Nahlásenie phishingu: prečo snímka často nestačí

Phishing hláste podľa toho, koho zasiahol. Podozrivý pracovný e-mail pošlite internému bezpečnostnému tímu alebo správcovi IT. Ak ste poskytli údaje k účtu či karte alebo odoslali peniaze, obráťte sa bezodkladne na svoju banku; Národná banka Slovenska radí pri takomto podvode zabezpečiť prístupy a najmä pri finančnej strate alebo zneužití údajov kontaktovať aj políciu.

Incident môže verejnosť nahlásiť cez formulár SK-CERT; organizácie s prideleným prístupom do JISKB tam nájdu osobitnú cestu podania. Ak incident súvisí s informačnými technológiami štátnej alebo verejnej správy, CSIRT.SK prijíma hlásenia na [email protected]. Pri e-mailovom útoku si pred odoslaním uložte pôvodnú správu: snímka obrazovky ukáže jej viditeľný obsah, no nie úplné technické údaje.

Komu hlásenie patrí

Pri pracovnej schránke začnite vo vlastnej organizácii, aj keď správa napodobňuje banku alebo štátny úrad. Interný tím pozná dotknuté účty a spôsob, akým má organizácia odovzdať podozrivú správu. Oznámte mu aj to, či ste otvorili odkaz, zadali prihlasovacie údaje alebo spustili prílohu. Ak máte iba podozrenie a nič z toho sa nestalo, uveďte aj túto informáciu.

Národný kontakt SK-CERT je cestou pre hlásenie od verejnosti a pre incidenty, pri ktorých potrebujete príslušný národný kanál. Ak vaša organizácia podlieha povinnosti hlásiť závažný kybernetický bezpečnostný incident, jej zodpovedná osoba musí dodržať predpísaný postup cez JISKB; obyčajný e-mail alebo verejný formulár túto povinnosť nenahrádza. Pri incidente vo verejnej správe má vlastný rozsah pôsobnosti vládny tím CSIRT.SK.

Rezortný tím má užšiu pôsobnosť. CSIRT Ministerstva financií SR prijíma na [email protected] incidenty týkajúce sa systémov, infraštruktúry či údajov ministerstva alebo zneužitia jeho mena. Finančný podvod voči súkromnej osobe alebo inej inštitúcii bez väzby na ministerstvo nespadá do jeho kompetencie. Názov rezortu teda neurčuje adresáta podľa toho, že útočník žiada peniaze, ale podľa toho, koho skutočne napadol alebo napodobnil.

Čo zachovať pred odoslaním

Pôvodný e-mail zatiaľ nemažte. Poznačte si čas prijatia, čas zistenia podvodu, dotknutý účet alebo službu a stručný opis toho, čo sa stalo. Pri pracovnom incidente doplňte názov organizácie, kontaktnú osobu, známy dosah a opatrenia, ktoré už niekto vykonal. Ak neviete, či bol odkaz otvorený alebo či sa útok ešte deje, uveďte „neviem“ namiesto odhadu.

Pri phishingovom odkaze je dôležitá úplná adresa URL, nielen názov stránky na snímke. Skopírujte ju z pôvodnej správy bez jej otvárania a v hlásení zreteľne označte, že ide o podozrivý odkaz. Ak ste otvorili stránku, opíšte, či ste na nej zadali údaje alebo potvrdili ďalší krok. Nevracajte sa na ňu len kvôli získaniu ďalšej snímky.

Pri SMS ponechajte pôvodnú správu v telefóne a zaznamenajte číslo alebo meno odosielateľa, čas a obsah. Snímka tu môže byť užitočným doplnkom, najmä ak neviete správu jednoducho exportovať. Ak podvod viedol k platbe, zachovajte aj údaje o transakcii a komunikácii s útočníkom. Tieto podklady pomáhajú banke či polícii posúdiť, čo sa stalo; podozrivý odkaz alebo prílohu preto ďalej nerozposielajte známym ako varovanie.

Prečo uložiť pôvodný e-mail a ako na to

Návod CSIRT.SK pre podozrivé e-maily žiada vzorku prijatej správy ako súbor EML alebo MSG. Vysvetľuje, že pri bežnom preposlaní sa môže stratiť dôležitá informácia, napríklad odkiaľ odosielateľ správu poslal. Snímka obrazovky zachytáva ešte menšiu časť: zvyčajne viditeľný text, obrázky a meno odosielateľa, nie celé hlavičky a pôvodnú štruktúru správy. Preto ju k hláseniu môžete pridať, ale pri dostupnom exporte nenahrádza uložený e-mail.

V schránke nájdite pôvodnú podozrivú správu. Neotvárajte odkazy ani prílohy, ktoré obsahuje.
V Outlooku vyberte správu a použite „Súbor“ a „Uložiť ako“ na uloženie súboru MSG. V Thunderbirde použite pri vybranej správe „Uložiť ako“ na uloženie EML. Vo webovom Gmaile otvorte ponuku správy a zvoľte „Stiahnuť správu“; uloží sa EML.
Uložený súbor priložte k novému hláseniu pre overeného príjemcu. Do textu dopíšte, čo ste so správou urobili a ktoré účty alebo služby mohli byť zasiahnuté.

Ak používate iného poštového klienta, hľadajte funkciu na stiahnutie alebo uloženie pôvodnej správy. Samotné skopírovanie textu do nového e-mailu nie je rovnocenné s exportom. Pri citlivých pracovných údajoch sa riaďte pravidlami organizácie a spôsobom bezpečného doručenia, ktorý určí prijímajúci tím. Do tela hlásenia nevpisujte heslá, PIN ani autorizačné kódy a podozrivú prílohu samostatne neotvárajte.

Vzor hlásenia a postup po odoslaní

Predmet môže znieť: Podozrenie na phishing – zasiahnutá služba – dátum prijatia. V tele uveďte adresáta pôvodnej správy, službu alebo organizáciu, za ktorú sa vydáva, čas prijatia a zistenia, presnú podozrivú URL a vlastné kroky. Pripojte bezpečný kontakt pre doplňujúce otázky a uveďte, že pôvodnú správu prikladáte ako EML alebo MSG.

Podoba textu pri čisto podozrivej pracovnej správe môže byť: „Hlásim e-mail, ktorý sa vydáva za našu prihlasovaciu službu. Prišiel [dátum a čas] do schránky [adresa]. Odkaz som neotvoril, údaje som nezadal. Podozrivá adresa uvedená v správe je [úplná URL]. Pôvodný e-mail prikladám ako EML. Pre otázky ma kontaktujte na [bezpečný kontakt].“ Je to iba vzor: ak ste klikli, zadali údaje alebo neviete, čo sa stalo, nahraďte príslušnú vetu skutočným stavom.

Po odoslaní si ponechajte kópiu hlásenia, pôvodnú správu a záznam, komu ste podklady poslali. Nové zistenie, napríklad dodatočne rozpoznané zadanie hesla alebo ďalšiu zasiahnutú schránku, doplňte tomu istému príjemcovi. Pri pracovnom účte sa riaďte pokynmi interného tímu; pri zadaných bankových údajoch riešte ochranu účtu priamo s bankou bez čakania na analýzu e-mailu.

Prečítajte si aj: