Czym jest social media phishing?
Social media phishing to atak phishingowy prowadzony przez platformy społecznościowe, w którym napastnik podszywa się pod znaną osobę, markę lub obsługę serwisu, żeby wyłudzić dane logowania albo nakłonić do kliknięcia w link phishingowy. Od klasycznego phishingu e-mailowego różni go kanał i punkt startowy: wiadomość przychodzi na prywatne konto pracownika w social mediach.
Media społecznościowe pełnią tu dwie role naraz: są źródłem informacji o celu, bo przykładowo profil zawodowy na LinkedIn może podawać np. stanowisko, przełożonego i używane narzędzia, oraz kanałem dostarczenia, bo wiadomość prywatna trafia do odbiorcy bez żadnego filtra po stronie firmy.
Jak działa atak phishingowy w mediach społecznościowych
Atak przebiega w czterech etapach i tylko ostatni z nich przypomina klasyczną kampanię phishingową. Trzy wcześniejsze służą zbudowaniu wiarygodności.
- Rozpoznanie – napastnik zbiera z publicznych profili stanowisko, strukturę zespołu, nazwiska przełożonych i technologie używane w firmie. Ten sam materiał wykorzystują kontrolowane testy socjotechniczne.
- Nawiązanie kontaktu – konto podszywające się pod rekrutera, klienta lub obsługę platformy wysyła pierwszą wiadomość, jeszcze bez linku.
- Budowa zaufania – kilka wymian zdań, czasem rozłożonych na dni, zamienia obcego nadawcę w znajomego rozmówcę.
- Dostarczenie linku phishingowego – dopiero teraz pojawia się strona phishingowa: fałszywy formularz logowania, „dokument z ofertą” albo zaproszenie na spotkanie.
Ten sam schemat obsługuje masowe kampanie phishingowe i spear phishing wymierzony w jedną osobę – różni je ilość pracy włożonej w etap pierwszy.
Dlaczego social media phishing omija firmowe filtry poczty
Social media phishing omija firmowe zabezpieczenia, ponieważ w ogóle nie przechodzi przez firmową infrastrukturę. Wiadomość nie mija bramki pocztowej, nie trafia do kwarantanny, nie zostaje oznaczona banerem ostrzegawczym i nie zostawia śladu w logach, które przegląda Twój zespół bezpieczeństwa.
Wzmacniają to trzy rzeczy:
- kontakt odbywa się na urządzeniu prywatnym,
- konto pracownika należy do niego, a nie do firmy,
- mało kto traktuje wiadomość w social mediach jako sprawę służbową wartą zgłoszenia.
Organizacja dowiaduje się o ataku dopiero przy logowaniu z nieznanego adresu do systemu firmowego.
Przykłady social media phishingu
Rzeczywiste przykłady social media phishingu różnią się pretekstem, ale wszystkie korzystają z zaawansowanych technik manipulacji.
LinkedIn – fałszywy rekruter i oferta pracy
Typowy scenariusz na LinkedIn to wiadomość od rzekomego rekrutera z linkiem do opisu stanowiska, portalu rekrutacyjnego albo zadania testowego.
Instagram – obsługa serwisu i groźba utraty konta
Na Instagramie powtarza się podszycie pod wsparcie techniczne: naruszenie praw autorskich, zgłoszenie od innego użytkownika, zapowiedź usunięcia profilu. Presja czasu ma skłonić do zalogowania się na stronie phishingowej.
Facebook i komunikatory – blokada strony firmowej
Administratorzy firmowych stron dostają powiadomienia o rzekomym złamaniu regulaminu i konieczności „odwołania się” w 24 godziny. Wariant kierowany do pracowników korzysta z przejętego konta znajomego i prośby o pilną pomoc.
Kiedy celem jest konto firmowe, a nie pracownik
Część kampanii nie interesuje się danymi pracownika, tylko jego uprawnieniami do firmowego profilu. Przejęty fanpage albo konto reklamowe pozwala wysyłać próby phishingowe do klientów marki z zaufanego nadawcy i uruchamiać płatne kampanie na koszt firmy.
Odzyskanie przejętego profilu przechodzi przez procedurę platformy, na którą nie masz wpływu, a przez ten czas komunikacja marki działa przeciwko niej. Dlatego dostęp do firmowych profili warto traktować jak dostęp uprzywilejowany: drugi składnik uwierzytelniania i imienne przypisanie uprawnień, nie jedno wspólne hasło w zespole marketingu.
