Zwalczyć phishing - nieucziwe praktyki webmasterów

Firmy Microsoft, eBay, PayPal i Visa przyłączyły się do walki z phishingiem. Zagrożenie jest coraz poważniejsze - w stosunku do 2003 roku na świecie o 6% wzrosła ilość unikalnych wiadomości pocztowych kierujących do stron internetowych phisherów.
Phishing polega na tworzeniu przez spamerów oszukańczych wiadomości e-mail i witryn WWW, które wyglądają identycznie jak serwisy internetowe firm o znanej marce, aby skłonić klientów tych firm do podania numeru karty kredytowej lub informacji o koncie bankowym.

W ubiegłym roku ataki typu phishing zaczęły stanowić na tyle poważne zagrożenie, że zmusiły wielkie firmy oraz organizacje amerykańskie do zjednoczenia sił w walce z tym procederem. W grudniu 2004 roku powstała grupa Digital PhishNet skupiająca zarówno firmy IT (w tym Microsoft, America Online) jak i FBI, służby U.S. Secret Service i U.S. Postal Inspection Service.

Dzisiaj spółka WholeSecurity zajmująca się ochroną przed robakami, koniami trojańskimi, keyloggerami i phishingiem poinformowała, że do jej działań przyłączyły się Microsoft, eBay, PayPal i Visa.

Wszyscy partnerzy podpisali umowę, na mocy której będą natychmiast informować o wykrytych przypadkach phishingu i wprowadzać je do centralnej bazy witryn-pułapek prowadzonej przez WholeSecurity. Firmy będą się też starały blokować strony oszustów.

W Polsce pierwsze przypadki phishingu zanotowano w 2001 roku. Ich ilość wzrasta z roku na rok. Obecnie codziennie likwiduje się około 9 stron internetowych podszywających się pod strony banków, twierdzą przedstawiciele polskiej policji.

Najbardziej znanym przypadkiem phishingu w Polsce były ataki wymierzone w klientów Citibanku, w styczniu ubiegłego roku. Klienci, po kliknieciu w podany w e-mailu link, przenoszeni byli do specjalnie spreparowanej strony, która zapisywała wprowadzone przez nich numery PIN i hasła. Później byli wyrzucani z witryny, a złodzieje mogli już spokojnie korzystać z ich kont.

Po pierwszych takich wypadkach, polskie banki są już wyczulone na fałszywki swoich stron. Nie tak dawno mBank podał autora jednej z nich do sądu, okazało się jednak że strona była tylko przykładem i nie miała na celu wyłudzeń.

Dlaczego phisherom tak łatwo przychodzi wyłudzanie poufnych danych?

Jak mówi Inspektor Jan Hajdukiewicz, szef zespołu do spraw przestępczości komputerowej Komendy Głównej Policji: "Polacy nie mają zwyczaju czytania umów, regulaminów czy informacji, które daje się im do podpisania. [...] Podajemy w sieci dane, których nie podalibyśmy nigdy w odpowiedzi na pytanie kogoś obcego. Nikt nie powie obcemu, jaki ma numer karty kredytowej, ale w sieci podaje ten sam numer bez żadnych oporów."

Policja ma zresztą mocno utrudnione zadanie, ponieważ 80% tego typu fałszywych stron umieszczanych jest na serwerach poza granicami Polski. Najczęściej w USA i Chinach.

Jak więc powinny wyglądać te środki ostrożności?

1) Przede wszystkim nigdy nie należy odpowiadać na e-maile, których autorzy proszą o ujawnienie czy zweryfikowanie danych osobowych lub dotyczących konta bankowego, ani nie klikać w zawarte w nich linki.

2) Na stronę banku należy wchodzić tylko ze znanego sobie adresu, który samodzielnie wpisujemy w pole adresu przeglądarki. Unikniemy w ten sposób możliwości przekierowania na stronę phishera.

3) Jeśli e-mail od banku dostajemy pierwszy raz, warto zadzwonić do banku i spytać czy ktoś coś do nas wysyłał. Jeżeli nie, zgłoś od razu próbę oszustwa. Im szybciej zostanie ujawnione, tym lepiej.

4) Staraj się przy korzystaniu z bankowości elektronicznej używać raczej własnego komputera, nie w kafejce czy innym miejscu publicznym. Nie wiadomo, jakie oprogramowanie jest tam tak na prawdę zainstalowane.

5) U siebie korzystaj z bezpiecznych programów i upewniaj się, że strona internetowa, którą odwiedzasz, jest bezpieczna (ikona kłódki, adres URL, rozpoczynający się od https://).

Oczywiście, phishing nie dotyczy wyłącznie banków, na nie jednak warto zwrócić szczególną uwagę ponieważ aż 85% wykrytych przypadków tego typu wyłudzenia danych dotyczy instytucji finansowych.

Nazwa "phishing" powstała po skrzyżowania słów "fishing" (łowić ryby) z "personal data" - dane osobowe. Czyta się ją zreszto tak samo jak łowienie. Łowienie naiwnych.

I dopóki nie wyrobimy w sobie nawyku ochrony własnych danych, zagrożenie nie przestanie istnieć.

Źródło: Dziennik Internautów ( 14.02.2005 r.)

Powrót: Przegląd Prasy