Zwykły phishing często przypomina masową wysyłkę. Tysiące osób otrzymują tę samą wiadomość o niedopłacie za paczkę, zablokowanym koncie, konieczności potwierdzenia danych albo pilnym przelewie.

Spear phishing działa inaczej.

Tutaj wiadomość może być przygotowana specjalnie dla Ciebie.

Cyberprzestępca może znać Twoje imię, stanowisko, nazwę firmy, przełożonego, współpracowników, klientów, a czasem nawet projekty, przy których pracujesz.

I właśnie dlatego taki atak może wyglądać wyjątkowo wiarygodnie.

Wyobraź sobie, że w poniedziałek rano otrzymujesz wiadomość:

„Cześć Adam,
zgodnie z naszą wczorajszą rozmową z klientem przesyłam poprawioną umowę. Ania jest dziś na urlopie, więc proszę, żebyś przejął temat. Musimy zamknąć to przed 14:00.”

Nadawca?

Twój przełożony.

Klient się zgadza. ❗
Imię koleżanki się zgadza. ❗
Projekt rzeczywiście istnieje. ❗
Termin brzmi wiarygodnie. ❗

Wiadomość wygląda dokładnie tak, jak mogłaby wyglądać zwykła firmowa korespondencja.

‼️ Jest tylko jeden problem.

Tej wiadomości nie wysłał Twój przełożony.

To właśnie jest siła spear phishingu.

🎯 Czym jest spear phishing?

Spear phishing to ukierunkowana forma phishingu, w której atakujący przygotowuje wiadomość dla konkretnej osoby, grupy pracowników lub organizacji.

W przeciwieństwie do masowych kampanii phishingowych przestępca próbuje wcześniej zdobyć informacje o swojej ofierze.

Dzięki temu wiadomość może zawierać prawdziwe:

• imię i nazwisko,
• stanowisko,
• nazwę firmy,
• nazwisko przełożonego,
• informacje o współpracownikach,
• nazwy klientów,
• informacje o projektach,
• nazwy wykorzystywanych systemów,
• terminy spotkań lub wydarzeń,
• informacje dotyczące delegacji, konferencji czy urlopów.

Im więcej elementów się zgadza, tym łatwiej uwierzyć, że wiadomość jest prawdziwa.

🔎 Atak nie zaczyna się od wysłania wiadomości

To jeden z najważniejszych elementów, który odróżnia zaawansowany spear phishing od prostych kampanii phishingowych.

Atak może rozpocząć się dużo wcześniej niż w momencie pojawienia się wiadomości w skrzynce odbiorczej.

Pierwszym etapem może być rozpoznanie, czyli reconnaissance.

Napastnik zbiera informacje na temat konkretnej osoby, jej stanowiska, organizacji i otoczenia biznesowego.

Celem jest znalezienie danych, które pozwolą stworzyć historię wyglądającą na prawdziwą.

Cyberprzestępca nie musi znać wszystkich szczegółów.

Czasami wystarczy kilka elementów, żeby stworzyć bardzo przekonujący scenariusz.

🌐 Internet mówi o nas więcej, niż nam się wydaje

Ogromna część informacji potrzebnych do przygotowania ataku może być dostępna publicznie.

Nie trzeba włamywać się do firmowego systemu, aby rozpocząć rozpoznanie.

💼 LinkedIn

Profil zawodowy może ujawnić między innymi:

• gdzie pracujesz,
• jakie zajmujesz stanowisko,
• jak długo jesteś w organizacji,
• za jakie obszary odpowiadasz,
• kto również pracuje w Twojej firmie,
• z jakimi technologiami masz doświadczenie,
• przy jakich projektach pracowałeś.

Na podstawie tych informacji można zacząć odtwarzać strukturę organizacji.

🌐 Strona internetowa firmy

Firmowa witryna może zawierać:

• nazwiska pracowników,
• dane kadry zarządzającej,
• adresy e-mail,
• numery telefonów,
• informacje o realizowanych projektach,
• nazwy partnerów biznesowych,
• referencje klientów,
• informacje o strukturze organizacji.

