Według analizy Cisco Talos z 13 sierpnia framework JWR pozwala oszustowi sterować sesją ofiary na żywo przez kanał WebSocket. Zbierane dane obejmują dane kart, poświadczenia, dokumenty tożsamości i kody uwierzytelniania dwuskładnikowego (2FA). To powód, by szkolenia antyphishingowe obejmowały także przerwanie podejrzanej sesji oraz przećwiczenie odzyskania konta i niezależnego sprawdzenia płatności.

Czy ćwiczenie z phishingu można uznać za zakończone, kiedy uczestnik podał już dane logowania? W proponowanej próbie odpowiedź powinna brzmieć: trzeba jeszcze sprawdzić, co zrobi dalej. Za punkt wyjścia przyjmijmy opisany przez Cisco Talos mechanizm JWR, w którym operator prowadzi sesję na żywo. Poprośmy uczestnika o wskazanie momentu, w którym przerwie dalsze czynności, oraz osoby, do której zwróci się po pomoc. Uwzględnijmy też sytuację, gdy podejrzenie pojawi się dopiero przy prośbie o kod 2FA. To propozycja ćwiczenia redakcji, a nie relacja z zachowania konkretnej ofiary. Nie znamy procedur zaatakowanych organizacji ani tego, jak przeszkolono ich pracowników.

JWR pozwala operatorowi kierować trwającą sesją

Jak podaje Cisco Talos, kanał WebSocket służy w JWR do sterowania sesją ofiary na żywo. Na tym elemencie oprzyjmy scenariusz szkolenia: uczestnik ma ocenić swoje dalsze działanie w trakcie logowania. Samo wskazanie podejrzanej strony na początku ćwiczenia pozostawmy tylko częścią zadania. Sprawdźmy również decyzję podejmowaną po rozpoczęciu wpisywania danych.

Z zakresu danych zbieranych przez JWR wyciągamy wniosek szkoleniowy: w ćwiczeniu uwzględnijmy osobno poświadczenia, dane karty, dokument tożsamości oraz kod 2FA. Przy każdej z tych kategorii poprośmy uczestnika o określenie, czy coś już przekazał, i o nazwanie kolejnego działania. Nie wymagajmy znajomości technicznych szczegółów WebSocket; sprawdzajmy umiejętność zatrzymania podejrzanej sesji.

Obecność kodów 2FA w analizie Cisco Talos potraktujmy jako uzasadnienie włączenia ich do programu szkolenia. Nie dopisujmy na tej podstawie twierdzenia o nieskuteczności każdego rodzaju uwierzytelniania dwuskładnikowego. W proponowanej próbie wymagajmy, by uczestnik umiał odmówić podania kodu w podejrzanym logowaniu i rozpocząć wyjaśnianie sytuacji poza tą sesją.

W ćwiczeniu inspirowanym JWR oceniajmy także decyzję o przerwaniu logowania po rozpoczęciu podawania danych.

Próba z kodem 2FA ma sprawdzić użyteczność procedury

Przytoczone ustalenia o JWR nie pozwalają ocenić, co mówiły instrukcje ofiar i czy ofiary się do nich zastosowały. Zderzenie procedury z praktyką sprawdźmy więc we własnej organizacji. Dajmy uczestnikowi obowiązującą instrukcję zgłoszenia podejrzanego logowania i poprośmy, żeby na jej podstawie wskazał kontakt do pomocy. Zapiszmy, czy potrafi go znaleźć bez dalszego korzystania z podejrzanej strony.

W części dotyczącej kodu 2FA zatrzymajmy symulację i poprośmy o opis działań po przerwaniu sesji. Uczestnik powinien nazwać konto, którego dotyczy zdarzenie, oraz kategorię przekazanych danych. Do notatki z ćwiczenia wpisujmy właśnie kategorie, bez prawdziwych haseł, kodów czy danych kart. Ustalmy też, komu pracownik przekaże informację, że nie pamięta dokładnie, co wpisał.

Próbę odzyskania konta ograniczmy do przejścia przez dostępną instrukcję z osobą odpowiedzialną za jego obsługę. Sprawdźmy, gdzie zaczyna się ten proces i kto potwierdza jego zakończenie. Przy scenariuszu JWR nie uznawajmy samego zamknięcia podejrzanego logowania za koniec ćwiczenia. Wynikiem ma być wskazana ścieżka pomocy oraz lista braków wymagających uzupełnienia w procedurze.