Jak rozpoznać social media phishing – sygnały ostrzegawcze
Social media phishing rozpoznasz po niedopasowaniu między nadawcą a jego prośbą: konto bez historii, oferta bez wcześniejszego kontaktu, presja czasu tam, gdzie nic nie goni.
- Konto bez historii – profil założony niedawno, z kilkoma kontaktami i zdjęciem, które nie przechodzi wyszukiwania obrazem.
- Nieoczekiwana oferta lub nagroda – rekrutacja bez aplikacji, wygrana bez konkursu, współpraca bez wcześniejszego kontaktu.
- Presja czasu i groźba sankcji – „24 godziny”, „ostateczne ostrzeżenie”, „konto zostanie usunięte”.
- Prośba o kod jednorazowy – platformy nie proszą o kod z SMS-a ani z aplikacji uwierzytelniającej.
Jak chronić organizację przed zagrożeniami z social media phishingu
Ochrona opiera się na trzech warstwach:
- drugim składniku uwierzytelniania na kontach firmowych,
- zasadzie, że sprawy służbowe załatwia się kanałem służbowym,
- ćwiczeniu rozpoznawania prób kontaktu.
Filtr poczty tego wektora nie obejmie, więc ciężar przenosi się na reakcję człowieka.
Jednak prawdziwej odporności nie da się zbudować jednorazowym szkoleniem. W SECAWA rekomendujemy cykliczny program Security Awareness. Cykliczne symulacje phishingu pokazują, czy zespół rozpoznaje próbę kontaktu, czy tylko deklaruje czujność. Na tej mechanice opiera się Praktyczny Trening Antyphishingowy z nanoszkoleniem w momencie wpadki: przy systematycznym programie klikalność spada poniżej 4% po roku, a odsetek raportujących sięga 48% po sześciu miesiącach.
Social media phishing a phishing e-mailowy, smishing i vishing
Social media phishing to jeden z wariantów phishingu, obok trzech pozostałych. Wszystkie wykorzystują tę samą socjotechnikę i różnią się wyłącznie medium kontaktu.
- Phishing e-mailowy – skrzynka firmowa, więc wiadomość przechodzi przez filtry, które mogą ją zatrzymać.
- Smishing – SMS z krótkim linkiem i pretekstem dopłaty lub przesyłki.
- Vishing – telefon, coraz częściej z syntezowanym głosem.
- Quishing – kod QR przenoszący ofiarę na prywatne urządzenie.
Social media phishing wyróżnia się tym, że łączy rozpoznanie i atak w jednym miejscu: napastnik zbiera dane o celu i kontaktuje się z nim na tej samej platformie.
Najczęstsze pytania o social media phishing
Co to jest social media phishing?
Social media phishing to atak phishingowy prowadzony przez platformy społecznościowe, w którym napastnik podszywa się pod osobę, markę lub obsługę serwisu, żeby wyłudzić dane logowania albo skłonić do kliknięcia w link phishingowy. Kontakt zwykle zaczyna się od wiadomości prywatnej.
Czym social media phishing różni się od phishingu e-mailowego?
Kanałem i brakiem kontroli po stronie firmy. E-mail przechodzi przez firmową bramkę pocztową, którą da się skonfigurować i monitorować, a wiadomość na LinkedInie czy Instagramie trafia wprost do pracownika, często na jego prywatne urządzenie.
Czy uwierzytelnianie dwuskładnikowe chroni przed przejęciem konta?
Drugi składnik uwierzytelniania znacząco zmniejsza ryzyko przejęcia konta, a w części kampanii blokuje atak całkowicie. Nie zabezpiecza jednak przed sytuacją, w której użytkownik sam poda napastnikowi kod jednorazowy, dlatego zasada „platforma nigdy nie prosi o kod” jest częścią szkolenia, a nie tylko konfiguracji.
Jak sprawdzić, czy pracownicy rozpoznają próby phishingowe?
Kontrolowaną kampanią, nie ankietą. Punktem wyjścia jest Bezpłatny Test Phishingowy, który pokazuje odsetek kliknięć i zgłoszeń bez naruszania systemów oraz danych organizacji.
