Phishing w sklepie internetowym - jak rozpoznać fałszywe maile i SMS-y

Jak rozpoznać fałszywe maile i SMS-y - sygnały ostrzegawcze

Żaden pojedynczy sygnał nie daje pewności, ale dwa lub trzy naraz powinny zatrzymać każdego pracownika. Tabela pokazuje, na co patrzeć w mailu i SMS-ie.

W mailach sporo da się sprawdzić technicznie, zaglądając w nagłówki wiadomości i wyniki weryfikacji SPF, DKIM i DMARC. Te same mechanizmy chronią też Twoją domenę przed podszywaniem się pod sklep - jak je ustawić, opisujemy w poradniku SPF, DKIM i DMARC w sklepie. Diagram poniżej zestawia najczęstsze objawy podejrzanej wiadomości z działaniem, które należy wykonać.

[#chart:wit39b]

[#tip] Prosta zasada dla całego zespołu: każdą wiadomość, która prosi o zalogowanie się, zapłatę lub zmianę danych, weryfikujesz innym kanałem. Logujesz się do Allegro, panelu kuriera czy banku samodzielnie - przez aplikację lub adres wpisany ręcznie - a zmianę numeru konta dostawcy potwierdzasz telefonicznie, na numer z umowy, a nie z maila.

Phishing na marketplace'ach i w komunikacji z klientami

Osobną grupą są ataki prowadzone przez „klientów”. Oszust składa pytanie przez formularz lub wiadomość na platformie, a potem próbuje przenieść rozmowę na WhatsApp, Telegram lub zwykły e-mail, gdzie nie działają zabezpieczenia marketplace'u. Tam wysyła link do „potwierdzenia płatności” lub „odbioru środków”, który prowadzi do fałszywej strony banku lub bramki płatności. Prawdziwy kupujący na marketplace'ie płaci przez platformę i nie potrzebuje od sprzedawcy danych karty.

Druga odmiana to plik od klienta: „zdjęcie uszkodzonego produktu”, „lista zamówienia hurtowego” albo „reklamacja” w załączniku. Zamiast zdjęcia w archiwum może być program, który po uruchomieniu kradnie zapisane w przeglądarce hasła i sesje. Dlatego pracownicy obsługi klienta powinni otwierać załączniki wyłącznie w przeglądarce lub podglądzie skrzynki, a pliki wykonywalne i archiwa z nieznanych źródeł zgłaszać osobie od IT.

Co zrobić po kliknięciu w link phishingowy

Kliknięcie to jeszcze nie katastrofa, ale liczy się czas. Im szybciej zespół zareaguje, tym mniejsza szansa, że atakujący wykorzysta przejęte dane. Diagram pokazuje kolejność działań, którą warto mieć przypiętą przy każdym stanowisku.

[#chart:wit39c]

Pracownik, który kliknął, musi wiedzieć, że zgłoszenie jest ważniejsze niż wstyd. W firmach, w których za kliknięcie grozi reprymenda, ludzie ukrywają incydenty, a atakujący zyskuje kilka dni. Lepiej podziękować za szybkie zgłoszenie i potraktować sytuację jako materiał szkoleniowy.

Jak zabezpieczyć konta sklepu przed phishingiem

Nawet najlepiej przeszkolony zespół czasem kliknie. Dlatego ochrona przed phishingiem to także zabezpieczenia techniczne, które ograniczają skutki pomyłki:

• logowanie dwuetapowe wszędzie, gdzie jest dostępne - na marketplace'ach, w poczcie, banku, menedżerze reklam i panelu sklepu,

• klucze dostępu lub klucze bezpieczeństwa dla kont administratorów, bo w przeciwieństwie do kodów SMS nie da się ich wpisać na fałszywej stronie,

• menedżer haseł, który podpowiada hasło tylko na prawdziwej domenie - brak podpowiedzi to sygnał ostrzegawczy,

• osobne konta dla każdego pracownika zamiast wspólnego loginu, z uprawnieniami tylko do potrzebnych funkcji,

• filtry antyspamowe i ochrona przed złośliwymi załącznikami w poczcie firmowej,

• aktualny system i przeglądarka na każdym komputerze, także na stanowisku pakowania i drukowania etykiet.

