Ktoś oferuje przedmioty za darmo? Uwaga, można stracić konto na Facebooku

Darmowa oferta połączona z kradzieżą konta

Na Facebooku pojawił się nowy rodzaj oszustwa. Phishing połączony z publikacją oferty na MarketPlace lub w postach i grupach na serwisie społecznościowym. O sprawie informuje serwis Sekurak.pl. "Darmowy telewizor do odebrania, bo wyjeżdżam” — takie oferty pojawiają się na Facebooku ale nie prowadzą do możliwości odebrania oferowanych przedmiotów. Przeciwnie, użytkownik klikając w link zostaje przekierowany na stronę, która tylko przypomina Facebooka. Ciąg dalszy jest łatwy do przewidzenia.

Pomimo, że strona posiada https i kłódkę w przeglądarce, zdecydowanie nie jest Facebookiem. To tylko sposób na wykradzenie danych do logowania na popularnym serwisie społecznościowym. Oczywiście schemat ataku może się za każdym razem różnić, przedmioty wystawiane „za darmo” mogą się zmieniać. Warto jednak uważnie przeglądać wszelkie aukcje czy to na grupach czy na Market Place i ostrożnie podchodzić do darmowych ofert.

Czym jest phishing?

Phishing — to nazwa, która nie przez przypadek budzi dźwiękowe skojarzenia z angielskim słowem „fishing” oznaczającym łowienie ryb. Przestępcy, podobnie jak wędkarze, stosują bowiem odpowiednio przygotowaną „przynętę” i „łowią” swoje ofiary.

Zacznijmy od podejrzanych stron. To takie, które wyłudzają dane osobowe i dane uwierzytelniające. Linki do nich przesyłane są różnymi kanałami — SMS-em, mailem lub przez media społecznościowe. Ich adresy mogą znajdować się w różnych domenach, nie tylko w domenie krajowej *.pl. W przypadku takich stron kluczowe jest szybkie działanie — rozpoznawanie, raportowanie oraz współdzielenie informacji o złośliwych domenach. Wszystko po to, by jak najszybciej zablokować do nich dostęp. Pomaga w tym uruchomiona przez NASK lista ostrzeżeń, która jest dostępna publicznie i wykorzystywana przez operatorów do blokowania dostępu do niepożądanych stron.

Jak chronić się przed atakami?

Poniżej przypominamy kilka prostych sposobów, jak zadbać o swoje bezpieczeństwo w sieci i nie stać się ofiarą phishingu:

- Dokładnie sprawdzajcie wygląd i adres strony, na której podajecie dane logowania, dane osobowe czy karty płatniczej (na pierwszy rzut oka może nie różnić się od tego oficjalnego, ale wystarczy się przyjrzeć, by znaleźć np. drobną literówkę).

- Nie działajcie pod presją czasu, uważajcie na maile, SMS-y, strony internetowe, aplikacje i telefony, które skłaniają do natychmiastowego działania.

- Uważajcie na sensacyjne wiadomości, strony wymagające dodatkowego logowania, również te udostępniane z kont znajomych w mediach społecznościowych.

- Weryfikujcie źródła informacji zanim podejmiecie działania na ich podstawie lub je powielicie.

- Jeśli nie jesteście pewni, że dana informacja jest prawdziwa — skontaktujcie się z rzekomym nadawcą innym znanym kanałem i/lub poszukajcie potwierdzenia informacji w innych źródłach. Zgłaszajcie do CSIRT NASK każdą podejrzaną stronę, a także wiadomości e-mail i SMS-y, które mogą wyłudzać dane. Formularz znajdziecie na stronie https://incydent.cert.pl