Adathalászat felismerése a webmailben

Modul 2: Levelek olvasása · Olvasási idő: 10 perc

Tanulási cél: A lecke után felismeri az adathalász levelek jellemzőit, a webmailben ellenőrizni tudja, hová vezet valójában egy link és hová megy egy válasz, és tudja, mit tegyen egy gyanús levéllel, illetve akkor, ha mégis rákattintott.

Kulcsfogalmak: adathalászat, linkszöveg, valódi link, domainnév, aldomain, hasonmás domain, Válaszcím, figyelmeztetés gyanús címekre, Spam jelentése, másik csatorna

Mi az adathalászat?

Az adathalászat (angolul phishing) olyan levél, amely arra próbálja rávenni Önt, hogy olyasmit tegyen, ami a feladónak segít: bejelentkezzen egy hamisított oldalon, fizessen, megnyisson egy mellékletet vagy adatokat küldjön vissza. Az angol szó a fishing (horgászat) szóból ered: a támadó bedobja a horgot, és várja, ki harap rá.

Az adathalászat többnyire nem a számítógépét, hanem Önt célozza. Gyakran nincs is benne vírus. A levél csak azt akarja, hogy Ön maga tegyen valamit. Ezért a vírusirtó csak korlátozottan segít, a trükkök ismerete viszont igen.

Az állandó összetevők

Szinte minden adathalász levél az alábbi eszközök közül egyet vagy többet használ:

• Sürgetés: „24 órán belül”, „még ma”, „utolsó emlékeztető”. Aki siet, kevésbé ellenőriz.
• Fenyegetés: lezárják a postafiókját, lejár a domainje, nyitott beszedési megbízása van, visszaküldik a csomagját.
• Jutalom vagy kíváncsiság: visszatérítés, megosztott dokumentum, hangüzenet.
• Egy gomb vagy link egy olyan oldalra, amely úgy néz ki, mint a bankja, a szolgáltatója vagy a webmailje oldala.
• Egy majdnem stimmelő feladó vagy domain.
• Eltérő válaszcím, hogy a válasza a csalóhoz kerüljön.

Egy sürgető levél, amelyben egy bejelentkezési oldalra mutató link is van, mindig megér egy második pillantást, akkor is, ha rendezettnek tűnik. A jó adathalász levelekben már nincsenek nyelvi hibák.

Linkszöveg és valódi link

Egy levélben a látható szöveg és az a cím, ahová a link valójában visz, két különböző dolog. A levél forrásában ez így néz ki:

<a href="https://login.weboke.nl.account-check.example/inloggen">
  https://webmail.weboke.hu
</a>

Ön ezt látja: https://webmail.weboke.hu, de egy egészen más címre jut. Számítógépen így ellenőrizheti: vigye az egérmutatót a link vagy a gomb fölé, kattintás nélkül. A böngészőablak alján megjelenik a valódi cím. Telefonon vagy táblagépen tartsa hosszan nyomva a linket: ekkor megjelenik egy menü, fölötte a címmel. Ezután ne válassza a megnyitást.

Egy webcím olvasása

A valódi címet jól kell tudnia olvasni. Nézze a https:// és az utána következő első perjel közötti részt. Ezt jobbról balra olvassa: a végződés (.nl, .com, .example) és az előtte álló szó együtt adja a domainnevet. Ez az a rész, ami számít.

• https://webmail.weboke.hu/ : a domainnév weboke.nl. Az előtte álló webmail rész aldomainné teszi; ilyet csak a weboke.nl tulajdonosa hozhat létre.
• https://login.weboke.nl.account-check.example/inloggen : a domainnév account-check.example. Minden, ami előtte áll („login.weboke.nl”), olyan aldomain, amelyet a támadó maga választott. Ez a legismertebb trükk.
• https://weboke-beveiliging.example/ : ez egy hasonmás domain. Egy ismert nevet tartalmaz, de egy másik domain, amelyet bárki regisztrálhat.
• https://www.example.com@account-check.example/ : a @ előtti részt a böngésző figyelmen kívül hagyja; az account-check.example oldalra jut.

Vannak betűtrükkökkel dolgozó domainek is: o betű helyett 0 számjegy, m helyett rn, vagy egy másik ábécé ugyanúgy kinéző betűi. Ha az ilyen eltérést szabad szemmel nem látja, egy jelszókezelő segít: az csak a valódi domainen tölti ki a jelszavát (1.3. lecke).

Feladó és Válaszcím

A 2.2. leckében láthatta, hogy a megjelenített név semmit sem bizonyít, és hogy a Válaszcím saját címet tartalmazhat. Az adathalászatnál ez a kettő gyakran együtt jár. A levél állítólag a „WebOké Support” feladótól jön, a cím support@weboke-beveiliging.example, a Válaszcím pedig egy ingyenes e-mail-címre mutat. Vagy a levél az igazgató valódi címéről érkezik, de a Válaszcím egy másik domainre mutat. Ez utóbbi gyakori a vezérigazgatós csalásnál (CEO-csalás): egy „sürgős fizetés”, amelyet az igazgató állítólag egy értekezletről kér.

A webmail egy kicsit segít. Ha a feladó címe olyan karaktereket tartalmaz, amelyek hétköznapi betűknek látszanak, de nem azok, a webmail az üzenet fölött figyelmeztetést jelenít meg, hogy az üzenet esetleg nem megbízható e-mail-címeket tartalmaz. Ha ezt az értesítést látja, kezelje a levelet gyanúsként. Ha nem látja, az semmit sem jelent: a legtöbb adathalász levél egyszerűen egy másik domaint használ.

