Cum recunoașteți un e-mail de phishing: exemple din Elveția și ce faceți dacă ați dat clic

Un e-mail de phishing îl recunoașteți mai ales după trei lucruri: adresa expeditorului nu se potrivește cu presupusul expeditor, linkul duce la un domeniu străin și vi se cere, sub presiunea timpului, să plătiți ceva sau să introduceți date de acces. Regula cea mai sigură: nu acționați prin linkul din e-mail, ci deschideți singur aplicația sau site-ul furnizorului. Ce nu apare acolo este foarte probabil fals.

Înșelătorii tipice de phishing în Elveția

Escrocii se dau adesea drept expeditori cu care aveți oricum de-a face în mod regulat. În Elveția revin mereu mai ales aceste tipare:

Poșta, colete și taxe vamale

Un colet ar fi fost reținut, livrarea ar fi eșuat sau ar mai fi de plătit taxe vamale ori de depozitare, adesea doar câțiva franci. Linkul duce la o pagină copiată care fură datele cardului. Potrivit Poștei Elvețiene, aceasta nu cere niciodată prin SMS sau e-mail parole, coduri de securitate sau datele complete ale cardului.

Banca și cardul de credit

Contul ar urma să fie blocat, o plată ar trebui confirmată sau datele actualizate. Adesea urmează un apel în care cineva se prezintă drept angajat al băncii, într-o limbă impecabilă. Nicio bancă nu cere prin e-mail parole sau confirmarea datelor cardului. Deschideți e-bankingul doar din aplicație sau tastând singur adresa.

Reînnoirea domeniului și servicii de înscriere

Titularii de domenii primesc e-mailuri sau scrisori care arată ca o factură de reînnoire: domeniul .ch ar expira, iar pentru înregistrare sau pentru un „serviciu de înscriere” ar fi de plătit câteva sute de franci, într-un cont din străinătate. Poliția cantonală avertizează regulat în privința acestor presupuse facturi pentru domenii. Reînnoiți domeniul doar la registrarul la care este înregistrat; orice căutare WHOIS vi-l arată.

Factura de găzduire și căsuța plină

O plată ar fi eșuat și site-ul ar fi suspendat, sau căsuța de e-mail ar fi plină și unele mesaje reținute. Linkul duce la o pagină falsă de autentificare pentru webmail sau zona de client. Verificați întotdeauna facturile neachitate direct în zona de client a furnizorului.

Verificarea expeditorului

Numele afișat al unui e-mail poate fi ales oricum. Contează adresa din spate și mai ales domeniul de după @. Atingeți sau dați clic pe nume pentru a vedea adresa completă.

• Domeniu străin: numele spune „Poșta Elvețiană”, dar adresa se termină cu @livrare-colete.info sau @gmail.com.
• Domeniu asemănător: caractere inversate sau adăugate, precum p0st.ch, post-ch.com sau securitate-banca.ch.
• Adresă de răspuns diferită: răspunsurile merg la altă adresă decât cea a expeditorului.
• Formulă de adresare impersonală, precum „Stimate client”, deși furnizorul real vă cunoaște numele.

Dacă vreți să mergeți mai departe, deschideți antetele e-mailului (în multe programe „Afișare original” sau „Sursă”). La „Authentication-Results” vedeți dacă SPF, DKIM și DMARC au trecut. Un „fail” la un e-mail care pretinde că vine de la bancă este un semnal clar de alarmă. Invers, un „pass” înseamnă doar că e-mailul vine într-adevăr de la domeniul afișat, nu că acel domeniu este de încredere.

Verificarea linkurilor fără a da clic

Pe calculator, treceți cu mouse-ul peste link și așteptați până apare adresa de destinație în partea de jos a ferestrei. Pe telefon, țineți apăsat pe link până apare previzualizarea. Citiți apoi domeniul de la dreapta la stânga, pornind de la prima bară oblică simplă:

Atenție și la codurile QR din e-mailuri sau scrisori: și ele ascund adresa. Iar un lacăt în bara de adrese înseamnă doar că legătura este criptată. Și site-urile de phishing folosesc HTTPS.

Sfat: Creați marcaje pentru bancă, Poștă, impozite și furnizorul de găzduire sau folosiți aplicațiile oficiale. Astfel nu va trebui niciodată să urmați un link primit prin e-mail.

