Masowa produkcja i niskie marże kontra dzieło na zamówienie i wysoki zysk – w wielu branżach można znaleźć przykłady różnego podejścia do rynku. Dotyczy to także internetowych oszustw, gdzie obok siebie funkcjonują masowe wyłudzenia i „polowania z włócznią”.
Przestępczy biznes w sieci oparty na atakach socjotechnicznych, tak samo, jak każda dziedzina, doczekał się specjalizacji. Phishing może występować w wielu odmianach, które dzieli niemal każdy wymiar. Celem jest zawsze szeroko rozumiane wyłudzenie informacji, ale na tym kończą się podobieństwa. Oszuści kierują się zupełnie innymi kalkulacjami, zależnie od tego, czy celują w szeroki „rynek”, niszę czy pojedyncze ofiary.
Masówka – mało staranna, ale nierzadko skuteczna
Prawie każdemu korzystającemu z sieci znany jest masowy phishing. Strategię stosowaną przez przestępców określić można jako strzelanie na ślepo. Na skrzynki pocztowe, telefony tysięcy użytkowników trafiają takie same, niespersonalizowane wiadomości. Skala kampanii bywa liczona w setkach tysięcy wysłanych komunikatów.
Atakujący naturalnie nie zadają sobie trudu, aby sprawdzić, czy odbiorcy korzystają z usługi lub instytucji, pod którą podszywają się w danym przypadku. Brak rozpoznania pola oznacza, że znacząca część wiadomości trafia w próżnię. Dlatego dla phishingowej masówki charakterystyczne jest podszywanie się pod znane marki, co naturalnie zwiększą pulę potencjalnych ofiar.
Wiadomości mają bardzo sztampową postać. Zwykle bazują na socjotechnikach związanych z wywoływaniem strachu, poczucia pilności („twoje konto zostanie zablokowane”). Odbiorcy zachęcani są do kliknięcia w link lub podzielenia się prywatnymi danymi.
Masowy zasięg ma istotne ekonomiczne konsekwencje. Nawet niewielki odsetek sukcesów wystarcza, by akcja okazała się opłacalna. Co ciekawe, istnieją badania wskazujące na wyższą skuteczność niedbale przygotowanych wiadomości phishingowych. Działają one jak filtr, odsiewając bardziej podejrzliwych adresatów.
Phishing z włócznią, czyli cel na niszę
Można zarzucać szeroko sieć, a można skoncentrować się na konkretnym celu. Druga strategia jest charakterystyczna dla spear phishingu, czyli „łowienia z włócznią”. Słowo-klucz to w tym przypadku personalizacja. W grę wchodzić może jedna firma, konkretny dział w organizacji, a czasem nawet pojedyncze osoby.
W odróżnieniu od phishingu masowego, przestępcy poświęcają sporo uwagi etapowi przygotowania przynęty. Wszystko, co można znaleźć w sieci, może przydać się do zbudowania tła i odpowiedniego pretekstu. W sieciach społecznościowych, serwisach firmowych dostępne są chociażby dane o strukturze firmy, zależnościach służbowych, czasem nawet nazwach realizowanych projektów czy klientach.
Wiadomość trafiająca do ofiar spear phishingu zwykle jest starannie skonstruowana, by upodobnić się do prawdziwych komunikatów. Bywa, że pochodzi wręcz z godnego zaufania źródła, jeśli wcześniej poprzez masowy phishing zdobyto „wejście” do infrastruktury firmy. Nadawcy podszywają się pod przełożonego, współpracownika, kontrahenta albo komórkę organizacyjną instytucji (np. IT). Treść ma zazwyczaj w sobie nawiązanie do rzeczywistych i prawdziwych okoliczności – trwającego projektu, obsługi obecnego klienta.
Pewne podobieństwa do masowego phishingu widać natomiast w celach ataku i „czerwonych flagach” zawartych w wiadomości. Polujący z włócznią chcą zazwyczaj skłonić ofiarę do kliknięcia w link (dalej – np. wyłudzić hasło) lub pobrania złośliwego oprogramowania. Nieco rzadziej wprost oczekują wysłania pieniędzy, np. podsuwając podrobioną fakturę. W treści komunikatu pojawiają się zatem typowe elementy socjotechniczne – presja na natychmiastowe działanie, groźba konsekwencji. Uwagę ofiary może zwrócić nagły charakter prośby i nietypowy sposób komunikacji, w tym pominięcie zwykłych procedur, załączenia innych adresatów, użycie pół-prywatnego kanału (np. komunikatora zamiast maila).
Wieloryb na celowniku
W phishingowej hierarchii najwyżej stoją schematy wycelowane w najbardziej atrakcyjne cele – przedsiębiorców i zarządzających. Noszą one etykietkę whale phishing, czyli „polowania na wieloryba”. Nie mają one ściśle powtarzających się scenariuszy i dlatego dzieli je od masowych wyłudzeń niemal wszystko.
Atak poprzedza bardzo rozbudowany etap zbierania informacji o zwyczajach, planie dnia, kontaktach potencjalnej ofiary. Od szczegółowości tych wysiłków zależy jakość przynęty. Taktyka whale phishingu to przede wszystkim podszycie się pod zaufanego partnera biznesowego. Technologicznie w grę wchodzą zaawansowane chwyty – od zdobycia dostępu do wewnętrznych systemów komunikacji w firmie, na wykorzystaniu deepfake w rozmowach telefonicznych i wideo skończywszy.
Przestępcy biorący na celownik prezesów zarządów czy biznesmenów ponoszą jednorazowo duże nakłady. Uzasadnia to bardzo wysoka stawka, nierzadko liczona w milionach dolarów. „Nagroda” może przyjąć postać autoryzowanego wyłudzonego przelewu lub łupu w postaci wrażliwych danych o strategicznym znaczeniu.
