Realizując art. 22 ust. 1 pkt 4) ustawy o Krajowym Systemie Cyberbezpieczeństwa przekazujemy Państwu informacje pozwalające na lepsze zrozumienie zagrożeń występujących w cyberprzestrzeni.
Niżej przygotowaliśmy najczęściej spotykane zagrożenia, z ich przykładami oraz sposoby zabezpieczania się przed tymi zagrożeniami. Działania te mają na celu zwiększenie Państwa cyberbezpieczeństwa.
Definicje:
UKSC - Ustawa z dnia 5 lipca 2018 r. o krajowym systemie cyberbezpieczeństwa.
Cyberbezpieczeństwo – to odporność systemów informacyjnych na działania naruszające poufność, integralność, dostępność i autentyczność przetwarzanych danych lub związanych z nimi usług oferowanych przez te systemy.
Incydent – zdarzenie, które ma lub może mieć niekorzystny wpływ na cyberbezpieczeństwo.
Incydent w podmiocie publicznym – incydent, który powoduje lub może spowodować obniżenie jakości lub przerwanie realizacji zadania publicznego realizowanego przez podmiot publiczny, o którym mowa w art. 4 pkt 7–15 Ustawy o Krajowym Systemie Cyberbezpieczeństwa.
Pozostałe definicje incydentów i nie tylko można przeczytać w ustawie wyżej wymienionej ustawie.
Do najpoważniejszych zagrożeń możemy zaliczyć:
Phising i socjotechnika - (inżynieria społeczna)
Jedna z najczęstszych form oszustw internetowych. Polega na podszywaniu się pod wiarygodne instytucje lub osoby za pomocą wiadomości e-mail, SMS-ów czy rozmów telefonicznych. Celem przestępców jest wyłudzenie danych lub pieniędzy. Atakujący często wykorzystują pośpiech, strach czy autorytet by nakłonić ofiarę do wykonania przelewu, zalogowania się na stronie czy ściągnięcia załącznika.
Przykłady ataków socjotechnicznych:
- reklamy fałszywych inwestycji, które w rzeczywistości mogą doprowadzić do wysokich strat finansowych. Przestępcy niejednokrotnie wykorzystują przy tym wizerunek znanych osób, aby uwiarygodnić swój przekaz. Fałszywe reklamy przekierowują na stronę phishingową, wyłudzającą dane użytkowników;
- wiadomości e-mail imitujące komunikaty bankowe zachęcające do kliknięcia i logowania na fałszywej stronie;
- wiadomości informujące o rzekomym mandacie, zawierające link do strony wyłudzającej dane karty płatniczej;
- podszywanie się pod firmę kurierską – w wiadomościach e-mail przestępcy informują klienta, że przesyłka wymaga przejścia przez odprawę celną, co jest związane z uiszczeniem niewielkiej opłaty. Po kliknięciu w link klient trafia na fałszywy formularz, który służy do wyłudzenia danych karty płatniczej;
- informacje o rzekomej korekcie rachunku za energię – pod pozorem zwrotu nadpłaty użytkownicy są kierowani do strony phishingowej, wyłudzającej dane logowania oraz informacje o kartach płatniczych;
- wiadomości podszywające się pod operatorów komórkowych, zawierające informacje o rzekomym dwukrotnym opłaceniu ostatniej faktury i należnym zwrocie pieniędzy. Link kieruje na stronę phishingową, na której użytkownik jest proszony o podanie danych kontaktowych i karty płatniczej.
Ransomware (oprogramowanie szyfrujące pliki)
Oprogramowanie instalowane bez wiedzy użytkownika. Może kraść dane, śledzić aktywność lub usunąć, zaszyfrować pliki znajdujące się na dyskach twardych.
Oszustwa inwestycyjne i kryptowalutowe
Obietnice szybkiego zysku (np. „gwarantowane 10% dziennie”). Często wykorzystują fałszywe reklamy z wizerunkiem znanych osób.
Malware i ataki złośliwym oprogramowaniem
Oprogramowanie takie jak klawiaturowe keyloggery, trojany albo „wiper malware” powodują utratę danych lub umożliwiają dalszy dostęp przestępcom.
Brute-force i próbne logowania
Automatyczne narzędzia próbują odgadnąć login i hasło do kont, usług chmurowych lub serwerów.
Ataki typu DDoS (odmowa usługi)
Skupiające się na przeciążeniu zasobów stron i usług internetowych — szczególnie wykorzystywane w kampaniach wymierzonych politycznie.
Kampanie dezinformacyjne
Rosnąca liczba prób manipulowania opinią publiczną i rozpowszechniania fałszywych treści w mediach społecznościowych, często jako element hybrydowych działań informacyjnych.