Porządek w kontach pracowników ma tu duże znaczenie. Konto osoby, która odeszła z firmy, a wciąż działa, jest idealnym celem, bo nikt nie zauważy podejrzanych logowań. Jak bezpiecznie dodawać i usuwać użytkowników, opisujemy w poradniku Google Workspace - jak dodać i usunąć pracownika bez ryzyka dla danych firmy.

Fałszywe telefony i wiadomości na komunikatorach

Phishing nie ogranicza się do maili i SMS-ów. Coraz częściej sprzedawcy dostają telefony od rzekomych pracowników banku, działu bezpieczeństwa platformy czy dostawcy oprogramowania. Rozmówca zna nazwę firmy, czasem imię właściciela i kilka szczegółów z publicznych danych, a potem prosi o kod z SMS-a, zainstalowanie programu do zdalnego pulpitu albo „przeniesienie środków na bezpieczne konto”. Numer wyświetlany na ekranie telefonu można sfałszować, więc nie jest on dowodem, że dzwoni prawdziwa instytucja.

Zasada jest ta sama co przy mailach: rozłącz się i oddzwoń na numer, który sam znajdziesz na stronie banku lub w umowie. Żadna poważna instytucja nie poprosi przez telefon o kod autoryzacyjny, hasło ani o zainstalowanie aplikacji do zdalnej obsługi komputera. Podobnie traktuj wiadomości na komunikatorach od „znajomego”, który pilnie potrzebuje pieniędzy lub kodu - jego konto mogło zostać przejęte.

Procedura antyphishingowa dla zespołu sklepu

Najlepiej działa krótka procedura, którą każdy pracownik zna i która mieści się na jednej stronie. Przykładowe zasady, które warto spisać i powiesić przy stanowiskach:

1. Nie loguję się przez linki z maili i SMS-ów - otwieram aplikację lub stronę z zakładki.

2. Nie podaję nikomu kodów z SMS-ów ani z aplikacji uwierzytelniającej, także „pracownikom” platformy czy banku.

3. Nie zmieniam danych do przelewu na podstawie maila - potwierdzam telefonicznie na znany numer.

4. Nie otwieram archiwów i plików wykonywalnych od nieznanych nadawców.

5. Każdą podejrzaną wiadomość przekazuję na wspólny adres lub kanał zgłoszeń.

6. Po kliknięciu lub podaniu danych zgłaszam to od razu, bez czekania na skutki.

Gdy oszuści podszywają się pod Twój sklep

Phishing w e-commerce działa też w drugą stronę. Oszuści mogą wysyłać klientom wiadomości udające Twój sklep: z prośbą o dopłatę do zamówienia, z fałszywym numerem konta do przelewu albo z linkiem do „potwierdzenia adresu dostawy”. Dla klienta to Twoja marka, więc to Ty odbierasz telefony i negatywne opinie. Żeby ograniczyć to ryzyko:

• wysyłaj maile do klientów wyłącznie z firmowej domeny i ustaw dla niej SPF, DKIM oraz DMARC z polityką odrzucania lub kwarantanny,

• w potwierdzeniach zamówień informuj, że sklep nigdy nie prosi o dopłaty przez SMS ani o dane karty mailem,

• podawaj numer konta do przelewów tylko na stronie i w potwierdzeniu zamówienia, a nie w osobnych wiadomościach,

• gdy klienci zgłaszają fałszywe wiadomości, opublikuj krótki komunikat na stronie i w mediach społecznościowych.

