Atak komputerowy, polegający na wyłudzaniu poufnych informacji osobistych przez podszywanie się pod godną zaufania osobę lub instytucję, to
A. spoofing.
B. phishing.
C. backscatter.
D. spam.
Pytanie z egzaminu CKE, czerwiec 2016 (arkusz E.12-X-16.05).
Phishing to właściwa odpowiedź, bo chodzi o atak socjotechniczny polegający na wyłudzaniu poufnych danych przez podszywanie się pod zaufaną osobę, firmę albo instytucję. Typowy przykład to e-mail udający wiadomość z banku, panelu Microsoft 365, firmy kurierskiej albo portalu społecznościowego, w którym użytkownik ma kliknąć link i wpisać login, hasło, kod BLIK, numer karty lub dane osobowe. Technicznie często wykorzystuje się fałszywe domeny podobne do prawdziwych, podrobione formularze logowania, załączniki z malware albo presję czasu, np. konto zostanie zablokowane za 24 godziny. Z mojego doświadczenia to jeden z najczęstszych ataków, bo nie zawsze trzeba łamać zabezpieczenia systemu, wystarczy nakłonić człowieka do błędu. Dobre praktyki branżowe mówią jasno: sprawdzać adres nadawcy i URL, nie logować się przez link z wiadomości, używać MFA, filtrów antyspamowych, SPF, DKIM i DMARC dla poczty oraz regularnie szkolić użytkowników. W firmach ważne są też procedury zgłaszania podejrzanych wiadomości do działu IT lub SOC. Krótko mówiąc, phishing atakuje głównie zaufanie użytkownika, a nie tylko komputer jako taki.
W tym pytaniu łatwo pomylić kilka pojęć z obszaru bezpieczeństwa, bo wszystkie brzmią trochę jak coś związanego z pocztą, siecią albo podszywaniem się. Backscatter nie oznacza wyłudzania danych od użytkownika. To zjawisko związane głównie z pocztą elektroniczną, gdy serwer wysyła automatyczne zwrotki, na przykład raporty niedostarczenia wiadomości, do sfałszowanego adresu nadawcy. W praktyce ofiara może dostawać masę komunikatów o wiadomościach, których wcale nie wysyłała. Jest to uciążliwe i ma związek ze spamem oraz spoofingiem adresów, ale samo w sobie nie jest klasycznym atakiem socjotechnicznym na hasła czy dane karty. Spoofing jest bliżej tematu, bo oznacza podszywanie się, na przykład pod adres IP, adres e-mail, numer telefonu lub domenę. Jednak spoofing to technika fałszowania tożsamości, a nie pełna nazwa ataku polegającego na wyłudzaniu poufnych informacji przez podszycie się pod zaufany podmiot. Można powiedzieć, że phishing często używa spoofingu, ale nie każdy spoofing jest phishingiem. Spam to masowe, niechciane wiadomości reklamowe lub złośliwe. Spam może przenosić linki phishingowe, ale może też być zwykłą reklamą cudownych tabletek albo fałszywej promocji, bez bezpośredniego formularza kradnącego dane. Typowy błąd myślowy polega na tym, że użytkownik widzi fałszywego nadawcę albo niechcianą wiadomość i od razu wybiera ogólne pojęcie, zamiast rozpoznać cel ataku. Jeśli celem jest wyciągnięcie loginu, hasła, kodu jednorazowego czy danych osobowych przez udawanie banku, urzędu lub administratora systemu, mówimy konkretnie o phishingu. W praktyce warto zapamiętać: spoofing to podszycie techniczne, spam to masowa niechciana korespondencja, backscatter to efekt uboczny fałszowania nadawcy, a phishing to wyłudzanie danych przez manipulację i zaufanie.