriptografijo - zasebni ključ na vašem mail strežniku podpisuje vsako e-pošto, javni ključ v DNS-u pa omogoča preverjanje. Brez pravilnega podpisa bo e-pošta označena kot sumljiva.

DMARC (Domain-based Message Authentication, Reporting, and Conformance)

DMARC je nadgradnja SPF in DKIM, ki sprejemajočemu strežniku pove, kaj naj naredi z e-pošto, ki ne prestane SPF/DKIM preverjanja. DMARC prav tako omogoča poročila o poskusih zlorabe vaše domene.

• p=none: Samo spremljanje - ne vpliva na dostavo, vendar pošilja poročila. Uporabite za začetek, da vidite, kaj se dogaja.
• p=quarantine: E-pošta, ki ne prestane preverjanja, gre v spam mapo. Priporočena raven za večino strani.
• p=reject: E-pošta, ki ne prestane preverjanja, se popolnoma zavrne. Najstrožja nastavitev za maksimalno zaščito.

Priporočilo je, da začnete s p=none, mesec dni spremljate poročila, nato preidete na p=quarantine in na koncu na p=reject. Tako ne boste pomotoma blokirali legitimne e-pošte.

Izobraževanje zaposlenih

Tehnična zaščita je samo ena stran medalje. Človeški faktor ostaja najšibkejši člen v verigi varnosti. Redno izobraževanje zaposlenih je ključno za zaščito pred phishing-om.

Elementi programa izobraževanja

• Simulirani phishing testi: Občasno pošljite testne phishing e-pošte zaposlenim in spremljajte, kdo klikne. Orodja, kot sta KnowBe4 ali Gophish, avtomatizirajo ta postopek.
• Redne delavnice: Četrtletne delavnice s primeri aktualnih phishing napadov. Pokažite resnične primere napadov, ki ciljajo na vašo industrijo.
• Jasni postopki: Določite postopek za prijavo sumljive e-pošte. Zaposleni morajo vedeti, na koga se obrniti in kaj storiti.
• Dvofaktorska avtentikacija: Obvezna 2FA za vse poslovne račune. Tudi če napadalec pridobi geslo, ne bo mogel dostopati do računa brez drugega faktorja.
• Password manager: Uporabljajte upravitelje gesel, kot sta Bitwarden ali 1Password, za edinstvena, močna gesla za vsak račun.

Kaj storiti, če ste žrtev phishing-a

• Takoj spremenite gesla: Za kompromitiran račun in vse druge račune, kjer uporabljate isto geslo.
• Obvestite IT ekipo: Incident prijavite takoj - čas je kritičen za omejitev škode.
• Preverite bančne transakcije: Če ste vnesli finančne podatke, kontaktirajte banko in blokirajte kartico.
• Preskenirajte računalnik: Zaženite popoln antivirusni sken, če ste odprli sumljivo prilogo.
• Dokumentirajte incident: Shranite phishing e-pošto, posnetke zaslona in vse relevantne podrobnosti za nadaljnjo preiskavo.
• Prijavite napad: Prijavite poskus phishinga SI-CERT-u in hosting ponudniku lažne spletne strani.

Zaključek

Phishing napadi postajajo vse bolj sofisticirani in jih je vse težje prepoznati. Kombinacija tehnične zaščite (SPF, DKIM, DMARC), izobraževanja zaposlenih in jasnih postopkov je edini učinkovit pristop. Nastavite SPF, DKIM in DMARC za svojo domeno prek DNS nastavitev, izobrazite zaposlene, da prepoznajo sumljivo e-pošto, in vzpostavite kulturo varnosti, v kateri je vsakdo odgovoren za zaščito podjetja pred kibernetskimi grožnjami.