Każdy przedsiębiorca oraz użytkownik internetu jest dziś narażony na złośliwe działanie cyberprzestępców. Dotyczy to zarówno dużych korporacji, sektora publicznego, jak i małych firm. Poznając najczęstsze rodzaje cyberataków oraz wdrażając podstawowe środki techniczne, można w dużej mierze uodpornić organizację na zagrożenia płynące z wirtualnej przestrzeni.
Phishing – skala i obrona
W „Raporcie rocznym CERT Polska” za 2024 rok stwierdzono, że 95% wszystkich zgłoszonych incydentów dotyczyło oszustw komputerowych. Najczęściej chodziło o wyłudzanie danych logowania do portali lub nakłanianie do płatności, podszywając się pod znane serwisy i instytucje. Takie działania określa się mianem phishingu.
CSIRT poziomu krajowego obsłużył ponad 40 tys. incydentów związanych z phishingiem, co dobrze oddaje skalę problemu. Wspomniane zdarzenia to aż 39% zgłoszonych incydentów.
Podstawą walki z phishingiem jest odporność na próby nakłonienia do niezwłocznego działania. Warto podchodzić z nieufnością do wszelkich komunikatów związanych m.in. ze zmianą hasła czy konieczności zapoznania się z dokumentem.
Tradycyjnie zaleca się również ostrożność wobec klikania w nieznane linki oraz zwracanie uwagi na adresy URL. Kluczowe jest to, aby w przypadku jakichkolwiek wątpliwości unikać podawania informacji o nas. Należy podkreślić, że takie komunikaty mogą być wysyłane zarówno SMS-em, jak i za pomocą e-maili.
BEC, czyli realne zagrożenie dla firm i administracji
Szczególnie groźne są ataki typu BEC (ang. business e-mail compromise), polegające m.in. na wglądzie do bieżącej korespondencji mailowej (z przejętych skrzynek) w celu wysłania wiadomości nakłaniającej do określonego działania – np. zmiany numeru konta do opłacenia faktury, co pozwala cyberprzestępcom wykraść pieniądze z firmy. Stopniowe wdrażanie KSeF może utrudnić możliwość wykorzystania tego wektora ataku, lecz obecnie BEC wciąż stanowi realne zagrożenie.
Złośliwe oprogramowanie a inne rodzaje cyberataków
Wiele cyberataków docelowo polega na zainstalowaniu złośliwego oprogramowania na urządzeniu, co pozwala cyberprzestępcom na osiągnięcie dalszych korzyści. Wśród najpopularniejszych rodzajów malware’u wyróżnia się m.in.:
- ransomware (polegający głównie na zaszyfrowaniu danych i żądaniu okupu, często wykrada również dane);
- infostealery (wykradające m.in. dane logowania);
- spyware (oprogramowanie szpiegujące);
- adware (niechciane reklamy);
- wipery (usuwające dane z urządzeń);
- cryptominery (służące do nieautoryzowanego kopania kryptowalut).
Ransomware – jak się chronić?
W przypadku jednostek samorządu terytorialnego czy MŚP to właśnie ransomware bywa najbardziej destrukcyjnym rodzajem ataku, bezpośrednio wpływającym na ciągłość działania. Rządowa „Baza wiedzy” z zakresu cyberbezpieczeństwa jasno podkreśla konieczność posiadania kopii zapasowej odłączonej od sieci (offline). Dodano również, że płacenie okupu cyberprzestępcom jest niezalecane, ponieważ nigdy nie wiemy, czy faktycznie uda się odszyfrować nasze pliki.
CERT Polska w „Poradniku ransomware” wyróżnił kilka ważnych działań prewencyjnych, do których zaliczono m.in.:
- weryfikowanie procedur tworzenia kopii zapasowych (głównie pod kątem możliwości jej odtworzenia),
- regularne aktualizowanie oprogramowania,
- segmentację sieci,
- inwentaryzację usług widocznych z poziomu internetu,
- monitorowanie zdarzeń w sieci.
Warto tutaj podkreślić możliwość skorzystania z moje.cert.pl – darmowej usługi CSIRT-u poziomu krajowego dla każdego administratora domeny (lub właściciela zakresu adresacji IP), która pozwala m.in. na skanowanie infrastruktury pod kątem podatności, sprawdzenie wycieków haseł czy spojrzenie na organizację pod kątem usług widocznych z poziomu internetu (określane jako „patrzenie oczami atakującego”).
Higiena cyfrowa
Wiele cyberataków opiera się na wykorzystaniu danych logowania, które pochodzą z różnych źródeł – mowa tutaj m.in. o działaniu złośliwego oprogramowania (infostealerów) czy ponownym wykorzystaniu danych z wycieków w przypadku stosowania takich samych loginów i haseł.
Jednym z podstawowych elementów higieny cyfrowej jest stosowanie unikalnych i odpowiednio złożonych haseł. Zgodnie z zaleceniami CERT Polska hasło powinno składać się z minimum 14 znaków, najlepiej będąc frazą złożoną z kilku wyrazów, np. „zielonyParkingDla3malychSamolotow”. Rekomendowane jest również korzystanie z tzw. menedżerów haseł, które pozwalają na przechowywanie fraz w bezpieczny sposób.
Kolejnym ważnym elementem pozostaje dwuetapowe uwierzytelnianie (2FA), znane również jako logowanie dwuetapowe. Oznacza to konieczność wykorzystania dodatkowego składnika podczas logowania się do konta, takiego jak m.in.:
- podanie kodu z SMS-a,
- wpisanie kodu z dedykowanej aplikacji,
- potwierdzenie logowania w aplikacji,
- wykorzystanie fizycznego klucza (U2F).
