Rákattintott: mi a teendő?

Modul 3: Az adathalászat felismerése · Olvasási idő: 12 perc

Cél: E lecke után tudni fogja, mit kell tennie az első órákban egy kattintás, egy kitöltött jelszó, kitöltött banki adatok vagy egy megnyitott melléklet után, a helyes sorrendben, és hogyan jelentheti és továbbíthatja a phishinget.
Kulcsfogalmak: a kár korlátozása, jelszó módosítása tiszta eszközről, munkamenetek visszavonása, bank felhívása, bejelentés, phishing továbbítása (például az NKI-nak és a visszaélt márkának)

Ez bárkivel megtörténhet

Mindenki rákattint egyszer a rossz linkre. Azok is, akik elvégezték ezt a tanfolyamot, még az informatikusok is. Egy jó adathalász levél rossz pillanatban érkezik, a megfelelő történettel. A szégyenkezés nem segít, a gyors cselekvés annál inkább. Minél hamarabb avatkozik be, annál kevesebbet tud tenni a támadó azzal, amit megszerzett.

Ezért minden vállalkozásban az első lépés: jelentse azonnal annak a kollégának, aki az informatikát intézi, vagy az informatikai szolgáltatónak. Állapodjanak meg abban, hogy aki jelent egy kattintást, köszönetet kap, nem pedig szemrehányást (erről bővebben a 9.2. leckében). Aki fél a büntetéstől, nem szól semmit, és akkor a támadónak napjai vannak az időből.

Először állapítsa meg: pontosan mi történt?

Ami a teendő, attól függ, meddig jutott el. Ezt állapítsa meg először, röviden és őszintén.

Önmagában a kattintás általában nem súlyos: a modern böngészők jól védettek. De egy kattintás letöltést is indíthat. Ha bizonytalan, kezelje a súlyosabb helyzetként.

Lépésről lépésre az első órákban

1. Jelentés a vállalkozáson belül. Azonnal, bizonytalanság esetén is. Mondja el, mit látott, mikor, és mit töltött ki vagy nyitott meg. Őrizze meg az üzenetet: ne törölje, szüksége lesz rá a bejelentéshez.

2. A kár korlátozása. Megnyitott egy mellékletet, vagy adott valakinek hozzáférést? Válassza le az eszközt a hálózatról: kapcsolja ki a wifit, húzza ki a hálózati kábelt. Ne kapcsolja ki azonnal, mert ami a memóriában van, segíthet a vizsgálatban (8.3. lecke). Ne dolgozzon tovább azon az eszközön.

3. Hívja fel a bankot, ha pénzről van szó. Ha banki adatokat adott meg vagy jóváhagyott egy fizetést, akkor azonnal hívja fel a bankját, a kártyáján vagy a hivatalos oldalán található számon. Minél gyorsabban teszi ezt, annál nagyobb az esély arra, hogy egy fizetést megállítanak vagy visszahívnak. Egy hamis IBAN-ra történt fizetést számlacsalás esetén is azonnal jelentse a bankjának.

4. Jelszó módosítása tiszta eszközről. Módosítsa annak a fióknak a jelszavát, amelyikbe az adatokat beírta. Ezt másik eszközön tegye, mint amelyiken a mellékletet megnyitotta, mert azon egy program figyelhet. Gépelje be saját kezűleg a címet, vagy használja a könyvjelzőjét, ne az üzenetben lévő linket. Ha ugyanazt a jelszót máshol is használta, ott is módosítsa (2.1. lecke).

5. Munkamenetek visszavonása és a fiók ellenőrzése. Egy új jelszó nem mindig zárja ki automatikusan azt a támadót, aki már bejutott. Ezért jelentkeztessen ki minden más munkamenetet (2.5. lecke), és ellenőrizze, mit módosíthatott:

• kétlépcsős azonosítás: szerepel-e ismeretlen alkalmazás vagy ismeretlen telefonszám?
• helyreállítási adatok: megváltozott-e a helyreállító e-mail cím vagy telefonszám?
• továbbítási szabályok és szűrők a postafiókban: egy támadó szívesen állít be olyan szabályt, amely minden levelet, vagy csak a "számla" szót tartalmazó leveleket továbbítja a saját címére, vagy azonnal törli azokat. Így tovább olvashatja a leveleket, még akkor is, ha Ön már módosította a jelszavát;
• elküldött elemek: vannak-e olyan levelek, amelyeket nem Ön írt? Akkor figyelmeztetnie kell a kapcsolattartóit.

