CERT Polska: Phishing powszechny w polskiej sieci. Coraz groźniejsze ataki ransomware

CERT Polska działa w strukturach NASK – państwowego instytutu badawczego prowadzącego działalność naukową, krajowy rejestr domen .pl i dostarczającego usługi teleinformatyczne.

CERT Polska to pierwszy powstały w Polsce zespół reagowania na incydenty (z ang. Computer Emergency Response Team). Od początku istnienia w 1996 r. rdzeniem działalności zespołu jest obsługa incydentów bezpieczeństwa i współpraca z podobnymi jednostkami na całym świecie, zarówno w działalności operacyjnej, jak i badawczo-wdrożeniowej.

Od 1998 r. CERT Polska jest członkiem międzynarodowego forum zrzeszającego zespoły reagujące – FIRST, a od 2000 r. należy do grupy roboczej europejskich zespołów reagujących – TERENA TF-CSIRT i działającej przy niej organizacji Trusted Introducer.

Phishing największym zagrożeniem

Teraz CERT Polska opublikował raport na temat zagrożeń występujących w polskiej sieci w 2019 r. Z opracowania wynika, że CERT Polska zarejestrował w 2019 r. 6484 incydenty. Jest to rekordowa liczba, a zarazem rekordowy wzrost rok do roku (o 73 proc.).

Najczęściej występującym typem ataku był phishing, który stanowił ok. 54,2 proc. wszystkich incydentów. Na 2. miejscu znalazły się zgłoszenia dotyczące złośliwego oprogramowania – ok. 14,9 proc. Incydenty z kategorii „obraźliwe i nielegalne
treści”, w tym spam, stanowiły ok. 12,1 proc. wszystkich zarejestrowanych incydentów.

Jak podaje CERT Polska zdecydowanie najpopularniejszym typem incydentu był phishing. W porównaniu do roku wcześniejszego udział incydentów phishingowych wzrósł o ok. 10 punktów procentowych.

Wśród przestępców największą popularnością cieszyły się dwa rodzaje wyłudzeń tego typu. Pierwszym z nich był phishing na serwis społecznościowy Facebook.

Atakujący publikowali posty zawierające informację o porwaniu bądź uprowadzeniu dziecka wraz z adresem do strony internetowej, na którym dostępne było nagranie z zajścia. Chcąc obejrzeć nagranie użytkownik zmuszony był do potwierdzenia ukończenia 18. roku życia, uwierzytelniając się poprzez konto na Facebooku.

W ten sposób atakujący otrzymywał dostęp do konta poszkodowanego, które to z kolei mogło być wykorzystywane do kolejnego oszustwa m.in. „na BLIK-a”.

Metoda ta bazuje na podszywaniu się pod właściciela konta Facebook i wysyłaniu wiadomości prywatnych do osób, które są dodane do listy znajomych na danym koncie, z prośbą o przelew przy użyciu systemu płatności mobilnych BLIK.
Jeśli ktoś się na to nabierze i poda kod, a następnie zatwierdzi wypłatę w aplikacji mobilnej, to pieniądze zostają wypłacone z bankomatu i przestępca znika.

Drugim popularnym atakiem phishingowym w 2019 r. było podszywanie się pod operatora szybkich płatności PayU oraz DotPay. Przestępcy w sposób masowy wysyłali do przypadkowych osób wiadomości e-mail lub SMS zawierające informacje o koniecznej opłacie np. dopłacie do paczki, zapłacie za egzekucję komorniczą itd.

Podczas podawania danych uwierzytelniających (login, hasło) na fałszywej stronie serwisu płatności atakujący przechwytywali je i pozyskiwali możliwość zalogowania się do bankowości elektronicznej ofiary. W sumie w 2019 r. zespół CERT Polska podjął działania w sprawie aż 224 fałszywych stron logowania do Facebooka.

