Co to jest spoofing i jak nie paść jego ofiarą?

Co to jest spoofing, na czym polega i co robić, żeby nie paść jego ofiarą — na te pytania powinien znać odpowiedź każdy. Jest to kwestia uniwersalna, jako że celem ataku oszustów może stać się dowolna osoba, a ataki przeprowadzane są często na skalę masową. Wszystkie najważniejsze informacje o tym procederze zostały zebrane poniżej!

Co to jest spoofing i jak działa?

Najprostsza odpowiedź na pytanie, co to spoofing, definiuje go jako rodzaj oszustwa opierający się na podszywaniu się pod jakąś osobę, instytucję lub firmę. Celem takiego ataku może być uzyskanie czyichś danych osobowych, loginów i haseł (i w konsekwencji np. pozyskanie środków z konta bankowego ofiary).

To nie wszystko. Tzw. bad actors mogą łatwo dowiedzieć się, jak zrobić spoofing telefoniczny i także próbować przekonać odbiorcę do bezpośredniego przekazania im środków. Na przykład w ramach opłacenia nieistniejącego mandatu czy jakiejś formy szantażu. 

W praktyce wygląda to zwykle tak, że dostajemy telefon, SMS-a lub e-maila z adresu, który faktycznie należy do danej osoby lub instytucji, ale w rzeczywistości po drugiej stronie jest oszust, który maskuje swoje prawdziwe dane.

Najczęstsze przykłady spoofingu

Z racji na to, że tego typu ataki nie są trudne do przeprowadzenia i wielu oszustów wie, jak to (czyli spoofing) zrobić, obecnie mają one miejsce bardzo często. Z reguły opierają się one na podszywaniu się pod podmioty zaufania publicznego (banki, policję). 

Ofiara może na przykład otrzymać informację o rzekomej blokadzie konta, a kiedy kliknie link zawarty w wiadomości, zostanie przeniesiona na fałszywą stronę banku. Jeśli spróbuje zalogować się na swoje konto, oszuści zyskają informacje o jej haśle i nazwie użytkownika.

Najbardziej rozpowszechnione przykłady spoofingu obejmują także próby naśladowania firm kurierskich, dla których bramka SMS dla firm jest pożytecznym i często wykorzystywanym narzędziem (np. do powiadamiania o terminie dostawy). Biorąc pod uwagę popularność zakupów w sieci, jest duże prawdopodobieństwo, że ofiara czeka na jakąś przesyłkę i może zaufać wiadomości, w której znajdzie się prośba o dokonanie dopłaty.

Rodzaje spoofingu, przed którymi należy się wystrzegać

Spoofing występuje obecnie w bardzo wielu wariantach (takich jak np. spoofing adresu IP), natomiast jest kilka takich, które cieszą się wśród przestępców największą popularnością. Mowa tu przede wszystkim o spoofingu e-mailowym i telefonicznym.

Spoofing telefoniczny (w tym SMS-owy)

Spoofing telefoniczny, nazywany także spoofingiem numeru telefonu, może dotyczyć SMS-ów lub tradycyjnych połączeń telefonicznych. Niejedno przedsiębiorstwo faktycznie wykorzystuje system SMS do komunikacji z klientami, dlatego łatwo o pomyłkę i wzięcie groźnej wiadomości za rzetelną. 

W przypadku SMS-ów głównym elementem oszustwa jest zwykle zawarty w wiadomości link, kierujący do podejrzanej strony. Natomiast przy połączeniu telefonicznym przestępca będzie bezpośrednio próbował uzyskać od odbiorcy jego dane osobowe lub pieniądze.

Spoofing e-mailowy

Spoofing e-mailowy polega na rozsyłaniu wiadomości elektronicznych, których zawartość i pole nadawcy sugerują innego wysyłającego niż w rzeczywistości. Podobnie, jak w przypadku SMS-ów, zwykle zawierają one linki do stron udających portale banków i innych instytucji.

Gdzie zgłosić spoofing?

Spoofing jest działaniem niezgodnym z prawem, jednak do niedawna nie istniały przepisy stworzone konkretnie z myślą o tym typie przestępstwa, a trzeba było posiłkować się np. ogólnymi przepisami o kradzieży tożsamości. Wprowadzono nowe regulacje, w związku z czym dla spoofingu telefonicznego kodeks karny nie jest już jedynym kluczowym aktem prawnym.

Ustawa o zwalczaniu nadużyć w komunikacji elektronicznej zawiera dwa kluczowe przepisy zabraniające stricte spoofingu (jeden odnośnie do oszustw z wykorzystaniem SMS-ów, drugi połączeń głosowych). Ich złamanie grozi karą od 3 miesięcy do 5 lat pozbawienia wolności, względnie grzywną, karą ograniczenia wolności albo pozbawienia wolności do roku w przypadku czynów mniejszej wagi.

W takim razie gdzie zgłosić spoofing, aby oszuści ponieśli odpowiedzialność za swój czyn? Należy skontaktować się z policją. Warto także zgłosić tego typu zagrożenia, np. SMS-y zawierające linki do podejrzanych witryn, CSIRT NASK, czyli Zespołowi Reagowania na Incydenty Bezpieczeństwa Komputerowego, na przykład poprzez formularz kontaktowy na stronie tej organizacji.

Jak się bronić przed spoofingiem?

Żeby skutecznie bronić się przed tym procederem, nie trzeba posiadać szczegółowej wiedzy technicznej. Wystarczy wiedzieć, co to jest spoofing i w związku z tym zachować szczególną ostrożność. 

Przede wszystkim najlepiej nie klikać linków zawartych w wiadomościach e-mail i SMS-ach, jeśli wydają nam się podejrzane, np. domena w ogóle nie pasuje do nazwy firmy lub organizacji, która się z nami kontaktuje, lub jest w niej literówka. W przypadku nieuwagi jest ryzyko, że uzna się wiadomość oszusta za realne działania marketingowe wspierające sprzedaż. Zawsze można np. wejść na stronę firmy z poziomu przeglądarki i tam poszukać danej informacji.

Co ze spoofingiem telefonicznym w formie połączenia głosowego, gdy np. ktoś podaje się za pracownika banku? Najlepiej rozłączyć się i poszukać danych kontaktowych na oficjalnej stronie danej instytucji, a następnie samodzielnie zadzwonić na podany na niej numer. Nie da się ukryć, że tego typu ataki są poważnym zagrożeniem, dlatego warto zapamiętać, co to spoofing i stosować się do powyższych wskazówek.