Spoofing co to jest: fałszywy numer, e-mail i strona oraz zasada oddzwonienia

Spoofing co to znaczy dla ciebie jako odbiorcy: ktoś udaje źródło, które znasz i któremu ufasz, a numer, adres e-mail albo strona wyglądają na prawdziwe. Według poradnika Stołecznego Magazynu Policyjnego chodzi o „podstępne wzbudzanie przeświadczenia, że ma się do czynienia z zaufanym, znanym źródłem". Cel to wyłudzenie danych, np. takich, które dają dostęp do konta bankowego ofiary.

Najważniejsza rada z tego poradnika dotyczy telefonu. Nawet numer, który wygląda na prawidłowy, może być sfałszowany, więc rozłącz się i oddzwoń.

Co oznacza spoofing i skąd ta nazwa

Poradnik tłumaczy, że angielskie spoof oznacza naciąganie, szachrajstwo, podszywanie się, parodiowanie albo „robienie w konia". W informatyce to ataki na systemy teleinformatyczne, w których atakujący udaje inny element systemu. Może to być nadawca wiadomości, numer telefonu albo witryna.

Autorka poradnika zaznacza, że zjawisko nie jest nowe i istnieje od dawna. W ostatnich latach, czyli w 2021 roku, nastąpiło jednak jego nasilenie. Wciąż też łatwo niektórych oszukać.

Poradnik opisuje spoofing jako jedną z prymitywniejszych metod przejmowania danych. Mimo to atakujący mają tu wyzwanie, bo ofiara musi uwierzyć, że kontaktuje się z nią znana marka. Poradnik podaje przykłady: Microsoft, DHL, PayPal, Facebook. Bez tej wiary cały schemat się sypie.

Jak działa spoofing: od wiadomości do fałszywej strony

Poradnik opisuje klasyczny scenariusz, w którym wszystko opiera się na wiernym odwzorowaniu. Przestępcy muszą dokładnie skopiować treść i wygląd e-maila albo strony. Czasem na pierwszy rzut oka nie da się zauważyć żadnej różnicy.

Schemat wygląda tak:

• Dostajesz dobrze spreparowany e-mail, który przypomina wiadomości znane ci z codziennego użytku.
• Klikasz w link zawarty w wiadomości.
• Trafiasz na fałszywą witrynę firmy, z której rzekomo przyszła wiadomość.
• Zostajesz poproszony o podanie danych „w celu weryfikacji".
• Poradnik zauważa, że przy okazji możesz złapać wirusa komputerowego.

Poradnik wskazuje też drugą drogę. Cyberprzestępcy mogą zbudować sieć połączeń, która kieruje ofiarę na podrobione strony. Są one przy tym przystosowane do zainfekowania komputera.

Osobno poradnik zaznacza, że do spoofingu bardzo często wykorzystuje się połączenia telefoniczne. Dokładny przebieg takich rozmów w poradniku nie jest opisany.

Rodzaje spoofingu: co jest podrabiane

Poradnik dzieli zjawisko na pięć odmian. Tabela zbiera je według tego, co atakujący udaje, i opisuje własnymi słowami to, co jest w źródle.

Dwie pierwsze odmiany dotykają zwykłego użytkownika najczęściej. Wiadomość i telefon trafiają bezpośrednio do ciebie. Trzy pozostałe działają na poziomie sieci i protokołów, więc ich nie zobaczysz na ekranie telefonu. Poradnik zauważa, że w przypadku IP spoofingu część ochrony zapewniają filtry dostawców internetu.

Spoofing a phishing: czym się różnią

Poradnik podaje jedną konkretną różnicę. Przy spoofingu po kliknięciu w link możesz złapać wirusa komputerowego, a „właśnie ten detal odróżnia spoofing od phishingu". Reszta schematu, czyli wpisanie danych na fałszywej stronie, przebiega według poradnika „klasycznie".

Jeśli chcesz zobaczyć sam mechanizm wyłudzania danych przez fałszywą wiadomość, zajrzyj do osobnego tekstu: phishing, co to jest i jakie ma sygnały. O wariancie SMS-owym piszę w tekście o smishingu.