Dla klienta są to informacje pomagające poznać firmę.

Dla atakującego mogą być elementami układanki.

📱 Media społecznościowe

Facebook, Instagram czy inne platformy mogą zdradzić pozornie nieistotne informacje.

„Pierwszy dzień konferencji w Berlinie!”

„W końcu urlop! 🏖️”

„Dzisiaj spotkanie całego zespołu.”

Dla znajomych to zwykłe publikacje.

Dla cyberprzestępcy mogą oznaczać:

wiem, że konkretnej osoby nie ma dziś w biurze.

A to daje możliwość stworzenia wiadomości:

„Ania jest dziś na urlopie, dlatego potrzebuję, żebyś przejął ten temat.”

Nagle wiadomość staje się znacznie bardziej wiarygodna.

💼 Nawet ogłoszenie o pracę może być źródłem informacji

Firmy publikują w ofertach pracy informacje dotyczące stosowanych technologii i środowiska IT.

Ogłoszenie może zdradzić, że organizacja korzysta przykładowo z określonych:

• usług chmurowych,
• systemów ERP lub CRM,
• rozwiązań VPN,
• narzędzi do komunikacji,
• platform administracyjnych,
• technologii serwerowych.

Taka informacja może później zostać wykorzystana podczas ataku.

Zamiast ogólnego:

„Twoje konto wymaga ponownego logowania”

użytkownik może otrzymać wiadomość odnoszącą się do systemu, z którego rzeczywiście korzysta każdego dnia.

📧 A jeśli napastnik zna prawdziwą korespondencję?

Sytuacja staje się jeszcze bardziej niebezpieczna, gdy cyberprzestępcy uda się przejąć skrzynkę pocztową jednego z pracowników lub uzyskać dostęp do wcześniejszej korespondencji.

Może wtedy zobaczyć:

• jak pracownicy zwracają się do siebie,
• jakie podpisy stosują,
• z kim współpracują,
• jakie faktury otrzymują,
• jakie projekty realizują,
• kto akceptuje przelewy,
• jak wygląda proces zatwierdzania płatności,
• kiedy odbywają się spotkania,
• jakiego stylu komunikacji używa przełożony.

Dzięki temu fałszywa wiadomość może nie tylko zawierać prawidłowe informacje.

Może również brzmieć tak, jak prawdziwa wiadomość od konkretnej osoby.

🧠 OSINT – informacje publiczne jako element ataku

Zbieranie informacji z ogólnodostępnych źródeł określa się często jako OSINT – Open Source Intelligence.

OSINT sam w sobie nie jest czymś złym. Jest wykorzystywany między innymi w analizie bezpieczeństwa, dziennikarstwie, badaniach czy ochronie organizacji.

Te same techniki mogą jednak zostać wykorzystane przez cyberprzestępców.

Atakujący może połączyć informacje pochodzące z wielu miejsc.

Na przykład:

LinkedIn:
Adam pracuje w dziale finansowym.

Strona firmy:
Piotr jest dyrektorem finansowym.

Facebook:
Piotr jest obecnie na konferencji.

Strona partnera biznesowego:
Firma współpracuje z przedsiębiorstwem XYZ.

Efekt?

Adam otrzymuje wiadomość:

„Cześć Adam, jestem teraz na konferencji i nie mogę rozmawiać. Potrzebuję pilnego przelewu dla XYZ. Zrób to proszę przed 13:00 i podeślij mi potwierdzenie.”

Każdy element historii może wyglądać logicznie.

I właśnie na tym polega manipulacja.

⚠️ Presja czasu – jeden z ulubionych mechanizmów atakujących

Spear phishing wykorzystuje nie tylko informacje.

Wykorzystuje również emocje i naturalne zachowania człowieka.

