Co je to phishing?
Spam je nevyžádaná informace, v případě elektronické pošty jde o nevyžádanou e-mailovou zprávu, jejíž cíle jsou jen velice výjimečně v souladu se zájmy příjemce.
Může se jednat o obtěžující obchodní nabídky, různou reklamu, dezinformační zprávy, ale i e-maily vysloveně podvodného charakteru, jimiž se odesílatelé snaží vylákat z adresátů sliby či výhrůžkami např. finanční prostředky či diskrétní údaje.
Speciální formu spamu představují phishingové e-maily, jejichž cílem je vylákat z adresáta přihlašovací údaje k platebním kartám či různým počítačovým systémům, typicky k internetovému bankovnictví. Hlavním cílem testu phishingovým e-mailem je zjištění, kolik uživatelů v rámci lokální sítě klienta jeví známky chování neslučitelného s elementárními pravidly kybernetické bezpečnosti.
Uživatele lze v zásadě rozdělit do čtyř kategorií:
-
znalí uživatelé: spam je nedokáže překvapit, neotevírají jej a nereagují na něj;
-
zodpovědní uživatelé: pokud si nejsou jisti, zda na obsah přijaté zprávy reagovat, či nikoliv, obrátí se na oddělení IT;
-
nezodpovědní uživatelé: spam otevřou, případně kliknou na odkazy či soubory v něm obsažené;
- hazardéři: nejenže kliknou na link či soubor obsažený ve spamu, ale následně plní další instrukce útočníka, např. poskytnou své přihlašovací údaje.
Test je prováděn tak, že poskytovatel zasílá užvatelům zprávy elektronické pošty v různých úrovních sofistikovanosti.
Tyto e-maily mohou např. obsahovat pro každého uživatele dle seznamu poskytnutého klientem unikátně vygenerovaný odkaz. Pokud uživatel na odkaz klikne, poznamená se jeho aktivita do databáze a uživateli se otevře webová stránka s formulářem, který jej vyzve k zadání uživatelského jména a hesla, případně i dalších údajů.
Pakliže požadované údaje uživatel zadá, uloží se záznam o této aktivitě rovněž do databáze. Hlavním výstupem testu je seznam nezodpovědných uživatelů, kteří na odkaz klikli, a seznam hazardérů, kteří požadované informace poskytli. U druhé skupiny bude samozřejmě ve spolupráci se zákazníkem ověřeno, zda uživateli poskytnuté informace odpovídají skutečnosti, nebo zda tito uživatelé – což se zřídka také stává – poskytli úmyslně nesprávné údaje ve snaze „zmást nepřítele“.
Je možné, že pro účely úspěšného doručení „spamu“ bude potřebná součinnost správce poštovního serveru zákazníka.
FAQ
Q: Co je to phishing?
A: Phishing je druh kybernetického útoku, jehož cílem je získání např. přihlašovacích údajů či údajů o platební kartě.
Q: Co je to phishingová zpráva?
A: Phishingová zpráva (či e-mail) je nejčastějším způsobem zahájení phishingového útoku. Ten lze samozřejmě podniknout i jinými způsoby (např. přes sociální sítě).
Q: Proč realizovat simulaci phishingového útoku?
A: Simulované phishingové útoky sledují několik cílů. V první řadě jde o zjištění míry obezřetnosti, s níž uživatelé s potenciálně podezřelými e-maily nakládají. Druhým cílem je poskytnutí zpětné vazby uživatelům, kteří v testu simulovaným phishingovým útokem selžou. V neposlední řadě je simulovaný phishingový útok velmi vyhodným prostředkem, jak vzbudit u uživatelů zájem o oblast kybernetické bezpečnosti.
Q: Jak se dá simulovaný phishingový útok realizovat?
A: Velice snadno. Časová náročnost realizace na straně zákazníka zpravidla nepřevýší jednu hodinu práce.