U inbox stiže poruka koja izgleda kao rutinsko obaveštenje provajdera. U njoj piše vaše ime, tačan naziv domena i datum isteka koji se poklapa sa stvarnošću. Ispod je upozorenje: plaćanje karticom nije uspelo, i ako se podaci ne ažuriraju u narednih 24 sata, sajt i poslovni mejl prestaju da rade.
Pošiljalac izgleda zvanično - ime velikog hosting ili domen provajdera, u zaglavlju adresa koja deluje ispravno. Dugme "Obnovi domen" vodi na stranicu koja izgleda identično kao pravi korisnički panel. Tamo se traže korisničko ime, lozinka i podaci kartice.
Sve što unesete na toj stranici odlazi direktno napadaču: pristup panelu, a često i kartica. Sa pristupom panelu domena, napadač može da preusmeri sajt i mejl, pa čak i da prebaci domen na drugi nalog.
Kako su saznali moje podatke?
Prvo što zbuni većinu ljudi jeste koliko je poruka precizna. Ali ništa od toga nije tajna.
WHOIS registar. Svaki registrovan domen ima javni zapis u WHOIS bazi: kod kog registra je registrovan, kada ističe i koji su nameserveri. Kod mnogih registara lični podaci su danas delimično skriveni zbog zaštite privatnosti, ali datum isteka, registrar i često naziv firme ili kontakt mejl i dalje su dostupni. Postoje i servisi koji čuvaju istoriju starih WHOIS zapisa, iz vremena kada su podaci bili potpuno javni.
Automatizovani botovi. Napadači ne traže žrtve ručno. Programi svakodnevno skeniraju milione domena, beleže datume isteka, prikupljaju mejl adrese sa sajtova i kontakt stranica, i automatski šalju poruke pravo u vreme kada obnova zaista treba da se desi.
Sajt sam otkriva mnogo. Ime vlasnika iz impresuma, mejl sa kontakt stranice, naziv hostinga koji se vidi iz DNS zapisa - sve to je javno, i sve to se lako spaja u ličnu poruku.
Zašto stiže mejl od provajdera kog uopšte ne koristite
Često stigne obaveštenje u ime nekog velikog, poznatog hosting ili domen provajdera, iako domen uopšte nije registrovan kod njega. To nije greška napadača, nego računica.
Kada pošalju sto hiljada poruka u ime velikih, poznatih firmi, deo primalaca zaista jeste njihov korisnik, a deo se jednostavno ne seti gde je šta registrovano. Dovoljno je da mali procenat klikne. Važno je naglasiti i da sam provajder u ovom slučaju nije hakovan - napadači samo zloupotrebljavaju njegovo ime.
Tehnička varka: kako se lažira adresa pošiljaoca
Mejl ima nekoliko polja koja izgledaju slično, ali znače različite stvari. Tu se krije većina trikova.
- Prikazano ime (Display Name). Tekst koji vidite pre adrese, na primer "Hosting Support". Može da piše bilo šta - ne postoji provera.
- From. Adresa koju vidite kao pošiljaoca. Može da se lažira, a često se koristi i adresa koja samo liči na pravu, na primer sa jednim slovom razlike ili sa dodatkom poput "-billing" ili "-secure".
- Reply-To. Adresa na koju odlazi vaš odgovor. U prevarama se često razlikuje od From adrese i vodi direktno napadaču.
- Stvarni server pošiljaoca. Vidi se tek u punom zaglavlju poruke i pokazuje odakle je mejl zaista poslat - obično sa kompromitovanog servera ili jeftinog servisa za masovno slanje.
Ozbiljni provajderi danas štite svoje domene pravilima (SPF, DKIM i DMARC) koja otežavaju da se njihova tačna adresa direktno lažira. Zato napadači sve češće koriste adrese i domene koji samo liče na prave. Na telefonu, gde se adresa često ni ne vidi cela, razlika gotovo nikome ne upadne u oči.
