Definicja Phishingu
Phishing to forma ataku socjotechnicznego, w której napastnik podszywa się pod zaufane instytucje lub osoby w celu wyłudzenia poufnych informacji, takich jak dane logowania, numery kart płatniczych czy hasła. Najczęściej odbywa się za pośrednictwem fałszywych e-maili, wiadomości SMS (smishing), komunikatorów lub spreparowanych stron internetowych (spoofing domen).
Mechanizm działania
- Fałszywa komunikacja - wiadomość wyglądająca jak od znanego nadawcy (np. banku, dostawcy usług).
- Nacisk psychologiczny - wzbudzenie pilności („Twoje konto zostało zablokowane!”).
- Link do strony phishingowej - identycznie wyglądająca witryna, zbierająca dane użytkownika.
- Przejęcie danych - po ich wpisaniu ofiara nieświadomie przekazuje dane atakującemu.
Typowe formy phishingu
| Typ ataku | Opis |
|---|---|
| Spear phishing | Ukierunkowany atak na konkretną osobę lub dział (np. księgowość). |
| Whaling | Phishing na osoby na stanowiskach kierowniczych (CEO, CFO). |
| Clone phishing | Podmiana oryginalnej wiadomości na fałszywą z linkiem do malware. |
| Vishing | Wyłudzanie danych przez telefon (np. podszywanie się pod call center). |
| Smishing | Phishing za pomocą SMS-ów zawierających złośliwe linki. |
Skutki biznesowe i bezpieczeństwa
- Kradzież tożsamości i dostępu do systemów.
- Straty finansowe poprzez wyłudzenia przelewów.
- Utrata reputacji i zaufania klientów.
- Zakażenie malware (np. ransomware, trojany bankowe).
- Naruszenie GDPR i obowiązek zgłoszenia incydentu.
Ochrona przed phishingiem
- Filtry antyphishingowe w systemach pocztowych i przeglądarkach.
- Szkolenia i testy socjotechniczne dla pracowników.
- Dwuskładnikowe uwierzytelnianie (MFA) na kontach użytkowników.
- Monitorowanie i blokada złośliwych domen przez SOC i Threat Intelligence (CTI).
- Zgłaszanie podejrzanych wiadomości do zespołów CSIRT.
Regulacje i standardy
Trendy i nowe techniki phishingowe
- Deepfake phishing - podszywanie się głosem lub wideo.
- Phishing w komunikatorach - WhatsApp, Teams, Slack.
- QRishing - ataki wykorzystujące kody QR przekierowujące na złośliwe strony.
- AI phishing kits - automatyzacja treści i personalizacji kampanii.