Alte semnale de alarmă

• Presiunea timpului: „în 24 de ore”, „ultima somație”, „contul va fi șters”.
• Atașamente neașteptate, mai ales fișiere ZIP, HTML sau Office cu macrocomenzi.
• Suma sau numărul facturii nu corespund niciunei facturi din contul de client.
• Cererea de a schimba datele bancare sau de a plăti într-un IBAN nou.
• Greșeli de ortografie, limbi amestecate sau o oră de trimitere neobișnuită.

Ați dat clic sau ați introdus date: ce faceți acum?

Dacă doar ați dat clic pe link, fără să introduceți sau să descărcați ceva, de regulă nu s-a produs nicio pagubă. Închideți pagina. Dacă ați introdus date sau ați deschis un atașament, acționați imediat:

1. Schimbați parola contului afectat și peste tot unde folosiți aceeași parolă. Dacă e vorba de contul de e-mail, schimbați și parolele serviciilor legate de acea adresă.
2. Dacă ați introdus date de card sau bancare, sunați imediat banca sau emitentul cardului și blocați cardul.
3. Activați autentificarea în doi pași acolo unde lipsește încă.
4. Căutați în contul de e-mail redirecționări și reguli de filtrare necunoscute și ștergeți-le.
5. Dacă ați deschis un atașament sau ați instalat un program, deconectați dispozitivul de la rețea și puneți-l să fie verificat. Dacă a fost instalat un program de acces la distanță, dezinstalați-l.
6. Dacă s-a produs o pagubă financiară, depuneți plângere la poliție, de exemplu prin Suisse ePolice sau la un post de poliție.

Raportarea phishingului

Raportările ajută la blocarea mai rapidă a site-urilor false. Oficiul Federal pentru Securitate Cibernetică, care până la sfârșitul anului 2023 se numea Centrul Național pentru Securitate Cibernetică (NCSC), administrează în acest scop site-ul antiphishing.ch:

• Redirecționați e-mailurile de phishing fără comentarii la reports@antiphishing.ch. Căsuța este procesată automat, nu veți primi răspuns.
• Raportați site-urile de phishing prin formularul de pe antiphishing.ch.
• Dacă doriți un răspuns sau vreți să raportați alt incident, folosiți formularul de raportare al Oficiului Federal pentru Securitate Cibernetică.
• Informați și firma în numele căreia a fost trimis e-mailul. Multe au o adresă proprie pentru raportări.

Apoi puteți șterge e-mailul. Nu răspundeți niciodată la un e-mail de phishing: ați confirma doar că adresa dumneavoastră este activă.

Pentru firme: SPF, DKIM și DMARC

Phishingul nu îi vizează doar pe angajații dumneavoastră. Escrocii trimit și e-mailuri în numele firmei, de exemplu facturi false către clienți. Împotriva acestui lucru ajută trei înregistrări DNS ale domeniului:

• SPF stabilește ce servere pot trimite e-mailuri pentru domeniul dumneavoastră.
• DKIM semnează e-mailurile trimise, astfel încât destinatarii să poată verifica faptul că provin nemodificate de la dumneavoastră.
• DMARC le spune serverelor destinatare ce să facă cu e-mailurile care nu au nici SPF, nici DKIM valid și aliniat cu domeniul expeditorului: doar observare (none), mutare în spam (quarantine) sau respingere (reject).

Abia cu DMARC pe quarantine sau reject devine greu pentru escroci să livreze e-mailuri cu exact domeniul dumneavoastră de expeditor. Înregistrările nu ajută împotriva falsurilor cu domenii asemănătoare, precum firma-dumneavoastra-ch.com. De aceea, o protecție bună include și câteva reguli interne: confirmați întotdeauna telefonic, la un număr cunoscut, orice schimbare a datelor bancare, aprobați plățile după principiul celor patru ochi și informați regulat angajații despre înșelătoriile actuale. În ghidul nostru despre SPF, DKIM și DMARC arătăm pas cu pas cum se configurează înregistrările.

Sfat: Începeți DMARC cu p=none și o adresă pentru rapoarte. Rapoartele arată ce servicii trimit în numele dumneavoastră. Abia când toți expeditorii legitimi sunt configurați corect treceți la quarantine și apoi la reject.

La pachetele de e-mail HostOn, DKIM, SPF și DMARC sunt deja pregătite, iar mesajele primite sunt verificate de Rspamd împotriva spamului și de ClamAV împotriva virușilor. Cum recunoașteți mesajele autentice de la HostOn explicăm pe pagina noastră despre avertismentele phishing.