Odpowiedzialność przypiszmy do konta, karty i dokumentów

Zakres danych opisany przez Cisco Talos wykorzystajmy do podziału zadań w organizacji. Przy poświadczeniach i kodach 2FA wskażmy osobę odpowiedzialną za pomoc w odzyskaniu konta. Przy danych karty ustalmy, kto sprawdzi płatność niezależnie od podejrzanej sesji. Dla dokumentów tożsamości wyznaczmy kontakt, który przyjmie informację o ich przekazaniu i ustali dalsze postępowanie.

Zarząd powinien wymagać od prowadzącego ćwiczenie JWR krótkiej notatki: gdzie uczestnik przerwał sesję, komu zgłosił sprawę i jak rozpoczął weryfikację płatności. Przy brakującym kontakcie lub niejasnej instrukcji zapiszmy osobę odpowiedzialną za poprawkę. Nie zamykajmy zadania samym odnotowaniem obecności pracownika na szkoleniu; poprośmy o wynik próby wykonania procedury.

Przytoczone fakty o JWR nie określają kosztów incydentów ani nie mówią, ile strat oszczędzi proponowane szkolenie. Nie wpisujmy więc do uzasadnienia budżetu obietnicy konkretnego spadku strat. Do decyzji o zakresie ćwiczenia wykorzystajmy opis sterowania sesją i listę zbieranych danych. Od osoby odpowiedzialnej za szkolenie wymagajmy pokazania, jak uwzględniła oba elementy w zadaniach dla uczestników.

Ćwiczenie z JWR zakończmy wskazaniem odpowiedzialnych za odzyskanie konta i niezależne sprawdzenie płatności.

W polskiej firmie przećwiczmy własną ścieżkę pomocy

Przytoczone ustalenia o JWR nie potwierdzają polskich ofiar. W materiale szkoleniowym dla polskiej firmy przedstawmy zatem mechanizm opisany przez Cisco Talos, bez przypisywania własnej organizacji udziału w opisanych zdarzeniach. Scenariusz dostosujmy do wybranego konta i sposobu zgłaszania wątpliwości dotyczących płatności. Używajmy fikcyjnych danych ćwiczeniowych, których nie da się pomylić z rzeczywistymi danymi pracowników.

Do próby dotyczącej JWR zaprośmy osobę obsługującą konto i osobę odpowiedzialną za sprawdzanie płatności. Poprośmy je o uzgodnienie, jak pracownik ma przekazać podejrzenie po przerwaniu sesji. W niezależnej weryfikacji płatności wybierzmy kontakt znany organizacji wcześniej, poza podejrzanym logowaniem. Zapiszmy, kto wykona sprawdzenie oraz kto otrzyma jego wynik.

Co z tym zrobić w poniedziałek

Na każde z poniższych działań przeznacz do 30 minut. Ogranicz próbę do wybranego konta lub przykładu płatności.

  1. Przećwicz przerwanie sesji inspirowanej JWR. Na kartce opisz prośbę o dane logowania i kod 2FA. Poproś uczestnika o wskazanie momentu przerwania czynności oraz kontaktu do pomocy. Zapisz wynik bez używania rzeczywistych poświadczeń.
  2. Przejdź instrukcję odzyskania wybranego konta. Z osobą odpowiedzialną za jego obsługę wskaż początek procedury, sposób zgłoszenia ujawnienia danych i osobę potwierdzającą odzyskanie dostępu. Zapisz brakujące ustalenia; celem krótkiej próby jest sprawdzenie ścieżki, bez obietnicy odzyskania konta w pół godziny.
  3. Ustal niezależne sprawdzenie płatności. Dla ćwiczeniowego przypadku ujawnienia danych karty wskaż znany wcześniej kanał kontaktu i osobę wykonującą weryfikację poza podejrzaną sesją. Dopisz do instrukcji, komu ma przekazać wynik sprawdzenia.

JWR daje konkretną podstawę do ćwiczenia decyzji podejmowanych podczas trwającego logowania. W programie szkolenia wymagajmy możliwości przerwania sesji także wtedy, gdy uczestnik zdążył już podać dane. Za wynik próby uznajmy przejście od rozpoznania podejrzenia do uruchomienia pomocy przy koncie i sprawdzenia płatności.

Źródła

  1. Cisco Talos: Dissecting the JWR phishing framework. Publikacja: 13 sierpnia 2026 r.

Redakcja cyberinsight.pl.