Ataki na systemy komputerowe polegające na podstępnym wyłudzaniu od użytkownika jego osobistych danych, przy wykorzystaniu zazwyczaj formy fałszywych powiadomień z instytucji czy od dostawców systemów e-płatności i innych ogólnie znanych organizacji, to
A. DDoS
B. brute force
C. SYN flooding
D. phishing
Pytanie z egzaminu CKE, styczeń 2019 (arkusz EE.08-X-19.01).
Phishing to właśnie podstępne wyłudzanie danych od użytkownika, najczęściej przez fałszywe wiadomości e-mail, SMS-y, komunikatory albo spreparowane strony WWW udające bank, operatora płatności, firmę kurierską czy znany serwis internetowy. Atakujący nie musi od razu przełamywać zabezpieczeń technicznych systemu, bo próbuje wykorzystać człowieka: pośpiech, stres, zaufanie do znanej marki albo strach przed zablokowaniem konta. Typowy przykład to wiadomość o rzekomej dopłacie do paczki, link do fałszywego panelu logowania banku albo prośba o podanie kodu BLIK. Z mojego doświadczenia to jeden z najczęstszych i najbardziej praktycznych tematów w bezpieczeństwie, bo dotyczy każdego użytkownika, nie tylko administratora. Dobre praktyki branżowe mówią, żeby sprawdzać adres nadawcy, domenę strony, certyfikat HTTPS, nie wpisywać haseł po kliknięciu w podejrzany link, używać MFA oraz zgłaszać incydenty do administratora lub zespołu bezpieczeństwa. W organizacjach stosuje się też filtry antyspamowe, szkolenia awareness, polityki haseł, menedżery haseł oraz mechanizmy SPF, DKIM i DMARC ograniczające podszywanie się pod domeny pocztowe. Phishing zalicza się do ataków socjotechnicznych, czyli takich, gdzie technika miesza się z manipulacją człowiekiem.
W tym pytaniu łatwo pomylić różne typy ataków, bo wszystkie brzmią jak zagrożenia komputerowe, ale ich mechanizm jest zupełnie inny. DDoS polega na przeciążeniu usługi ogromną liczbą zapytań pochodzących zwykle z wielu komputerów lub urządzeń należących do botnetu. Celem jest niedostępność serwera, sklepu internetowego, gry online czy systemu bankowego, a nie bezpośrednie wyłudzenie loginu, hasła albo numeru karty. SYN flooding też jest atakiem odmowy usługi, tylko bardziej konkretnie wykorzystuje sposób zestawiania połączeń TCP. Napastnik wysyła dużo pakietów SYN i próbuje zapełnić zasoby serwera półotwartymi połączeniami. To temat bardziej sieciowy, związany z protokołami i ochroną infrastruktury, a nie z podszywaniem się pod zaufaną instytucję. Brute force oznacza zgadywanie hasła metodą wielu prób, na przykład przez automatyczne testowanie kombinacji znaków albo haseł ze słownika. Tu atakujący atakuje mechanizm uwierzytelniania, a niekoniecznie przekonuje użytkownika, żeby sam podał dane. Typowy błąd myślowy polega na tym, że każde kradnięcie konta wrzuca się do jednego worka. W praktyce phishing jest atakiem socjotechnicznym: fałszywy mail, fałszywy SMS, link do podstawionej strony i presja typu pilne, konto zostanie zablokowane. Moim zdaniem najważniejsze jest zapamiętać, że przy phishingu główną luką bywa człowiek i jego decyzja, dlatego oprócz zapór sieciowych potrzebne są szkolenia, MFA, menedżery haseł oraz zdrowy nawyk sprawdzania adresu strony przed logowaniem.