6. Jelentés és továbbítás. Lásd lentebb.

7. Annak megállapítása, hogy adatvédelmi incidensről van-e szó. Hozzáférhetett-e a támadó egy postafiókhoz, egy ügyféladatbázishoz vagy egy másik, személyes adatokat tartalmazó környezethez? Akkor valószínűleg adatvédelmi incidens történt. A GDPR szerint az adatvédelmi incidenst indokolatlan késedelem nélkül, és ha lehetséges, a felfedezéstől számított 72 órán belül be kell jelenteni a Nemzeti Adatvédelmi és Információszabadság Hatóságnak (NAIH), kivéve ha valószínűsíthetően nem jelent kockázatot az érintettekre nézve. Mindenképp rögzítse az adatvédelmi incidens-nyilvántartásában. Hogy ezt hogyan ítélje meg, azt a 8.2. leckében tanulja meg.

Phishing jelentése és továbbítása

A jelentésnek van értelme, akkor is, ha semmi nem történt. Így egy hamis oldal gyorsabban kerülhet offline állapotba, és mások is figyelmeztetést kapnak.

A rendőrségnek és az NKI-nak. A csaló e-mailt, gyanús linkekkel vagy mellékletekkel, az NKI-nak jelezheti (https://nki.gov.hu/). Az alábbiakat vegye figyelembe:

• a levelet lehetőleg mellékletként továbbítsa. Egyszerű továbbítás esetén a technikai adatok (a 3.3. leckében megismert fejlécek) elvesznek. Ha ez nem megy, például telefonon, akkor egyszerűen továbbítsa;
• ha úgy tűnik, hogy a levél egy banktól vagy más ismert vállalkozástól érkezett, tegye az adott vállalkozás címét a cc mezőbe. Érdemes az adott szervezet saját, hivatalos oldalán utánanézni az ilyen bejelentési címeknek;
• sms, WhatsApp és más üzenetek esetén ne ezt a csatornát használja, hanem jelentse a rendőrségnek (https://www.police.hu/) és az NKI-nak (https://nki.gov.hu/). Ezt a bejelentési módot használja olyan gyanús levél esetén is, amely nem tartalmaz linket vagy mellékletet, valamint telefonos helpdesk-csalás esetén is.

Sok levelezőprogramban a mellékletként történő továbbítás neve "Továbbítás mellékletként" vagy valami hasonló.

A visszaélt márkának. Ha egy bank, fuvarozó vagy beszállító nevével élnek vissza, értesítse erről azt a szervezetet olyan csatornán, amelyet Ön maga keres ki a valódi weboldalukon, ne az üzenetben szereplő módon. Sok szervezetnek saját bejelentési címe van a phishingre. Ha a saját tárhelyszolgáltatóját vagy levelezési szolgáltatóját érinti, oda is küldje el; a WebOkénál ez ticketen keresztül tehető meg, a levéllel mellékletként (Tudásbázis 581).

Feljelentés a rendőrségen. Ha pénzt veszített, vagy visszaélés, illetve annak kísérlete történt, tegyen feljelentést. Az NKI tanácsot ad és gyűjti a bejelentéseket, de maga nem nyomoz. Ezt csak a rendőrség teheti meg.

Ezután törölheti az üzenetet, és letilthatja a feladót.

Ellenőrzés egy hét múlva

Egy támadás nem mindig ér véget egy nap alatt. Állítson be emlékeztetőt egy héttel későbbre:

• Vannak-e új bejelentkezési értesítések vagy ismeretlen munkamenetek?
• Szerepelnek-e ismeretlen fizetések a bankszámlakivonatokon?
• Vannak-e új továbbítási szabályok vagy szűrők a postafiókban?
• Panaszkodnak-e ügyfelek vagy beszállítók az Ön nevében küldött furcsa levelekre? Ekkor előfordulhat, hogy a postafiókját még mindig spam küldésére használják (Tudásbázis 25).
• Mit tanulhatunk ebből? Jól felismerhető volt-e az üzenet, és mi segíthetett volna legközelebb korábban észrevenni?

