Oszuści podszywają się pod służby!

W ostatnich miesiącach coraz częściej pojawiają się zgłoszenia dotyczące fałszywych wiadomości e-mail, których nadawcy podszywają się pod państwowe służby – w szczególności pod policję. Tego typu wiadomości mają wzbudzić strach, wywołać poczucie presji i skłonić odbiorcę do otwarcia załącznika lub kliknięcia w link. To nie jest zwykły spam. To klasyczne cyberoszustwo, którego celem jest zainfekowanie urządzenia złośliwym oprogramowaniem lub wyłudzenie poufnych danych.

Najczęściej stosowane elementy manipulacji to:

• groźby konsekwencji prawnych („toczy się wobec Pana/Pani postępowanie”, „wyrok zostanie wykonany”, „musisz zgłosić się w sprawie śledztwa”),
• fałszywe pisma urzędowe stylizowane na oficjalne dokumenty,
• załączniki z rzekomymi dowodami lub protokołami,
• pilne wezwania do kontaktu.

Każdy z tych elementów ma doprowadzić odbiorcę do kliknięcia w załącznik lub w link. A to prosta droga do infekcji złośliwym oprogramowaniem.

Załączniki wysyłane w fałszywych mailach nigdy nie zawierają „wezwania”, „wyroku”, ani „zawiadomienia”. Zazwyczaj ukrywają programy typu trojan, umożliwiające przejęcie urządzenia, keyloggery, które przechwytują wpisywane hasła i dane logowania lub malware szyfrujący pliki (ransomware). Inne z fałszywych wiadomości mogą zawierać oprogramowanie umożliwiające przejęcie konta bankowego czy narzędzia wykradające dane z przeglądarki (cookies, hasła, sesje).

W wielu przypadkach infekcja następuje natychmiast po otwarciu pliku, nawet jeśli jest to dokument PDF lub archiwum ZIP.

Oszustwa tego typu mają zazwyczaj wspólne cechy:

• nadawca podszywa się pod instytucję (np. „Policja.pl”, „Prokuratura.gov”, „Komenda Główna Policji”),
• adres e-mail nie ma nic wspólnego z oficjalnymi domenami .gov.pl,
• wiadomość jest agresywna lub alarmująca,
• w treści znajduje się załącznik lub link do „protokołu”,
• nadawca wymaga szybkiej reakcji.

Warto podkreślić: policja nie prowadzi korespondencji mailowej w takich sprawach i nie przesyła żadnych dokumentów tą drogą.

Z raportów CERT Polska wynika, że liczba kampanii phishingowych w Polsce wzrosła o kilkaset procent rok do roku. Coraz częściej wykorzystuje się spoofing nadawcy, który sprawia, że e-mail wygląda jak wysłany z zaufanej domeny, a ataki z załącznikami są jednym z najskuteczniejszych sposobów infekowania urządzeń i zwłaszcza komputerów firmowych.

To poważne zagrożenie zarówno dla konsumentów, jak i przedsiębiorców – szczególnie tych prowadzących działalność w e-commerce, gdzie bezpieczeństwo danych klientów ma kluczowe znaczenie.

Użytkownik indywidualny na skutek takiego ataku może utracić:

• hasła do poczty, banku i mediów społecznościowych,
• pieniądze z konta,
• dostęp do komputera (ransomware),
• dane osobowe, które mogą posłużyć do kolejnych oszustw.

Przedsiębiorca ryzykuje dodatkowo:

• wyciekiem danych klientów,
• zablokowaniem systemów i przestojami w pracy,
• odpowiedzialnością prawną na gruncie RODO,
• stratami finansowymi związanymi z odzyskiwaniem systemów.

Poniżej lista praktycznych 7 zasad, które warto wdrożyć natychmiast, aby ustrzec się przed oszustwami przeprowadzanymi opisaną powyżej metodą:

1. Nigdy nie otwieraj załączników od nieznanych nadawców – nawet jeśli wiadomość wygląda na urzędową – zwłaszcza wtedy należy zachować szczególną czujność.
2. Sprawdzaj domenę nadawcy – policja i instytucje państwowe korzystają wyłącznie z domen .gov.pl.
3. Nie klikaj w linki przed ich sprawdzeniem – możesz najechać kursorem i zobaczyć rzeczywisty adres URL – fałszywe linki zwykle zdradzają się podejrzaną domeną.
4. Włącz filtr antyspamowy oraz ochronę antywirusową – nowoczesne systemy potrafią rozpoznać wiele zagrożeń automatycznie.
5. Aktualizuj system operacyjny i oprogramowanie – wielu ataków dałoby się uniknąć, gdyby urządzenie miało aktualne łatki bezpieczeństwa.
6. W firmie stosuj szkolenia i polityki bezpieczeństwa – najwięcej infekcji następuje przez nieuwagę pracowników. Edukacja to najskuteczniejsza ochrona.
7. Zgłaszaj podejrzane wiadomości – CERT Polska przyjmuje zgłoszenia na incydent.cert.pl – to pomaga zwalczać kampanie phishingowe.

Warto sprawdzić także: Uważaj na oszustów telefonicznych! (materiał archiwalny niedostępny)

Szybka reakcja ma kluczowe znaczenie. Jeśli już otworzyłeś szkodliwy plik, przeskanuj urządzenie profesjonalnym programem antywirusowym. Warto także zmień hasła do swoich kont – najlepiej z innego urządzenia. Bez względu na powyższe, kontaktuj się z bankiem, jeśli istnieje ryzyko przejęcia konta.

W przypadku firm, powinieneś zgłosić incydent administratorowi IT i ocenić czy zdarzenie wymaga zgłoszenia do Prezesa UODO zgodnie z przepisami dotyczącymi ochrony danych osobowych.

Oszustwa bazujące na podszywaniu się pod policję lub inne instytucje publiczne to jedna z najgroźniejszych form phishingu. Celem cyberprzestępców jest nakłonienie odbiorcy do otwarcia załącznika, który instaluje na urządzeniu złośliwe oprogramowanie. Należy pamiętać, że organy państwowe nie prowadzą korespondencji mailowej w tego typu sprawach i nigdy nie przesyłają plików do samodzielnego pobrania.

Świadome działanie, weryfikacja źródeł i zdrowy sceptycyzm to najlepsza ochrona przed tego typu cyberatakami.

• Odwiedź Legalniewsieci.pl, gdzie publikujemy aktualne ostrzeżenia i poradniki.
• Śledź nas na Facebooku, aby nie przegapić nowych zagrożeń.
• Jeżeli działasz w branży e-commerce i potrzebujesz wsparcia prawnego – skontaktuj się z kancelarią LexLab.