Dzwoni znany numer: caller ID spoofing

Caller ID spoofing to podszywanie się pod wybrane numery telefonów. Poradnik zaznacza, że zjawisko występuje bardzo często, bo jego realizacja nie wymaga skomplikowanych sprzętów, technik ani dużego budżetu. To tłumaczy, dlaczego numer na wyświetlaczu nie jest dowodem tożsamości dzwoniącego.

Poradnik formułuje to wprost: „Nawet jeśli dany numer wygląda na prawidłowy, rozłączcie się i oddzwońcie, ponieważ numery identyfikacyjne rozmówcy mogą również być sfałszowane". Przeczytałem poradnik pod kątem tego jednego zdania, bo to ono ma największe znaczenie praktyczne przy rozmowie, w której ktoś przedstawia się jako bank albo policja.

Poradnik nie precyzuje, pod jaki numer oddzwonić. Z jego logiki wynika, że nie powinien to być numer, który podał rozmówca ani który wyświetlił się na ekranie. Sprawdzony numer weź z kanału, który znasz niezależnie od tej rozmowy. To mój wniosek z poradnika, a nie jego dosłowny zapis.

Poradnik zaleca też coś jeszcze przed odebraniem połączenia z nieznanego numeru. Wyszukaj numer w wyszukiwarce, żeby sprawdzić, czy jest powiązany z oszustwami. Według poradnika wiele stron pozwala sprawdzić, kto dzwonił.

Jak się chronić: zasady z poradnika policji

Poradnik zaczyna od ogólnej zasady: zwiększ czujność, nie klikaj ślepo we wszystkie linki i nie ufaj zbytnio temu, co napotykasz w internecie. Konkretne zalecenia to:

• Sprawdzaj dokładnie adresy e-mail, z których przychodzą wiadomości, oraz adresy stron, zanim klikniesz.
• Pamiętaj, że oszuści często zmieniają jedną lub kilka liter w adresie, żeby ofiara nie zorientowała się, że coś jest nie tak.
• Zwracaj uwagę na gramatykę w wiadomości, bo błędy mogą być oznaką oszustwa.
• Nie otwieraj niczego, jeśli nie spodziewasz się wiadomości od konkretnego nadawcy.
• Nie pobieraj podejrzanych załączników.
• Przy wiadomości e-mail z podejrzanym linkiem lub załącznikiem wyślij odpowiedź z prośbą o potwierdzenie.
• Przed odebraniem nieznanego numeru wyszukaj go w sieci. Przy podejrzeniu rozłącz się i oddzwoń.

Zalecenie o odpowiedzi na e-mail ma prostą logikę. Jeśli adres nadawcy jest sfałszowany, odpowiedź trafi do prawdziwego właściciela adresu, a nie do osoby, która się pod niego podszywa. Właściciel może wtedy zaprzeczyć, że cokolwiek wysyłał.

Poradnik nie obiecuje, że te zasady wystarczą zawsze. Przyznaje, że podszywanie się bywa łatwe do wykrycia dla wnikliwego użytkownika, ale czujność też bywa zawodna. Coraz nowsze metody mają usypiać ją nawet u wprawnych osób. Pomaga sama świadomość, że istnieją różne odmiany spoofingu.

Czego ten poradnik nie obejmuje

Poradnik pochodzi z 2021 roku i jest ogólnym opisem zjawiska. Nie podaje statystyk spoofingu, kwot strat ani procedury zgłaszania. Nie opisuje też konkretnych scenariuszy rozmów z podszywaniem się pod bank lub policję.

Jeśli już padłeś ofiarą oszustwa, kolejność działań opisuje osobny tekst: jak zgłosić oszustwo internetowe. Gdy dane osobowe mogły wyciec, przyda się też materiał o tym, jak zastrzec PESEL.

Przegląd bieżących ostrzeżeń instytucji znajdziesz w dziale scam.

FAQNajczęstsze pytania