A gyakorlatban: így néz ki

Hétfő 9:12. Fatima, az Example Pékségtől, kitölti a levelezési jelszavát "a könyvelőprogram" hamisított bejelentkezési oldalán. 9:15-kor veszi észre, hogy a cím boekhoudpakket.inlog-check.example volt. Jelenti Kálmánnak, aki az informatikát intézi. 9:20-kor Kálmán a saját laptopjáról módosítja Fatima postafiókjának jelszavát, és kijelentkezteti az összes munkamenetet. A webmailben talál egy új szabályt: minden "számla" szót tartalmazó levél egy ismeretlen címre kerül, majd törlődik. Eltávolítja a szabályt, bekapcsolja a kétlépcsős azonosítást, és ellenőrzi az elküldött elemeket: semmi nem lett elküldve. Fatima mellékletként továbbítja az adathalász levelet az NKI-nak. Kálmán bejegyzi az esetet az incidensnaplóba, és ellenőrzi, hogy a támadó hozzáférhetett-e személyes adatokhoz. Egy hét múlva ismét ellenőrzi a szabályokat és a munkameneteket.

Az, hogy ezek a szabályok és munkamenetek hol találhatók, rendszerenként eltérő. A WebOkénál egy cím továbbításai a Fiókom felületen és a DirectAdminben (Forwarders) találhatók, és egy szabály a webmailben vagy magában a levelezőprogramban is lehet. Más szolgáltatóknál hasonlóan működik: keressen rá a továbbítás, forwarders, szabályok vagy szűrők kifejezésekre.

Összefoglalás

• Mindenki rákattint néha. Jelentse azonnal, szégyenkezés nélkül, és állapodjanak meg abban, hogy a jelentést jutalmazzák.
• Először állapítsa meg, mi történt: csak kattintás, jelszó, kód, banki adatok, melléklet vagy távoli hozzáférés.
• Sorrend: jelentés, a kár korlátozása (leválasztás a hálózatról), bank felhívása pénz esetén, jelszó módosítása tiszta eszközről, munkamenetek visszavonása és a fiók ellenőrzése (főleg a továbbítási szabályok), jelentés és továbbítás, az adatvédelmi incidens megítélése.
• A csaló levelet mellékletként jelentse az NKI-nak (https://nki.gov.hu/), a visszaélt márkát cc-ben feltüntetve; sms és csevegőüzenetek esetén forduljon a rendőrséghez (https://www.police.hu/) és az NKI-hoz. Kár esetén: feljelentés.
• Egy hét múlva ellenőrizze újra.

Kvíz

Feladat

A3.5: A lépéskártya egy kattintás után. Kap egy helyzetet és egy köteg kártyát a lépésekkel. Válassza ki, mely lépések szükségesek, és állítsa őket helyes sorrendbe. A program ellenőrzi és elmagyarázza, miért kell egy lépésnek korábban vagy később történnie.

További olvasnivaló

A WebOké-cikkekben szereplő lépések a WebOké környezetére vonatkoznak; más szolgáltatóknál hasonlóan működik.

• Valóban a WebOké küldte ezt az e-mailt? Az adathalászat felismerése és az akciókód felhasználása
• Feltört postafiók vagy az Ön címéről küldött spam: így oldhatja meg
• WebOké útmutató 3.6: Aktív munkamenetek megtekintése és kijelentkezés
• DirectAdmin útmutató 3.7: Biztonságos jelszavak és a teendők jelszó kiszivárgása esetén
• Az NKI tájékoztatója a csaló e-mail jelentéséről: https://nki.gov.hu/
• A rendőrség és az NKI bejelentési lehetőségei sms, WhatsApp és egyéb csalás esetén: https://www.police.hu/
• ENISA, phishing: https://www.enisa.europa.eu/