Odborníci bijí na poplach! Před tímto phishingovým útokem hackerů není prakticky obrany

• Internetem otřásá nový typ phishingového útoku
• Oklamat může i velmi zkušené uživatele, varují experti

Je naivní se domnívat, že se hackeři ve velkém zaměřují pouze na firmy. Během posledních dvou let pandemie covidu se výrazně znásobil počet hackerských útoků i na běžné české uživatele. Na jedno z velkých nebezpečí nyní upozorňuje Národní úřad pro kybernetickou a informační bezpečnost (NÚKIB).

Nepřehlédněte: Pomoc Ukrajině za volantem: Vyrazili jsme za Lvov a přivezli dva uprchlíky, Poláci nás na hranici „svlékli do naha“

Národní úřad pro kybernetickou a informační bezpečnost varuje před novou technikou phishingu, která může oklamat i zkušeného uživatele. Stránka, kterou útočníci svým obětím předloží, je totiž vizuálně zcela nerozpoznatelná od skutečného dialogového okna, přes nějž se lidé přihlašují ke svým účtům.

Browser In The Browser

NÚKIB techniku, která dělá phishing obtížně rozeznatelným, pojmenoval jako Browser-in-the-Broswer (BITB). V posledním měsíci ji hackeři často využívali při útocích na ukrajinské cíle a proto nelze vyloučit, že se vzhledem k české aktivní podpoře časem objeví i v Česku.

Pomocí BITB se útočníci snaží odcizit přihlašovací údaje obětí. Mnoho online služeb využívá k přihlášení Single Sign-on třetí strany, nejčastěji Google, Apple, Microsoft nebo Facebook, tedy ty účty, ke kterým se útočník snaží primárně získat přístup.

Nemáte šanci poznat, že jste obětí phishingu

V běžném případě se uživateli po kliknutí na přihlášení otevře nové okno prohlížeče s polem pro přihlašovací údaje k jeho účtu. V případě Browser-in-the Browser ale po kliknutí dojde k otevření falešného přihlašovacího okna, které imituje podobu a chování prohlížeče. Obrovské nebezpečí spočívá v tom, že tímto způsobem útočník může zneužít i kód z dvoufaktorového ověření, pokud ho má uživatel zapnuté.

Pečlivě připravený phishing vytvořený pomocí Browser-in-the-Broswer může být vizuálně zcela nerozpoznatelný od skutečného přihlašovacího boxu, a to včetně URL v adresním řádku „okna“ a indikace HTTPS spojení. NÚKIB dodává, že nelze spoléhat ani na zobrazení cílové URL po najetí kurzorem na tlačítko s odkazem.

Teď se určitě sami sebe ptáte: jak sofistikovaný podvod hackerů rozpoznat? Níže předkládáme řešení:

1. V případě, že přihlašovací box vytáhnete mimo aktuální otevřený prohlížeč, otevře se nové okno. Falešné okno ale nelze, na rozdíl od skutečného, přemístit nebo zvětšit mimo plochu aktuální stránky
2. Skutečný přihlašovací dialog otevře nové okno prohlížeče, což lze ověřit v panelu spuštěných aplikací. Pokud běží pouze jedna instance prohlížeče, může jít o podvod
3. Ověřte, jestli podoba přihlašovacího okna odpovídá vašemu operačnímu systému a vizuálnímu schématu prohlížeče a zda je dialog ve vašem jazyce
4. Ikona indikující HTTPS je v podvrženém okně pouze vizuální prvek. Ve skutečném okně lze po kliknutí na ni zobrazit certifikát stránky

Kromě phishingové techniky Browser-in-the-Broswer NÚKIB nedávno upozornil i na stále trvající kampaň podvodných vishingových telefonátů. Operátor na lince se lidem anglicky (většinou s přízvukem) představí jako zaměstnanec Microsoftu a sdělí jim, že je jejich počítač infikován. Ve skutečnosti je to ale podvodník, který se chce dostat k údajům vaší platební karty.

Zdroj náhledové fotografie: B_A  / Pixabay