Fałszywa strona może wyglądać idealnie. Sam wzrok już nie wystarcza

Logo banku się zgadza. Kolory, układ strony, formularz logowania, a nawet komunikaty o bezpieczeństwie wyglądają dokładnie tak, jak powinny. W pasku adresu jest HTTPS. Wszystko wskazuje na to, że trafiliśmy we właściwe miejsce. Problem jednak w tym, że strona tak naprawdę może należeć do oszustów.

Przez lata uczono nas, że fałszywe witryny zdradzają literówki, nieudolne tłumaczenia i podejrzana grafika. Dzisiaj to jednak bardzo zawodna metoda. Cyberprzestępcy potrafią przygotować niemal idealne kopie znanych serwisów, a samo rozpoznanie oszustwa wzrokiem staje się coraz trudniejsze. Na szczęście istnieją sposoby, żeby nie polegać wyłącznie na własnej spostrzegawczości.

Wyobraź sobie, że dostajesz wiadomość o konieczności potwierdzenia danych do bankowości elektronicznej. Klikasz link i widzisz znajomy ekran logowania. Jest logo banku, odpowiednie kolory, wszystkie przyciski znajdują się na swoich miejscach. Nie ma nawet błędów językowych, które jeszcze kilka lat temu często zdradzały podobne próby oszustwa.

Taki scenariusz nie jest szczególnie skomplikowany od strony technicznej. Przestępcy mogą skopiować wygląd istniejącej witryny, łącznie ze zdjęciami, ikonami, układem formularzy i komunikatami. Następnie umieszczają całość pod własnym adresem. Użytkownik widzi znajomy serwis, ale informacje wpisywane w formularzu mogą trafiać bezpośrednio do oszustów.

W czerwcu CERT Polska ostrzegał przed kampanią, w której przestępcy podszywali się pod znane banki i rozsyłali wiadomości o konieczności weryfikacji danych. Odnośniki prowadziły do witryn łudząco przypominających prawdziwe strony bankowości internetowej. Ich celem było wyłudzenie danych logowania.

Nie zawsze chodzi zresztą o bank. Opisywaliśmy już na Spider's Web oszustwo, w którym przestępcy kopiowali prawdziwe ogłoszenia z OLX wraz ze zdjęciami i danymi sprzedających. Dzięki temu podstawiona strona wyglądała jeszcze wiarygodniej, a ofiara dopiero w kolejnych krokach trafiała do fałszywej bankowości elektronicznej.

Oszust nie musi już przekonywać użytkownika, że jego strona jest profesjonalna. Wystarczy, że sprawi, by wyglądała jak serwis, któremu użytkownik już ufa.

Skoro nie można polegać na wyglądzie witryny, pozostaje jej adres. Tyle że również tutaj cyberprzestępcy przygotowali kilka sztuczek, które potrafią zmylić nawet bardziej doświadczonych internautów.

Pierwszą są tzw.  homoglify, czyli znaki przypominające inne litery lub symbole. Przykładowo łacińskie a i cyrylickie а na pierwszy rzut oka wyglądają identycznie, choć komputer rozpoznaje je jako dwa różne znaki. W określonych konfiguracjach adresów internetowych takie podobieństwa mogą zostać wykorzystane do podszywania się pod znane nazwy.

Druga metoda to domeny, które zawierają prawdziwą nazwę marki, ale wcale do niej nie należą. Przykładowy adres bank.pl.logowanie-przyklad.example może sprawiać wrażenie podstrony banku, chociaż faktyczna domena to logowanie-przyklad.example. Z kolei bank-pl-pomoc.example jedynie naśladuje nazwę instytucji. Oba adresy są fikcyjnymi przykładami, ale pokazują zasadę działania oszustwa.

Kolejny problem to przekonanie, że strona rozpoczynająca się od https:// zawsze jest bezpieczna. Wielu użytkowników nadal utożsamia szyfrowanie połączenia z wiarygodnością właściciela witryny. Tymczasem są to dwie zupełnie różne kwestie.