Warto przy tym dodać, że utrata nośnika (telefonu lub klucza) może wiązać się z brakiem dostępu do konta. Aby tego uniknąć, rekomenduje się wygenerowanie zapasowych kodów jednorazowych, pozwalających odzyskać dostęp do konta. CERT Polska rekomenduje wydrukowanie ich lub zapisanie na zewnętrznym nośniku wraz ze „schowaniem w bezpiecznym miejscu”.
Należy również podkreślić możliwość dodania dwóch kluczy U2F na niektórych platformach, dzięki czemu mamy pewność, że zgubienie lub uszkodzenie jednego klucza nie utrudni nam dostępu do konta.
Nie wolno pomijać aktualizacji oprogramowania, ponieważ właśnie w ten sposób łatane są podatności w oprogramowaniu. Dotyczy to zarówno systemów operacyjnych, antywirusów, jak i przeglądarek.
Ochrona przed najczęstszymi cyberatakami
W poradniku Ministerstwa Cyfryzacji „PRCyber-01” wskazano, że wiele kampanii phishingowych wykorzystuje skrócone linki. Warto być na to szczególnie wyczulonym i pamiętać, że zawsze lepiej nie klikać w linki w podejrzanych wiadomościach – nawet jeżeli nawołują nas do niezwłocznego działania.
Warto być szczególnie wyczulonym na prośby o podanie naszych danych osobowych czy konieczność uiszczenia opłaty. Bardzo często będą to próby wyłudzenia informacji lub środków finansowych.
Ministerstwo Cyfryzacji w rekomendacjach dot. cyberbezpieczeństwa w sektorze ochrony zdrowia z kwietnia 2020 roku zaleca ograniczenie widoczności organizacji z poziomu internetu do niezbędnego minimum. Mowa tutaj m.in. o zweryfikowaniu instancji zdalnego pulpitu (RDP) oraz VPN pod kątem dostępności z publicznej sieci. MC zaleciło również weryfikację planów ciągłości działania – warto pamiętać o tym, że dokument z czasem staje się coraz mniej aktualny.
CERT Polska w artykule o fałszywych załącznikach jasno podkreśla, że w przypadku otrzymania wiadomości z załącznikiem powinniśmy zweryfikować adres nadawcy oraz rozszerzenie pliku. W sytuacji rzekomo wymagającej od nas szybkiej reakcji warto skontaktować się z podmiotem innym kanałem komunikacji (np. telefonicznie w przypadku otrzymania e-maila). Pamiętajmy również o tym, że w przypadku otrzymania plików w nieoczekiwanym formacie nie należy ich otwierać – plik „faktura.pdf.exe” nie jest PDF-em, lecz plikiem wykonywalnym, który może być złośliwym oprogramowaniem.
W dokumencie „Ważne zasady bezpiecznego użytkowania poczty elektronicznej i mediów społecznościowych” CERT Polska podkreślono, że powinniśmy ignorować wszelkie prośby o podanie naszego hasła – nawet jeśli komunikat wygląda na oficjalny. Opracowanie jasno wskazuje konieczność odseparowania służbowych urządzeń i kont od tych wykorzystywanych w celach prywatnych.
Przykład 1.
Na skrzynkę e-mailową przychodzi mail, w którym znajduje się informacja o konieczności niezwłocznego zresetowania hasła do naszego konta, aby nie utracić do niego dostępu. W wielu przypadkach taki mail to próba wyłudzenia danych – konieczne jest zwrócenie uwagi m.in. na domenę nadawcy wiadomości oraz link do strony (poprzez najechanie, bez klikania). W przypadku jakichkolwiek wątpliwości warto wysłać wiadomość do CERT Polska.
Gdzie i jak zgłaszać incydenty?
W przypadku jednostek samorządu terytorialnego, przedsiębiorców oraz osób fizycznych właściwy CSIRT (Zespół Reagowania na Incydenty Bezpieczeństwa Komputerowego) prowadzony jest przez NASK. Jego obowiązki pełni CERT Polska, gdzie można zgłaszać wszelką podejrzaną aktywność w sieci.
Jeżeli otrzymamy podejrzany SMS, zaleca się przekazanie go na numer 8080. W przypadku znanych kampanii możemy otrzymać informację zwrotną o tym, że dany SMS zawiera szkodliwe treści (np. link do strony phishingowej). W przypadku innych treści zaleca się skorzystanie z formularza na stronie incydent.cert.pl.
Podsumowanie
Ochrona przed najczęstszymi rodzajami cyberataków opiera się przede wszystkim na świadomości zagrożeń. Dzięki temu możemy zastosować odpowiednie zabezpieczenia – zarówno na poziomie organizacji, jak i na prywatnych urządzeniach.
Podstawowym zabezpieczeniem naszych kont powinno być stosowanie dwuetapowego uwierzytelniania, które zazwyczaj uniemożliwia cyberprzestępcom włamanie nawet po uzyskaniu loginu i hasła (np. z wycieków danych). Nie możemy również zapominać o regularnych aktualizacjach, ponieważ to główny sposób łatania podatności w oprogramowaniu.
Kluczowe jest zachowanie spokoju w sytuacji, gdy otrzymamy wiadomość nakłaniającą nas do szybkiego działania – bardzo często będą to próby wywarcia na nas wpływu przez cyberprzestępców.
W przypadku organizacji (m.in. MŚP I JST) należy zadbać o posiadanie kopii zapasowych, które będą możliwe do odtworzenia – pozwala to zapobiec destrukcyjnym skutkom ataków ransomware.
