piątek, 1 grudnia 2017

Bezpieczne zakupy online

Zbliżające się święta to czas zakupów gdzie coraz więcej klientów robi zakupy online w Internecie. Niestety, sezon zakupów świątecznych to także sezon dla cyberprzestępców. Ataki phishingowe, fałszywe strony banków czy witryny sklepów czy pośredników finansowych, oszustwa SMS-owe i inne to tylko niektóre zagrożenia, których celem jest kradzież danych osobowych i finansowych.
Przed przystąpieniem do zakupów warto przygotować się żeby w bezpieczny i w wygodny sposób kupować prezenty. Aby tak się stało zastosuj kilka prostych zasad.

Pilnuj bezpieczeństwa swoich urządzeń


Pamiętaj, aby wszystkie twoje urządzenia (komputery, tablety, telefony) były zaktualizowane i załatane. Dostawcy wydają regularne aktualizacje zabezpieczeń zaprojektowane w celu ochrony przed znanymi zagrożeniami.
Zachowaj ostrożność podczas pobierania nowych aplikacji, szczególnie na telefony z Androidem. Nawet aplikacje z oficjalnych sklepów z aplikacjami mogą być zarażone.
Używaj karty kredytowej, a nie karty debetowej. Większość kart kredytowych ma wbudowaną ochronę przed oszustwami. Skontaktuj się ze swoim bankiem lub dostawcą karty, aby dowiedzieć się więcej na temat zabezpieczeń zapewnianych przez kartę.


Zwróć uwagę, z jakich sieci Wi-Fi korzystasz


Aby był taniej często korzystamy z publicznych darmowych sieci Wi-Fi
np. w kawiarniach czy sklepach. Niestety publicznymi sieciami Wi-Fi interesują się często przestępcy. Przechwytują oni połączenia w celu kradzieży haseł i innych danych osobistych. Przestępcy często wystawiają własne punkty dostępowe o podobnych nazwach. Łącząc się do Internetu przez takie punkty osoba atakująca jest w stanie przechwytywać cały ruch przesyłany między Tobą a Internetem. Może to pozwolić na przejecie danych podczas zakupów internetowych, danych bankowych lub społecznościowych. Warto pamiętać, że nasze urządzenia same próbują się łączyć do punktów dostępowych, jeżeli mają włączone sieć Wi-Fi. Gdy telefon znajdzie znaną sieć, automatycznie spróbuje się z nią połączyć. Są narzędzia, które mogą wykryć nazwy sieci, do których próbuje połączyć się twój urządzenie i naśladować je. Umożliwia to przestępcy użycie fałszywego połączenia w celu kradzieży danych. Jeśli jesteś w kawiarni, a twoje urządzenie uważa, że ​​jest podłączone do domowej sieci bezprzewodowej, prawdopodobnie ktoś próbuje ukraść Twoje dane! Jeżeli nie korzystasz z sieci Wi-Fi wyłącz!

Zachowaj ostrożność podczas korzystania z nieznanych witryn sklepowych


         - Nie klikaj linków w reklamach wysyłanych na twój e-mail chyba, że najpierw je sprawdzisz. Jeśli najedziesz kursorem myszy na link, powinieneś zobaczyć URL. Przyjrzyj się uważnie. Czy nazwa jest zbyt długa lub zawiera wiele łączników lub liczb? Czy zastępuje litery liczbami, na przykład amaz0n.com czy o1x.pl? Najlepiej nie otwierać wiadomości e-mail ani nie klikać załącznika od kogoś, kogo nie znasz - zwłaszcza, gdy zawiera kuszący temat, na przykład nagrodę pieniężną lub rachunek za coś, czego nie kupiłeś.
         - Skorzystaj z wyszukiwarki, aby wyszukać recenzje i oceny online nieznanej lub nieznanej witryny, zanim zrobisz tam zakupy. Używaj w wyszukiwaniu słów takich jak oszustwo lub oszustwo.
         - Spójrz na wygląd strony. Czy to wygląda profesjonalnie? Czy linki są dokładne i szybkie? Czy jest dużo pop-upów? To wszystko wskazuje, że strona może być fałszywa!.
         - Zwracaj uwagę na treść. Zła gramatyka, niejasne opisy i błędnie napisane słowa to kolejne sygnały, że strona prawdopodobnie nie jest prawdziwa.
         - Bądź sceptyczny. Niezwykle niskie ceny i wysoka dostępność trudno dostępnych przedmiotów to czerwone flagi dla witryn oszustów.
Pamiętasz takie powiedzenie "zbyt piękne, żeby było prawdziwe"
         - Upewnij się, że sklep internetowy używa bezpiecznego systemu płacenia, który akceptuje główne karty kredytowe. Unikaj witryn wymagających bezpośrednich płatności niemożliwych do zweryfikowania.

