Karolina Małagocka (Akademia Leona Koźmińskiego): Epidemia jest kryzysem, który cyberprzestępcy starają się monetyzować

Jakie są obecnie najczęstsze działania cyberprzestępców? Na co najbardziej narażeni są użytkownicy sieci?

Epidemia jest kryzysem, który cyberprzestępcy starają się monetyzować. Zazwyczaj, jeżeli pojawia się temat absorbujący opinię publiczną, a internauci szukają o nim informacji, to do akcji wkraczają ci, którzy upatrują szansy na nielegalne zarobki. Tak było przy Igrzyskach Olimpijskich, wprowadzaniu RODO (regulacji dotyczącej ochrony danych osobowych) czy w działaniach o zasięgu lokalnym, jak np. wybory prezydenckie. Tym razem cyberprzestępcy mogą jeszcze liczyć na efekt skali, gdyż koronawirusem interesują się wszyscy, a na dodatek wiele osób korzysta z rozwiązań cyfrowych bardziej intensywnie niż wcześniej. Oznacza to, że każda akcja, której celem jest wyłudzenie – loginów, haseł, pieniędzy, informacji o użytkowniku – ma szansę dotrzeć do znacznie większej, niż zazwyczaj, grupy. Wśród odbiorców zainfekowanych maili, SMS-ów z fałszywymi bramkami do płatności czy postów społecznościowych zawierających linki do potencjalnie niebezpiecznych stron, będzie sporo osób, które wcześniej nie spotkały się z próbami ataków w sieci, nie interesowały się tematyką ochrony, a teraz dodatkowo znajdują się w trudnej emocjonalnie sytuacji. Lęk powoduje, że nie zawsze myślimy w 100 proc. racjonalnie, czasem brakuje nam motywacji i chęci, aby zweryfikować, czy faktycznie bliski znajomy może potrzebować kodu do Blika i czy to aby na pewno nie jest dziwne, że pyta o to przez komunikator, a nie dzwoni do nas bezpośrednio.

Jak rozpoznać oznaki oszustwa internetowego lub tego, że interesują się nami oszuści internetowi?

Do każdej informacji, która jest utrzymana w tonie alarmującym, a nawet szokującym, należy podchodzić ostrożnie. Szczególnie jeżeli zawiera link i wezwanie lub zachętę do pilnego podjęcia akcji. To typowa metoda internetowych oszustów – chcą wzbudzić w odbiorcy poczucie, że musi działać natychmiast, inaczej wydarzy się coś złego. Ludzie zaczynają się obawiać, że np. państwo przejmie oszczędności, paczka nie zostanie dostarczona lub ominie ich szansa na wzięcie udziału w pierwszej turze szczepień. To tylko niektóre przykłady z ostatnio rozpowszechnianych wiadomości. „Kliknij w link i podaj dane”, „zaloguj się do banku”, „przelej nawet niewielką kwotę”… Robiąc to, dodajemy hakerów do listy zaufanych odbiorców przelewów z naszego konta. Cyberprzestępcy działają masowo, wypuszczają w świat zainfekowane wiadomości i liczą, że ktoś się na ich podstęp złapie. Zwykle w takich przypadkach, kiedy oszuści mogą liczyć na zainteresowanie „audytorium”, nie wkładają oni dodatkowego wysiłku w opracowywanie dedykowanych ataków na konkretne osoby. Zarobią więcej, wykorzystując już posiadane narzędzia, takie jak np. botnety do rozsyłania zainfekowanych wiadomości. Dlatego warto myśleć o sobie jako o potencjalnym celu, zawsze niezależnie od tego, ile środków mamy na koncie, jak często korzystamy z e-zakupów czy mediów społecznościowych. To, czy trafimy na atak, wynika z prawdopodobieństwa. Warto pamiętać, że obecnie liczba prób podejmowanych przez ciemną stronę Internetu rośnie lawinowo.

Jak się można zabezpieczyć przed działaniami oszustów internetowych?

Wiedza i uważność to dobre środki ochronne. Są równie skuteczne jak w życiu realnym przed rozprzestrzeniającym się wirusem. Warto nie klikać w linki, jeżeli nie jesteśmy pewni, dokąd prowadzą. Jednocześnie, czasy epidemii nie powinny być powodem do obniżania standardów bezpieczeństwa w bankach, instytucjach finansowych, publicznych, na uczelniach itd. Oznacza to, że żadna z organizacji nie będzie prosiła o podawanie danych poufnych poprzez link, ani tym bardziej SMS. Jeżeli coś ważnego się dzieje, to na pewno poinformują one o tym na swoich stronach internetowych lub za pośrednictwem infolinii. Kiedy ktoś zachęca nas do sprawdzenia stanu konta, warto wejść na stronę banku lub skontaktować się z konsultantem i potwierdzić taką konieczność telefonicznie.