Przejęcie konta / kradzież tożsamości
Atakujący uzyskuje dostęp do konta (np. e-mail, bank, social media) i wykorzystuje je do oszustw lub wyłudzeń np. na BLIK’a. Wykorzystanie przejętych danych osobowych np. w celach przestępczych (utworzenie nowych kont społecznościowych, wzięcie kredytu itp.).
Fałszywe sklepy internetowe
Strony podszywające się pod prawdziwe sklepy — po wpłacie pieniędzy towar nie jest wysyłany.
Jak chronić się przed oszustem?
Fałszywe oferty inwestycyjne, podszywanie się pod banki, rzekome zadłużenia czy nadpłaty to dobrze znane scenariusze wykorzystywane przez cyberprzestępców. Nadal udaje im się w ten sposób oszukać wiele osób, dlatego tak ważna jest ostrożność użytkowników – szczególnie wobec wiadomości zachęcających do kliknięcia w link lub podania danych.
Czujność powinny wzbudzać m.in.:
- wiadomości, które wywierają presję czasu, nakłaniając do pilnego działania;
- wiadomości zawierające błędy językowe lub stylistyczne;
- adres URL oraz adres e-mail nadawcy – jeśli wykorzystują np. rozszerzenia charakterystyczne dla darmowych domen z egzotycznych krajów;
- podejrzane załączniki, szczególnie te, które pochodzą od nieznanego nadawcy i mają rozszerzenia takie jak .exe, .js, .iso, .img, .htm, .html – nie należy ich pobierać ani uruchamiać, ponieważ mogą zawierać złośliwe oprogramowanie;
- prośby o podanie kodu PIN do karty płatniczej – przedstawiciele banku nigdy nie poproszą o PIN ani na stronie internetowej, ani podczas rozmowy telefonicznej;
- prośby o podanie loginu, hasła czy danych osobowych – instytucje i firmy nie proszą o te informacje poza oficjalną stroną lub aplikacją;
- linki, które wykorzystują tzw, skracacze linków (tiny.pl, bityly.pl, skroc.pl, cutt.us, tinurl itd.) przez co na pierwszy rzut oka nie widać gdzie tak naprawdę prowadzi nas dany odnośnik.
Dodatkowo warto pamiętać o podstawowych zasadach cyberhigieny:
- Chroń dostęp do urządzenia hasłem/pinem/kluczem fizycznym lub biometrią.
- Włącz dwuetapowe uwierzytelnianie np. SMS, kody w aplikacji lub klucz fizyczny.
- Pracuj na najniższych możliwych uprawnieniach. Nie używaj uprawnień administracyjnych do codziennej pracy.
- Na beiżąco instaluj aktualizacje bezpieczeństwa.
- Używaj legalnego oprogramowania.
- Ustawiaj silne hasła (np. generator haseł, hasło złożone z paru słów). Minimalna długość hasła powinna mieć 14 znaków.
- Korzystaj z różnych haseł do różnych serwisów.
- Nie udostępniaj nikomu swoich haseł.
- Nie pobieraj załączników od nieznanych nadawców. Jeżeli masz wątpliwości zweryfikuj nadawcę np. telefonicznie.
- Szyfruj przesyłane przez siebie dane osobowe, inforacje pufne.
- Nie instaluj niesprawdzonych aplikacj. Pobieraj je wyłącznie z oficjalnych sklepów oraz stron.
- Nie zapisuj haseł w przeglądarce.
- Po zakończeniu pracy wyloguj się z portalu/e-mail'a itd.
- Gdy zauważysz coś niepokojącego na swoim koncie zmień swoje hasła.
- Włącz blokowanie ekranu (wykorzystuj skrót klawiaturowy WIN+L).
- Korzystaj z różnych haseł do różnych serwisów.
- Używaj zawsze aktualnego oprogramowania antywirusowego.
- Nie używaj bez skanowania w komputerach podłączonych do sieci pendriva, który był podłączony do innego komputera.
- Szyfruj twarde dyski komputera, pendriva (urządzenia przenośne).
- Wykonuj oraz szyfruj swoje kopie bezpieczeństwa.
Aktualne komunikaty CERT Polska dotyczące cyberzagrożeń, podatnośći oraz rekomendacje dostępne są na stronie internetowej moje.cert.pl
Gdzie zgłosić incydent:
Incydent można zgłosić do zespołu CSIRT NASK:
- poprzez formularz na stronie internetowej hhttps://incydent.cert.pl/;
- w aplikacji mObywatel – usługa Bezpiecznie w sieci;
- podejrzane wiadomości SMS można przesłać na darmowy numer 8080.
Jeśli podejrzewasz, że padłeś ofiarą przestępstwa, złóż zawiadomienie na policję lub do prokuratury: https://www.gov.pl/web/gov/zglos-przestepstwo.