Czytaj dalej: Grupa hakerów grozi ujawnieniem poufnych danych Donalda Trumpa. Chce 42 mln dolarów okupu

Blokady dla okupu i fałszywe alarmy bombowe

W raporcie CERT Polska zwraca uwagę na coraz groźniejsze zjawisko blokowania przez przestępców komputerów w celu uzyskania okupu, szczególnie w odniesieniu do instytucji publicznych.

Jak wyjaśnia raport ransomware to rodzaj wirusa komputerowego, który szyfruje pliki na zaatakowanym komputerze i w praktyce blokuje jego działanie. Przestępcy żądają okupu za wydanie klucza do odszyfrowania danych. Stąd nazwa, pochodząca od słowa ransom (ang. okup).

W 2019 r. CERT obsłużył 26 incydentów związanych z infekcją ransomware. Aż 7 z nich dotyczyło urzędu gminy lub powiatu, 6 dotyczyło szpitali i klinik, a pozostałe innych sektorów.

Eksperci zaznaczają, że zmienia się przy tym model biznesowy przestępców - coraz częściej domagają się okupu nie tylko za odszyfrowanie danych, ale także za ich nieujawnianie.

Zdarza się, że zaszyfrowane dane udaje się odzyskać dzięki deszyfratorom, stworzonym przez ekspertów ds. cyberbezpieczeństwa. Ale często jedynym sposobem jest odzyskanie danych z kopii zapasowej. Dla małych firm i instytucji odpowiednie utrzymywanie kopii zapasowej może stanowić zbyt duży koszt, więc bywa że tracą dane bezpowrotnie.

- Ofiarami tego rodzaju ataków w ostatnim czasie były m.in. samorządy. Działanie cyberprzestępców może mieć bardzo niebezpieczne skutki, np. uniemożliwiać realizację usług dla obywateli. Dlatego zainicjowaliśmy i prowadzimy kampanię „Cyberbezpieczny samorząd” – zaznacza w komunikacie minister cyfryzacji Marek Zagórski, pełnomocnik rządu ds. cyberbezpieczeństwa. - Jej celem jest podniesienie świadomości urzędników na temat cyberzagrożeń i przekazanie im informacji o skutecznych metodach obrony przed różnego rodzaju atakami w internecie.

Według CERT Polska w 2019 r. zmorą okazały się fałszywe alarmy bombowe. Były one wysyłane drogą mailową przez bliżej niezidentyfikowanych sprawców. Celem ataków były m.in. urzędy, prokuratury, sądy, przedszkola, szkoły, uczelnie, szpitale, centra handlowe, media czy transport publiczny.

Czytaj dalej: Hakerzy z Anonymous: Usuńcie TikToka, to aplikacja do szpiegowania internautów

Jeden z takich ataków został przeprowadzony na początku maja 2019 r. w związku z odbywającymi się wówczas egzaminami maturalnymi. Według Centralnej Komisji Egzaminacyjnej tylko w dniu 7 maja 663 szkoły zgłosiły fakt otrzymania drogą mailową informacji o podłożeniu ładunku wybuchowego na terenie szkoły. W 481 szkołach, po sprawdzeniu przez służby, egzamin rozpoczął się zgodnie z harmonogramem. W 181 szkołach egzamin rozpoczął się z opóźnieniem, zaś w jednej placówce egzamin się nie odbył.

Jak wyjaśnia raport skala zakłóceń była efektem działalności anonimowego forum internetowego, w którym podawane były instrukcje dla zainteresowanych „bomberów”, pokazujące krok po kroku jak skorzystać z pozwalającej zachować anonimowość bramki pocztowej w sieci TOR.

Z kontekstu pojawiających się wpisów wynikało, że kilka osób zaangażowało się w przygotowanie i przeprowadzenie ataków. Tworzono przykładowe szablony maili, instrukcje, jak zdobywać adresy szkół, w tym gotowe listy do pobrania, oraz informacje, jak anonimowo rozsyłać maile. CERT Polska podkreśla, że w skali roku można mówić o setkach, jeśli nie tysiącach odnotowanych incydentów.

Czytaj także: wygraj nagrody po 10 tys. dolarów