Natomiast pracownicy firm powinni zostać wyczuleni na próby oszustw, które wykorzystują brak kontaktu bezpośredniego – prośba kolegi z firmy czy podwykonawcy obejmująca logowanie, podawanie informacji niepublicznych zawsze powinna być potwierdzana. Jeżeli już daliśmy się „złowić” na pierwszy etap ataku i np. kliknięty został link prowadzący do podejrzanej strony, należy natychmiast przeskanować urządzenia na obecność wirusów, a także skontaktować się z innymi, aby uprzedzić ich o możliwości ataku. Pracownicy powinni również używać autoryzowanych przez firmę urządzeń, a tam gdzie jeszcze to nie funkcjonuje, warto wprowadzić podwójną autentykację – logowanie do systemu przez podanie loginu, hasła i potwierdzenie np. tokenem wysłanym na numer służbowy.

Jak tworzyć dobre hasła dostępu do komputera i programów i jak ewentualnie je przechowywać, aby być jak najmniej narażonym?

Dobre hasło to nie tylko hasło mocne, ale też zapmiętywalne i trudne do skojarzenia z osobą. Zgodnie z danymi Laboratoriów F-Secure, tylko w zeszłym roku wyciekło w Polsce 3,5 miliona rekordów. Oznacza to, że ktoś niepowołany może znać nasze imię, nazwisko lub adres zamieszkania. Zatem hasło, które składa się z sylab imienia i nazwiska czy ulicy i numeru budynku, zawierające nawet ulubiony znak specjalny czyli wykrzyknik, to nie jest mocne hasło. Standardem powinno być posiadanie co najmniej kilku haseł, a najbardziej zgodne z zaleceniami (chociaż po ludzku ciężko wykonalne) jest używanie każdego hasła tylko raz. Zdecydowanie osobne hasła trzeba posiadać do konta bankowego, maila służbowego, prywatnego, portali społecznościowych, profilu w opiece medycznej i do popularnej platformy zakupowej. Jak to wszystko zapamiętać? Tu z pomocą przychodzą aplikacje nazywane menadżerami haseł, zwykle mające w swojej nazwie KEY, które generują mocne hasła i zapamiętują je za użytkownika. Działają międzyplatformowo, więc nie ma znaczenia, czy logujemy się z komórki czy z komputera.

Emocje to dziś najdroższa waluta w marketingu. Rozmowa z Katarzyną Piskorską, CEO Pionu Arteria CX

Czy każda firma, mając pracowników na home office, powinna korzystać z VPN? Jakie są plusy i minusy korzystania z VPN?

W obecnej sytuacji bardzo zwiększyła się „powierzchnia ataku”. Mówimy tu o liczbie urządzeń, z których korzystają pracownicy, tworząc tym samym infrastrukturę firmy. W związku z tym rozwiązania VPN wydają się być nieodzowne. Niemniej jednak, firmy tu napotykają na dwa rodzaje problemów. Pierwszy dotyczy liczby licencji, których w wielu organizacjach po prostu brakuje, bo nagle dołączyło sporo nowych urządzeń. Drugi to przepustowość. Streaming czy nadmierne wykorzystanie mediów społecznościowych mogą wpłynąć na łączność i wydajność VPN dla wszystkich połączeń. Nawet jeżeli któryś z tych problemów wystąpi , warto pamiętać, że to dzięki VPN nieautoryzowane osoby nie mają dostępu do ważnych, poufnych danych.

Jakie narzędzia, wtyczki do przeglądarek, które mogą zwiększyć bezpieczeństwo, polecasz?

Przede wszystkim aktualizacje. Warto się upewnić, że wszystkie one – również te na telefonie komórkowym – zostały zainstalowane. To pierwszy krok do podnoszenia bezpieczeństwa. Podstawą jest też posiadanie programów do ochrony w sieci. Teraz nie są to już po prostu antywirusy, ale rozwiązania posiadające dodatkowe warstwy ochronne, w tym zabezpieczające łączność z bankiem i e-przelewy. Można skorzystać z ofert operatorów i dostawców Internetu, którzy oferują je w modelu miesięcznej subskrypcji. Ich nazwy to najczęściej Ochrona Internetu (np. w Play, Plusie, Cyfrowym Polsacie) lub Bezpieczny Internet (w Netii, Vectrze czy nc+) . Ceny zaczynają się od 5 zł do mniej więcej 10 czy 15 zł miesięcznie, ale to już za kilka urządzeń. Wydatek nie jest duży w porównaniu do ryzyka związanego z korzystaniem z zupełnie niezabezpieczonych rozwiązań. Stanowią one najłatwiejszy cel dla szeroko zakrojonych akcji hakerskich.

Kolejne istotne sprawy to uważność przy udostępnianiu widoku ekranu. Warto pamiętać, że osoba po drugiej stronie może np. wykonać zrzut ekranu, a na pasku szybkiego dostępu widać, czy i jakie zabezpieczenie jest stosowane. Jak mantrę powtarzać można, że poza ochroną urządzeń są jeszcze sieci – hasło do routera na pewno powinno zostać zmienione, jeżeli wciąż jest to samo, które otrzymaliśmy przy instalacji. Podobnie z sieciami bezprzewodowymi. Jednocześnie hasłem do routera nie powinien być adres, pod którym się on znajduje.