És ne feledje a 2.2. leckéből: egy levél, amely hibátlanul átmegy az SPF-, DKIM- és DMARC-ellenőrzésen, attól még lehet adathalász levél. A támadó ilyenkor a saját, valódi domainjét használja.

Mit tegyen egy gyanús levéllel?

1. Ne kattintson, ne válaszoljon, ne nyisson meg mellékletet. „Csak egy pillantásra” sem.
2. Keresse fel saját maga a webhelyet. A levél a bankjáról, a szolgáltatójáról vagy egy csomagról szól? Nyissa meg a webhelyet vagy az alkalmazást úgy, ahogy mindig szokta, könyvjelzőből vagy a cím saját kezű begépelésével. Ha ott nincs semmi, a levél hamis volt.
3. Kétség esetén telefonáljon, egy olyan számon, amely már korábban is megvolt Önnek, ne a levélben szereplő számon.
4. Jelentse a levelet. A WebOké webmailjében a Spam jelentése gombbal: az üzenet a WebOké spamcsapatához és az Ön Kéretlen mappájába kerül. Ha a levél a bankjáról szól, továbbítsa a bank bejelentési címére is. Magyarországon az adathalászatot a rendőrségnél (https://www.police.hu/) és az NKI-nál (https://nki.gov.hu/) is bejelentheti.
5. Figyelmeztesse a kollégáit, ha a levél a szervezetében több emberhez is eljutott.

Mégis rákattintott vagy bejelentkezett?

Ez bárkivel megtörténhet. A gyors cselekvés jelenti a legnagyobb különbséget.

• Azonnal változtassa meg a jelszavát egy megbízható eszközről, és minden más helyen is, ahol ugyanezt a jelszót használta.
• Kapcsolja be a kétlépcsős azonosítást (8.1. lecke).
• Keressen nyomokat a postafiókjában. A postafiókba bejutó támadók gyakran létrehoznak egy szűrőt, amely továbbítja vagy elrejti a leveleket, vagy módosítják a Válaszcímet az azonosítójában. Nézze meg a Beállítások > Üzenetszűrők, a Beállítások > Azonosítók és az Irodán kívül részt, hogy van-e ott valami, amit nem Ön hozott létre.
• Megadta a fizetési adatait? Azonnal hívja fel a bankját.
• A postafiókja hirtelen spamet küld? Jelezze a szolgáltatójának.

A gyakorlatban: így működik a webmailben

A webmailben vigye az egeret egy link fölé, és a böngésző alján látni fogja a valódi címet. A Részletek gombbal a feladó címét látja, a levélíró ablakban pedig azt, hová megy a válasz. A Spam jelentése gomb az üzenet fölött található.

A képen az az ablak látható, amely a Spam jelentése gombra kattintva jelenik meg. A Roundcube-kézikönyv ezt a Spam jelentése című részben írja le. Más webmailekben, például a Gmailben vagy az Outlook.com-on, hasonlóan működik: ott a gomb neve például Adathalászat jelentése vagy Jelentés.

Összefoglalás

• Az adathalászat sürgetéssel, fenyegetéssel, egy hamisított oldalra mutató linkkel és egy majdnem stimmelő feladóval dolgozik.
• A linkszöveg és a valódi link eltér egymástól: vigye fölé az egeret, vagy telefonon tartsa hosszan nyomva.
• A domainnevet jobbról balra olvassa; mindazt, ami előtte áll, az adott domain tulajdonosa választja meg.
• A más domainre mutató Válaszcím és a gyanús címekre vonatkozó figyelmeztetés intő jelek; egy sikeres DMARC-ellenőrzés semmit sem bizonyít a megbízhatóságról.
• Ne kattintson, keresse fel saját maga a webhelyet, jelentse a levelet; ha mégis rákattintott: változtasson jelszót, és nézze át a szűrőit és az azonosítóit.

Kvíz

Feladat

A2.4. feladat: Egy gyanús levél elemzése. A phishing-1.eml anyag e feladat alatt található. Nyissa meg szövegként (például a Jegyzettömbben vagy a TextEditben, ne a levelezőprogramjában), és keresse meg a From és a Reply-To fejlécet, valamint a tartalomban lévő gomb mögötti címet (a href értékét). Adja meg: a valódi feladói domaint, azt a domaint, ahová a gomb valójában visz, a Válaszcím domainjét, és válassza ki, hogy megbízik-e a levélben. A program összeveti a válaszait a megoldókulccsal, és kérdésenként megmutatja, hol találhatta volna meg a választ a fájlban.

Bővebben olvasva

Ahol webmailes lépések szerepelnek, azok a WebOké webmailjére vonatkoznak; más webmailekben hasonlóan működik.

• Roundcube Webmail 11.2: Spam jelentése a Spam jelentése gombbal
• Valóban a WebOké küldte ezt az e-mailt? Az adathalászat felismerése és az akciós kód használata
• Adathalászat (phishing) felismerése: így olvassa le egy link és egy feladó valódiságát
• Feltört postafiók vagy az Ön címéről küldött spam: így oldhatja meg
• Ingyenes tanfolyam: Biztonságos online jelenlét vállalkozóknak 1.2: Adathalászat, vezérigazgatói csalás és számlacsalás
• Ingyenes tanfolyam: Biztonságos online jelenlét vállalkozóknak 3.2: Domainek és linkek olvasása
• Ingyenes tanfolyam: Biztonságos online jelenlét vállalkozóknak 3.5: Rákattintott: mi a teendő?