Jak nauczyć zespół rozpoznawać phishing

Jednorazowa prezentacja szybko się zapomina. Lepiej działa krótka, powtarzana edukacja oparta na przykładach z Twojej branży: raz na kwartał 15 minut na spotkaniu zespołu, na którym omawiacie prawdziwe fałszywe wiadomości, które trafiły do firmy. Dobrą praktyką jest też wspólny kanał lub adres do zgłaszania podejrzanych wiadomości, z szybką odpowiedzią „to oszustwo” albo „to prawdziwe”. Część firm prowadzi kontrolowane testy phishingowe, ale ich celem powinno być uczenie, a nie wyłapywanie winnych. Nowi pracownicy powinni poznać zasady pierwszego dnia, zanim dostaną dostęp do skrzynki obsługi klienta, panelu marketplace'u czy bankowości firmowej. Warto też co jakiś czas przypominać zespołowi, które schematy ataków pojawiły się ostatnio w branży.

Jak Vinson pomaga chronić sklep przed phishingiem

Vinson to agencja e-commerce z Bochni, która od 2021 r. współpracuje z ponad 500 firmami i na co dzień pracuje na kontach sprzedawców na marketplace'ach i w systemach reklamowych. W ramach wsparcia informatycznego dla firm i sklepów wdrażamy logowanie dwuetapowe i menedżer haseł, porządkujemy konta pracowników, konfigurujemy SPF, DKIM i DMARC oraz filtry w poczcie firmowej, przygotowujemy procedurę reagowania na incydent i prowadzimy krótkie szkolenia dla zespołu na przykładach z Twojej branży. Gdy dojdzie do kliknięcia, pomagamy zabezpieczyć konta i sprawdzić komputer.

Najczęściej zadawane pytania

Jak rozpoznać fałszywego maila podszywającego się pod Allegro?

Sprawdź pełny adres nadawcy i domenę, do której prowadzi link - po najechaniu kursorem, bez klikania. Podejrzana jest każda wiadomość z presją czasu, prośbą o zalogowanie się przez link lub dopłatę. Najbezpieczniej zalogować się samodzielnie do konta przez aplikację lub wpisany ręcznie adres i sprawdzić, czy jest tam ta sama informacja.

Gdzie zgłosić fałszywego SMS-a lub maila?

Fałszywego SMS-a możesz bezpłatnie przekazać do CERT Polska na numer 8080, a podejrzane strony i maile zgłosić przez formularz na stronie incydent.cert.pl. Warto też zgłosić wiadomość firmie, pod którą podszywa się oszust, i oznaczyć ją jako phishing w skrzynce pocztowej.

Co zrobić, gdy pracownik podał hasło na fałszywej stronie?

Natychmiast zmień hasło do tego konta i do wszystkich, w których było używane, wyloguj aktywne sesje i sprawdź ustawienia konta, zwłaszcza numer rachunku do wypłat i reguły przekierowania poczty. Jeśli podano dane karty lub dostęp do bankowości, od razu skontaktuj się z bankiem.

Czy logowanie dwuetapowe chroni przed phishingiem?

Bardzo utrudnia przejęcie konta, ale kod z SMS-a lub aplikacji można wpisać na fałszywej stronie, która od razu przekaże go oszustowi. Najlepszą ochronę dają klucze dostępu i klucze bezpieczeństwa, które działają tylko na prawdziwej domenie usługi.

Czy otwarcie maila phishingowego jest niebezpieczne?

Samo otwarcie wiadomości w aktualnej przeglądarce lub programie pocztowym zwykle nie wystarcza do zainfekowania komputera. Ryzyko pojawia się po kliknięciu linku, otwarciu załącznika lub podaniu danych. Jeśli nie masz pewności, co zrobiłeś, zgłoś sytuację osobie odpowiedzialnej za IT.

Phishing to dziś jedno z najczęstszych zagrożeń dla sprzedawców, ale da się mu skutecznie przeciwdziałać prostymi zasadami i dobrymi zabezpieczeniami. Jeśli chcesz uporządkować konta i przeszkolić zespół, zobacz nasze wsparcie IT dla firm i sklepów. Warto też upewnić się, że sklep używa adresu e-mail na własnej domenie, bo klientom łatwiej wtedy odróżnić prawdziwe wiadomości od fałszywych.