CERT Polska ostrzegł wczoraj, 27 maja, przed e-mailami podszywającymi się pod Krajową Administrację Skarbową (KAS). Według komunikatu link z wiadomości prowadził do imitacji serwisu podatki.gov.pl, a formularz na tej stronie zbierał dane karty płatniczej. Dla firm, w których korespondencję z urzędami czyta zespół finansów, to sygnał, by wiadomość od urzędu potwierdzać poza linkiem z maila.

Skąd pracownik działu finansów ma wiedzieć, że strona z napisem podatki.gov.pl jest tym serwisem? Większość z nas zna złą odpowiedź: „bo wygląda tak samo”. Wygląd to akurat ta część, którą przestępca kopiuje najłatwiej. Kampania opisana przez CERT Polska opiera się dokładnie na tym odruchu. Najpierw przychodzi e-mail z wizerunkiem KAS, potem kliknięcie, a na końcu strona, która udaje znany serwis podatkowy. Gdy odbiorca jest już przekonany, że rozmawia z urzędem, prośba o dane karty płatniczej nie budzi takiej czujności, jaką wzbudziłaby w wiadomości od nieznanej firmy. Pytanie dla zarządu brzmi więc prosto: czy procedura w naszej firmie zatrzymuje ten łańcuch przed formularzem, czy zostawia decyzję intuicji osoby, która akurat otworzyła pocztę?

E-mail z logo KAS prowadzi do kopii podatki.gov.pl

Schemat opisany w komunikacie CERT Polska z 27 maja ma trzy ogniwa. Pierwsze to e-mail, który podszywa się pod Krajową Administrację Skarbową. Drugie to link, który zamiast do prawdziwego serwisu prowadzi do imitacji podatki.gov.pl. Trzecie to formularz, w którym ofiara wpisuje dane karty płatniczej.

Każde ogniwo pożycza wiarygodność od poprzedniego. Rozpoznawalna instytucja w nadawcy uzasadnia kliknięcie. Znajomy serwis w przeglądarce uzasadnia wypełnienie formularza. W tym łańcuchu nie ma momentu, w którym odbiorca sam z siebie musiałby się zatrzymać, chyba że zatrzyma go reguła.

Z komunikatu nie wynika, ilu osób dotyczyła kampania ani czy ktoś stracił pieniądze. Tych informacji nie podajemy. Do wyciągnięcia wniosków dla procesu wystarczy zresztą sam mechanizm: urząd w nadawcy, kopia serwisu podatkowego w linku, dane karty w formularzu.

Wiadomość od urzędu, która kończy się formularzem z danymi karty, trzeba potwierdzić kanałem, którego nie dostarczył nadawca.

Reguła potwierdzania przelewów nie obejmuje formularza z danymi karty

Jeśli w dziale finansów obowiązuje zasada, że zmianę numeru rachunku kontrahenta potwierdza się telefonicznie, na numer znany z wcześniejszej współpracy, to jest to dobra reguła, ale dotyczy przelewu wychodzącego. Kampania opisana 27 maja nie prosi o przelew. Prosi o wpisanie danych karty płatniczej na stronie, która wygląda jak podatki.gov.pl.

Komunikat CERT Polska nie opisuje, jak zachowali się odbiorcy ani jakie procedury obowiązywały w ich firmach. To zderzenie trzeba więc sprawdzić u siebie. W krótkim ćwiczeniu pokażmy osobie z zespołu finansów wiadomość podpisaną nazwą KAS z linkiem do formularza i zapytajmy, co zrobi przed wpisaniem czegokolwiek. Jeśli odpowiedź brzmi „sprawdzę, czy strona wygląda poprawnie”, procedura istnieje tylko na papierze, nawet jeśli w instrukcji obiegu dokumentów jest punkt o phishingu.

Druga możliwa luka dotyczy kanału. Naszym zdaniem reguła „nie klikaj w linki” łatwo dostaje wyjątek, gdy nadawcą jest instytucja publiczna, bo nazwa urzędu może skłaniać do szybszej reakcji.

Nazwa urzędu w nadawcy podnosi ryzyko, bo może przyspieszać reakcję w miejscu, w którym procedura powinna ją spowalniać.

Wyłudzone dane karty to ryzyko, które ktoś musi prowadzić

Z perspektywy zarządu kampania wskazuje konkretny zasób: dane karty płatniczej. Jeśli formularz na imitacji podatki.gov.pl wypełni osoba z dostępem do karty firmowej, ryzyko przestaje dotyczyć jednej skrzynki pocztowej. Z komunikatu nie wynika, czy w tej kampanii chodziło o karty prywatne, czy firmowe, ani co potem działo się z wyłudzonymi danymi. Dla firmy ważniejsze jest pytanie o własną ekspozycję.

Trzy pytania porządkują odpowiedzialność. Kto w firmie ma karty płatnicze i do jakich celów? Czy istnieje sytuacja, w której te dane wpisuje się w formularz na stronie wskazanej w e-mailu? Kto i jak szybko zablokuje kartę, jeśli ktoś zgłosi, że podał jej dane? Jeżeli na pierwsze pytanie odpowiada lista, a na trzecie tylko wzruszenie ramion, ryzyko jest znane i nikt go nie prowadzi.

Koszt reguły potwierdzania jest niski. Zamiast klikać w link, pracownik wpisuje adres podatki.gov.pl ręcznie albo korzysta z zapisanej zakładki i tam sprawdza, czy sprawa w ogóle istnieje. W naszej ocenie to zwykle kilka minut przy każdej wiadomości od urzędu, która prosi o dane płatnicze.

Znajomy urząd i znajomy serwis to polski adres ataku

Kampania opisana przez CERT Polska wykorzystuje polską instytucję i polski serwis. Krajowa Administracja Skarbowa i podatki.gov.pl to nazwy, które przedsiębiorcy i zespoły finansowe znają z codziennej pracy. Dlatego są dobrą przynętą: rozpoznawalność urzędu działa na korzyść nadawcy, który się pod niego podszywa.

Z punktu widzenia bezpieczeństwa liczy się jedno: komunikacja, która powołuje się na KAS i prowadzi do formularza z danymi płatniczymi, wymaga potwierdzenia, zanim ktokolwiek cokolwiek wpisze. Komunikat CERT Polska z 27 maja jest otwarty i można go przekazać zespołowi bez przeróbek jako materiał do krótkiego omówienia.

Co z tym zrobić w poniedziałek

  1. Dopisz do instrukcji obiegu korespondencji regułę: wiadomość podpisaną nazwą urzędu, która prosi o dane płatnicze, pracownik weryfikuje przez ręczne wpisanie adresu serwisu, nigdy przez link z maila.
  2. Prześlij zespołowi finansów komunikat CERT Polska z 27 maja i wskaż jedną osobę, do której trafiają podejrzane wiadomości z nazwą KAS lub odnośnikiem do podatki.gov.pl.
  3. Sporządź listę osób z działu finansów, które mają dostęp do firmowych kart płatniczych, i dopisz do niej numer oraz sposób zastrzeżenia każdej z tych kart.

Formularz z danymi karty na kopii podatki.gov.pl działa tylko wtedy, gdy wiadomość od urzędu omija procedurę. Firmy, które potwierdzają takie wiadomości poza linkiem, odbierają tej kampanii jej najmocniejszy argument, czyli zaufanie do nadawcy. Reguła kosztuje kilka minut, a jej brak może kosztować dane karty.

Źródła

Redakcja cyberinsight.pl.