Pamiętaj warto poświęcić trochę czasu na edukację samych siebie oraz naszych przyjaciół i rodzinę w sprawie bezpiecznych zakupów, abyśmy mogli cieszyć się szczęśliwymi i bezpiecznymi świętami.

niedziela, 29 października 2017

Uwaga ataki socjotechniczne! Vishing!

Uwaga na zwiększającą się ilość ataków opartych na socjotechnikach!

Mówimy tu o tak zwanym Vishingu. Dla przypomnienia, nazwa tego ataku powstała po połączeniu dwóch angielskich słów voice i phishing. Czyli pozyskiwanie poufnych danych poprzez manipulację słowną np. przez telefon. Osoba atakująca podszywa się pod pracownika instytucji finansowej np. pracownika banku.

Wszyscy na pewno znacie atak „na wnuczka” czy „na policjanta”? Tam oszust podszywa się pod wnuczka a w drugim przypadku pod wnuczka a następnie pod policjanta.   

W tych ostatnio zaobserwowanych aktach przestępca informuje nas o zagrożeniu naszych środków finansowych w banku. Informacja ta ma wywołać lęk, który spowoduje, że w celu uratowania naszych środków podamy mu wszystkie dane, o które nas poprosi. Chodzi tu głownie o nazwę  użytkownika i hasło do aplikacji bankowej. Gdy podamy te dane oszust zaraz zaloguje się do waszej bankowości i poprosi o kolejną rzecz np. kod SMS przesłany na nasz telefon.


Pamiętajmy nie podajemy takich danych i czytamy dokładnie, w jakim kontekście bank przesłał nam kod SMS. Pamiętajmy również o poinformowaniu o tym bank starając się przekazać dokładnie treść rozmowy lub nagranie, jeżeli rozmowę nagraliśmy oraz nr telefonu, z którego dzwoniła osoba podszywająca się pod pracownika. Takie dane przekazane przez bank policji pozwolą na szybsze ujęcie sprawcy. 

środa, 14 czerwca 2017

Uwaga na oszustów!

Osoby atakujący korzystają z różnych kanałów komunikacyjnych np. komunikator FB, maila. Mogą być „naszymi znajomymi” lub osobą sprzedającą coś przez portale aukcyjne/ogłoszeniowe.

Podczas kontaktu oszuści przekazują informację o drobnej płatności podając link do strony, na której mamy wykonać płatność. Jest to strona udająca pośrednika finansowego w płatnościach internetowych np. Dotpay. Z takiej strony jesteśmy przekierowywani na fałszywą stronę banku. Tu mamy do czynienia z phishingiem. Osoba atakująca przejmuje nasze dane do uwierzytelnienia, czyli nazwę użytkownika i hasło. Loguje się za nas do banku i wykonują np. dopisanie zaufanego kontrahenta. Taka czynność wymaga kodu autoryzacyjnego przesłanego SMS-em z banku na nasz telefon. Jeżeli podamy go na fałszywej stronie oszust z niego skorzysta. Od tego momentu osoba atakująca ma dostęp do naszej bankowości i może wykonywać transakcję na zaufanego kontrahenta bez dodatkowego potwierdzenia kodem SMS! 

Atakujący wykorzystywali domeny:
  • platnosci.link
  • bramka.it  
  • bramkaplatnosci.pl 
  • przelew.info
Przykładowa strona wykorzystywana przez oszustów

Przykładowa fałszywa strona jednego z banków

Podstawowe zasady bezpieczeństwa w czasie wykonywania transakcji!

Po pierwsze nie korzystamy z linków, które ktoś nam podaje np. w mailach i nie tylko. Jeżeli skorzystamy z takiego linku to powinniśmy się przyjrzeć czy strona jest bezpieczna i na pewno należy do instytucji, z której chcemy skorzystać.
Po drugie czytamy to, co dostajemy od banku w SMS-ach. Banki przesyłają nie tylko kod, ale również opis, do jakiej czynności jest ten kod, czyli co tak naprawdę trafiło do banku do realizacji. Nie czytanie takich informacji może skończyć się niestety utratą środków.     
Po trzecie warto sprawdzić, co tak naprawdę się zadziało w systemie bankowym? Jeżeli jest coś nie tak poprawić to w tym przypadku usunąć wpisy i zmienić hasło. Warto również skontaktować się z bankiem. 

niedziela, 19 marca 2017

Kolejne zmodyfikowane ataki "na znajomego" z Facebooka

O atakach „na znajomego” z Facebooka  pisałem już w październiku 2016.
Atak polegał na namawianiu nas przez "znajomego" a tak naprawdę przez osobę, która przejęła jego konto na Facebooku do wykonania drobnej transakcji. Osoba ta podawała nam link to wykonania transakcji.  Link prowadził na fałszywą stronę firmy pośredniczącej w płatnościach internetowych w celu przejęcia  naszych danych bankowych. 