HTTPS oznacza, że połączenie między przeglądarką a wskazaną witryną jest szyfrowane. Nie stanowi jednak gwarancji, że właściciel strony ma uczciwe zamiary. Przestępca również może uruchomić HTTPS na swojej domenie. W takiej sytuacji dane przesyłane do fałszywego formularza będą chronione podczas transmisji, ale nadal trafią do przestępcy.

Problem okazał się na tyle poważny, że Google zdecydowało się zmienić sposób oznaczania takich połączeń w Chrome. W 2023 r. firma zapowiedziała zastąpienie tradycyjnej kłódki neutralniejszą ikoną ustawień witryny. Z jej badań wynikało, że zaledwie 11 proc. uczestników prawidłowo rozumiało znaczenie symbolu kłódki.

Dlatego sama obecność HTTPS, ikon bezpieczeństwa, informacji o certyfikacie czy profesjonalnie wyglądającej polityki prywatności nie powinna przesądzać o zaufaniu do strony. Szyfrowanie jest ważne, ale nie odpowiada na pytanie, czy właśnie logujesz się do swojego banku, czy do przygotowanej przez oszusta kopii.

Podejrzanych odnośników nauczyliśmy się wypatrywać przede wszystkim w SMS-ach i mailach. Równie niebezpieczne mogą być jednak reklamy w wyszukiwarkach i mediach społecznościowych. Użytkownik wpisuje nazwę sklepu albo usługi, wybiera atrakcyjny wynik sponsorowany i trafia do witryny przygotowanej przez przestępców.

W marcu CERT Polska ostrzegał przed fałszywymi sklepami wykorzystującymi wizerunki znanych marek. Oszuści promowali je za pomocą sponsorowanych postów w mediach społecznościowych, szczególnie przy okazji wyprzedaży. Na miejscu czekały zdjęcia produktów, charakterystyczne logo i oferta, która mogła wyglądać jak prawdziwa promocja.

Problem dotyczy również innych kategorii. Słyszy się o złośliwych reklamach kierujących internautów na strony udające komunikaty zabezpieczeń komputera. W tym scenariuszu oszust nie próbował podszywać się pod sklep, lecz przekonać użytkownika, że jego urządzenie wymaga natychmiastowej interwencji.

W obu przypadkach wykorzystuje się ten sam mechanizm: znajomy wygląd i pozornie wiarygodne okoliczności mają sprawić, że przestaniemy zadawać pytania. Reklama nie jest jednak potwierdzeniem uczciwości jej nadawcy, nawet jeśli pojawiła się w popularnym serwisie.

Pierwszą zasadą powinno być przede wszystkim samodzielne otwieranie usług, w których zamierzamy podawać wrażliwe dane. Jeśli wiadomość dotyczy banku, znacznie bezpieczniej uruchomić jego oficjalną aplikację albo skorzystać z wcześniej zapisanego adresu niż logować się za pośrednictwem odnośnika z SMS-a.

Podobnie jest ze sklepami, firmami kurierskimi i serwisami ogłoszeniowymi. Gdy pojawia się komunikat o problemie z płatnością, dostawą albo kontem, to najlepiej sprawdzić go bezpośrednio w danej usłudze. Wpisanie adresu znanej domeny samodzielnie albo skorzystanie z zaufanej zakładki ogranicza ryzyko przejścia na podstawioną stronę.

Warto również przyglądać się pełnym adresom internetowym, szczególnie przed wpisaniem hasła lub danych karty. Znajoma nazwa umieszczona gdzieś w długim ciągu znaków nie wystarcza. Podejrzane są także nagłe żądania dodatkowej weryfikacji, konieczność pilnego zatwierdzenia transakcji czy ostrzeżenia, że za kilka minut stracimy dostęp do konta.

