SPAM versus Phishing a jejich problematika ve školním prostředí

Pojmy SPAM a phishing si mnoho laiků, učitele nevyjímaje, plete, nebo mezi nimi nevidí rozdíl. Patrně i proto, že oba typy e-mailů často končí ve složce „Nevyžádaná pošta“. S ohledem na riziko, které představují pro školu, je rozdíl mezi nimi dosti podstatný. Jak je odlišit a jak se v kterém případě zachovat, téma důležité pro pedagogy i jejich žáky.

Phishing

Tento typ podvodu cílí převážně na získání přihlašovacích údajů oběti, jako je jméno a heslo. Phishing je jednou z metod sociálního inženýrství a využívá jeho techniky pro manipulaci oběti. Obvykle cílí na pocity, jako je zvědavost (Kdo mě to označil na Facebooku?), či strach (Když tu fakturu do dvou dnů nezaplatím, přijde mi domů exekutor!), nebo na určité osobnostní rysy, které jsou v určité míře lidem vlastní, například touha něco získat, vlastnit. Jé, vyhrál jsem iPhone 13 Pro!),

Dávno jsou pryč doby, kdy byl phishing znám špatnou češtinou, aktuálně se díky zkvalitnění automatických překladačů jako je DeepL dá i poměrně složitý text přeložit správně, navíc při cílených kampaních útočníci neváhají použít oficiální překlad od agentury či rodilého mluvčího.

Z podvodného e-mailu je pak obvykle nutné buď přejít na podvodnou stránku, kde je potřeba se přihlásit či provést jinou akci, nebo otevřít přílohu, která s sebou nese nějakou „přidanou hodnotu“ – rozumějte malware.

Tím dochází ke zcizení přihlašovacích údajů, nebo kompromitaci malwarem – a je jedno, jestli se jedná o keylogger, který zaznamenává vše, co píšete (včetně hesel), nebo ransomware, který školu zašifruje a bude požadovat výkupné za rozšifrování dat. Phishing by svůj účel splnil – je ostatně úspěšný cca v 65 % případů.

SPAM

Je nevyžádaná zpráva, obvykle e-mail, ale v dnešní době se může jednat klidně o zprávu přes sociální síť, či SMS nebo jiný kanál. Všichni si určitě vybavíme zprávy s nabídkou levné a kvalitní viagry, případně hadice, která se nikdy nezamotá. Občas ale můžete narazit na nějaký klenot, například SPAM šířený přímo do vašeho kalendáře. O tom je článek například zde: https://spajk.cz/spamove-kalendare/

Trochu perličkou je vznik tohoto názvu – v USA se kdysi masově rozdávaly letákové reklamy na šunku s názvem SPAM a následně se tento název dostal i do popkulturního prostředí díky Monty Pythonům a jejich krátké scénce s chytlavým songem. Není tak divu, že se pojem přenesl i do IT prostředí.

Nejlepší cesta, jak SPAM zastavit, je učit antispamové filtry tím, že zprávy budete označovat jako SPAM.

Ve SPAMu občas skončí podvodné e-maily, ale také e-maily regulérní, takže je dobré se do složky se SPAMem občas podívat. Otevřením e-mailu ještě nic neriskujete, maximálně dáte spammerům a útočníkům (případně marketérům) vědět, že jste e-mail otevřeli a Vaše schránka žije.

Jak hlásit Phishing

Ideálně pomocí tlačítka přímo v e-mailovém klientovi. Protože nyní už známe rozdíl mezi SPAMem a phishingem a i rozdíl v dopadu na bezpečnost celé organizace, je zřejmé, že včasné nahlášení podvodného e-mailu může zachránit školu před úspěšným útokem. Pokud tedy phishing poznáte, neváhejte a oznamte jej, protože ostatní kolegové jej prokouknout nemusí.

V závislosti na tom, jak správce IT nastavil chování tlačítka, odejde zpráva buďto do Microsoftu, kde je pak v případě pozitivního nálezu blokována globálně, případně je možné ji zaslat do interní schránky, která slouží k analýze podezřelých zpráv, či zvolit kombinaci obou možností.

Detaily pro správce: Nastavení e-mailu nahlášené uživatelem pro spam, phish a jako škodlivou poštu - Office 365 | Microsoft Learn.

Jak hlásit Phising v Outlook

Outlook web ve webovém rozhraní MS Outlook je tato možnost k dispozici automatiky, stačí kliknout na tlačítko Nahlásit phishing.

Outlook desktop tuto možnost ve výchozím stavu obvykle nemá (pokud správce tuto funkci nepřidal), je potřeba tedy přidat doplněk, který funkci doplní.

Přidání doplňku provedete vyhledáním "report phishing".

Viz samotný doplněk na následujícím obrázku.

A jeho zprovoznění.

Alternativní řešení phishingu mimo Outlook

Ne všichni ale mají tyto možnosti k dispozici, takže Vám poradíme i alternativní postupy:

Informujte kolegy ústně - “Taky ti přišel ten divný e-mail?” Nejedna kampaň byla odhalena při rozhovoru ve sborovně.
Pošlete hromadnou zprávu kolegům - “Pozor, podvodný e-mail, neklikat!". Ideálně i s nějakým důkazem proč si to myslíte - screenshot s podtrženou podvodnou adresou odesílatele zpravidla funguje jako dostatečný důkaz toho, že máte pravdu.
Pokud máte ve škole vlastního IT administrátora, je dobré, když máte možnost poslat mu zprávu k prověření na nějaký předem definovaný e-mail, např.: phishing@zskvikalkov.cz
Ověřte doménu, nebo cíl odkazu. Na odkazy neklikejte levým, ale pravým tlačítkem myši. Zkopírujte si cíl odkazu a přejděte na web https://www.virustotal.com/gui/home/url kde jej vložte (CTRL+V) a zkontrolujte – odkaz je proskenován cca 90 antivirovými programy a pokud svítí byť jeden červeně, je to podezřelé.