Nowa wersja ataku polega na przekonaniu nas przez „naszego znajomego” do zapłacenia za jego transakcje internetową z obietnicą zwrotu tych środków jak to ma miejsce poniżej:



Realizując prośbę "znajomego" kupujemy oszustowi bitcoiny!

Kolejną wersję tego ataku opisuje Adam na Z3S gdzie "znajomy" prosi nas o zakup karty podarunkowej

Starajmy się sprawdzać taką prośbę np. za pomocą telefonu do znajomego! 

środa, 15 marca 2017

Secure 2016

Miałem przyjemność brać udział w konferencji Secure 2016 jako prelegent. 
Poniżej link  do opublikowanej na stronach YouTube prezentacji
"Złośliwe oprogramowanie w bankowości internetowej w Polsce"

 Secure 2016

poniedziałek, 2 stycznia 2017

Kilka rad na Nowy Rok 2017

Czyli jak być bezpiecznym w Internecie



1.   Dobre hasła
Nie używaj tego samego hasła na więcej niż jednej stronie czy w jednej aplikacji. Jeśli atakujący uzyskają jedno hasło, od razu spróbują je do wszystkich innych Twoich kont.
Korzystaj z haseł, długich i skomplikowanych.
Najlepiej rozważ użycie menedżera haseł, który pozwoli Ci na stosowanie silnych i unikalnych haseł do różnych aplikacji czy stron internetowych.

2.   Zmiana domyślnych haseł przed użyciem nowych urządzeń
Jeśli nie zmienisz domyślnego hasła ułatwisz cyberprzestępcom włamanie do twojego urządzenia. Na przykład po włamaniu do kamery atakujący może obserwować Ciebie lub twój dom. Ostatnio Internet Urządzeń, czyli IoT (Internet of Things) jest wykorzystywany do różnego rodzaju ataków.

3.   Aktualizacja oprogramowania na nowych urządzeniach przed ich użyciem
Nawet "nowe" komputery czy inne urządzenia zazwyczaj potrzebują aktualizacji. Od momentu ich produkcji do pierwszego ich wykorzystania, oszuści mieli czas na znalezienie luk.
Jeśli chcesz chronić swoje nowe urządzenia, zawsze zaktualizuj oprogramowanie przed ich użyciem.
Gdy pokaże się luka zaraz jest wykorzystywana przez przestępców.
Nie odkładaj aktualizacji, ponieważ "potem będzie za późno". Korzystaj z automatycznej aktualizacji, jeżeli jest to możliwa.

4.   Antywirus na każdym urządzeniu
Pamiętaj o instalacji programu antywirusowego nie tylko na komputerze i o ciągłej aktualizacji sygnatur. Pozwala to zabezpieczyć urządzenie przed złośliwym oprogramowaniem i wieloma innymi zagrożeniami.

5.   Uważaj na fałszywe maile
Gdy w mailu jesteś proszony o skorzystanie z linku, najprawdopodobniej oszuści próbują przekierować Cię na fałszywą stronę, która będzie wyglądać dokładnie tak jak prawdziwa by uzyskać twoje hasło oraz inne dane.
Jeśli chcesz się gdzieś zalogować, należy otworzyć przeglądarkę i przejść na stronę internetową podając prawidłowy adres.
Osoby podszywające się pod różne firmy wysyłają fałszywe wiadomości na przykład o problemach z dostawą. Chcą one zmusić Cię do skorzystania z linku lub otwarcia załączonego pliku.
Jeśli chcesz skontaktować się z firmą, by sprawdzić dostawę, nie korzystaj z linków lub informacji w mailu. Sam poszukaj firmę w Internecie.

6.   Pomyśl zanim udostępnisz informacje w mediach społecznościowych
Może to brzmi niepopularnie, ale pisanie o wszystkim w mediach społecznościowych nie jest dobrym pomysłem.
Zdjęcia, dane karty kredytowej, czy cokolwiek, co opublikujesz w Internecie nigdy nie będziesz w stanie już z niego usunąć!

7.   Wykonuj kopię zapasową swoich danych
Nie zapomnij, aby wykonywać regularnie kopię zapasową swoich cennych dokumentów ze wszystkich swoich urządzeń.
Jeśli pliki zostaną utracone lub zaszyfrowane, będziesz mógł je odzyskać.