Nie oznacza to jednak oczywiście, że każdy użytkownik musi zostać specjalistą od analizy domen. Nawet osoba znająca mechanizmy phishingu może się pomylić, szczególnie gdy działa w pośpiechu. Dlatego coraz większego znaczenia nabierają dodatkowe zabezpieczenia, które potrafią ostrzec przed niebezpieczną stroną niezależnie od tego, jak dobrze została przygotowana.

Na takiej zasadzie działa Surfshark Web Content Blocker, rozwiązanie dostępne w pakietach Surfshark One i One+. Użytkownik może wybrać kategorie stron, do których dostęp ma być blokowany, w tym witryny powiązane ze scamem, phishingiem czy złośliwym oprogramowaniem. Kiedy narzędzie rozpozna stronę należącą do zablokowanej kategorii, może zatrzymać jej otwieranie i wyświetlić odpowiedni komunikat.

To szczególnie przydatne w sytuacji, gdy użytkownik nie zauważył podstawionej domeny albo zaufał reklamie. Zamiast wymagać samodzielnego rozpoznania każdego oszustwa, rozwiązanie korzysta z mechanizmów klasyfikacji niebezpiecznych witryn. Web Content Blocker jest dostępny na Windowsie, macOS, Androidzie i iOS, a filtry można dostosowywać do własnych potrzeb.

Dodatkową ochronę zapewnia rozszerzenie przeglądarkowe Surfshark. Funkcja Website Safety Settings potrafi ostrzegać przed witrynami wykazującymi oznaki phishingu, oszustwa lub obecności malware. Co istotne, odpowiednie ostrzeżenia mogą pojawiać się już przy wynikach wyszukiwania Google, zanim użytkownik otworzy podejrzany adres.

Surfshark rozwija również ochronę przed oszustwami SMS-owymi. Funkcja Text Message Protection analizuje przychodzące wiadomości pod kątem podejrzanych nadawców, linków i charakterystycznych schematów wyłudzeń. Dzięki temu może odfiltrować część wiadomości, zanim użytkownik w ogóle zacznie zastanawiać się nad kliknięciem zawartego w nich odnośnika.

Żadne z tych rozwiązań nie gwarantuje jednak wykrycia każdej fałszywej strony. Nowa domena może nie zostać jeszcze rozpoznana jako zagrożenie, dlatego technologia powinna uzupełniać ostrożne zachowanie, a nie całkowicie je zastępować. Mimo to dodatkowa kontrola adresów ma istotną zaletę: nie wymaga od nas zauważenia każdej literówki ani analizowania wszystkich elementów witryny.

Otwarcie fałszywej witryny nie musi oznaczać, że przestępcy zdobyli twoje dane. Jeśli jednak wpisałeś hasło, podałeś informacje dotyczące karty albo pobrałeś podejrzany program, konieczne są odpowiednie działania. Samo zamknięcie przeglądarki nie cofnie informacji przekazanych oszustom.

Na Spider's Web przygotowaliśmy już szczegółową instrukcję postępowania po kliknięciu linku phishingowego. Najważniejsze jest rozróżnienie samego otwarcia strony od przekazania danych logowania, ujawnienia informacji finansowych czy uruchomienia złośliwego pliku. W przypadku podania danych bankowych liczy się natychmiastowy kontakt z bankiem, a po ujawnieniu hasła jego zmiana i zabezpieczenie powiązanych kont.

Przeczytaj także:

Podejrzane SMS-y można przesyłać do CERT Polska na numer 8080, a fałszywe strony zgłaszać przez formularz na incydent.cert.pl. Dzięki takim zgłoszeniom łatwiej identyfikować kolejne domeny wykorzystywane przez przestępców i ograniczać liczbę osób, które mogą paść ich ofiarą.

*Źródło grafiki wprowadzającej: Digital Buggu, Pexels / siriwannapatphotos, Canva Pro / aliaksandrbarysenka, Canva Pro