Anatomija lažne poruke
Gotovo svaka ovakva poruka ima iste sastojke:
- Hitnost: "Vaš sajt i mejl prestaju da rade za 24 sata."
- Tačan detalj: pravi domen i datum isteka, da bi poruka delovala proverljivo.
- Problem sa plaćanjem: "kartica je odbijena" ili "plaćanje nije prošlo", da bi traženje podataka kartice izgledalo prirodno.
- Jedno veliko dugme: "Obnovi sada" ili "Potvrdi podatke", koje vodi na lažnu stranicu.
Pre klika uvek zadržite kursor iznad dugmeta (na telefonu: dugo pritisnite link) i pogledajte pravu adresu. Ako vodi na nepoznat domen, čudan poddomen ili adresu sa dodatnim rečima pre ili posle naziva provajdera - u pitanju je prevara. Pravi domen se uvek čita sa desne strane, neposredno pre prve kose crte: u adresi provajder.com.obnova-domena.net pravi domen je obnova-domena.net, a ne provajder.com.
Pravo obaveštenje ili phishing - kako ih razlikovati
| Element | Pravo obaveštenje | Phishing |
|---|---|---|
| Pošiljalac | Zvanični domen servisa | Lažiran ili sličan domen, drugačiji Reply-To |
| Link | Vodi na zvanični portal servisa | Vodi na nepoznat domen ili sumnjiv poddomen |
| Ton | Informativan, sa razumnim rokom | Panika, pretnja gašenjem za 24 sata |
| Tehnička provera | Prolazi SPF, DKIM i DMARC | Pada ili ne postoji pri detaljnom pregledu |
Provera i reakcija u četiri koraka
1. Ne klikajte ništa u mejlu. Ni dugme, ni link, ni prilog - čak ni ako je sve tačno.
2. Proverite pošiljaoca i Reply-To. Otvorite pune podatke o poruci (u Gmail-u: "Prikaži original", u Outlook-u: "Svojstva poruke"). Uporedite From i Reply-To adresu i pogledajte rezultate provera - ako piše da SPF, DKIM ili DMARC nisu prošli, mejl je gotovo sigurno lažan.
3. Prijavite se direktno. Sami ukucajte adresu panela svog registra domena ili hostinga u pretraživač, ili koristite sačuvan obeleživač - nikada link iz mejla.
4. Proverite status u panelu. Ako je domen zaista pred istekom ili plaćanje zaista nije prošlo, to ćete videti u svom nalogu. Ako je tamo sve u redu, mejl obrišite i prijavite kao phishing.
Ako ste već uneli podatke na lažnoj stranici: odmah promenite lozinku u pravom panelu, uključite dvofaktorsku zaštitu, javite banci da blokira karticu i proverite da li su DNS zapisi ili kontakt podaci domena menjani.
Zaštita koja traje: DNS pravila i navike tima
Za sopstveni domen vredi podesiti tri DNS zapisa koja otežavaju da neko šalje mejlove u vaše ime:
- SPF - lista servera kojima je dozvoljeno da šalju mejl sa vašeg domena.
- DKIM - digitalni potpis koji dokazuje da poruka nije menjana i da zaista dolazi sa vašeg servera.
- DMARC - pravilo koje kaže serverima primaocima šta da rade sa porukom koja ne prođe provere: da je propuste, stave u spam ili odbiju.
Uz to: uključite dvofaktorsku zaštitu na nalogu registra domena, hostinga i poslovnog mejla, uključite automatsku obnovu domena i zaključavanje transfera (transfer lock) ako ga registar nudi, i dogovorite se u timu da se svaki mejl o plaćanju ili "hitnoj" promeni proverava direktno u panelu.
Domen je adresa cele firme na internetu - sajt, mejl i reputacija zavise od njega. Jedno pravilo štiti od većine ovakvih napada: obaveštenja se ne proveravaju klikom, nego prijavom.