Bardzo często pojawia się presja:

• „musimy zrobić to przed 14:00”,
• „klient czeka”,
• „to bardzo pilne”,
• „jestem na spotkaniu, nie dzwoń”,
• „potrzebuję tego natychmiast”,
• „jeżeli nie zrobimy tego dzisiaj, stracimy kontrakt”.

Dlaczego?

Ponieważ pod presją czasu człowiek ma mniej czasu na analizę.

Zamiast zastanowić się:

„Czy ta wiadomość jest prawdziwa?”

zaczyna zastanawiać się:

„Jak najszybciej wykonać zadanie?”

I właśnie do tego dąży przestępca.

🏢 Spear phishing a Business Email Compromise

Szczególnie niebezpiecznym scenariuszem jest BEC – Business Email Compromise.

Atakujący podszywa się wtedy pod osobę posiadającą zaufanie lub odpowiednie uprawnienia, na przykład:

• prezesa,
• dyrektora,
• pracownika księgowości,
• kontrahenta,
• dostawcę,
• współpracownika.

Celem może być nakłonienie pracownika do:

• wykonania przelewu,
• zmiany numeru rachunku kontrahenta,
• przesłania faktury,
• przekazania danych,
• przesłania dokumentów,
• ujawnienia danych logowania.

W takim ataku nie zawsze potrzebny jest złośliwy załącznik.

Nie zawsze pojawia się podejrzany link.

Czasami przestępca chce po prostu, aby człowiek sam wykonał określoną czynność.

🚩 Po czym rozpoznać spear phishing?

Nie istnieje jeden sygnał, który zawsze oznacza atak.

Warto jednak zwiększyć czujność, jeśli pojawia się kilka elementów jednocześnie.

🚨 Nietypowa presja czasu

„Zrób to natychmiast.”

„Nie mamy czasu na standardową procedurę.”

„Klient czeka.”

🚨 Próba ominięcia procedury

Szczególnie podejrzane powinny być prośby o:

• wykonanie przelewu poza standardowym procesem,
• zmianę numeru konta kontrahenta,
• przesłanie poufnych danych,
• pominięcie osoby zatwierdzającej,
• zachowanie sprawy w tajemnicy.

🚨 Nietypowy sposób komunikacji

Przełożony zawsze dzwoni w sprawie przelewów, a tym razem wysyła lakoniczną wiadomość?

Kontrahent nagle zmienia numer rachunku?

Pracownik prosi o przesłanie dokumentu, którego wcześniej nigdy nie potrzebował?

To powinno wzbudzić czujność.

🚨 Drobne różnice w adresie nadawcy

Adres może wyglądać prawie identycznie jak prawdziwy.

Różnić może go:

• jedna litera,
• dodatkowy znak,
• inna domena,
• podobny znak Unicode.

Na pierwszy rzut oka wszystko może wyglądać poprawnie.

🚨 Załącznik lub link, którego się nie spodziewasz

Szczególnie jeśli wiadomość jednocześnie wymusza szybkie działanie.

🛡️ Jak chronić się przed spear phishingiem?

✅ Weryfikuj drugim kanałem

To jedna z najskuteczniejszych zasad.

Jeżeli otrzymujesz nietypową lub ważną prośbę, zwłaszcza dotyczącą:

• pieniędzy,
• danych logowania,
• poufnych dokumentów,
• zmiany rachunku bankowego,
• nadania uprawnień,

potwierdź ją innym kanałem.

Zadzwoń do osoby, która rzekomo wysłała wiadomość.

Nie korzystaj przy tym z numeru telefonu podanego w podejrzanej wiadomości. Użyj numeru, który znasz lub który znajduje się w oficjalnej książce kontaktów.

✅ Nie pozwól, żeby „pilne” oznaczało „bez sprawdzania”

Pilność może być prawdziwa.

Nie oznacza to jednak, że należy pomijać procedury bezpieczeństwa.

Im większa presja na szybkie działanie, tym większą uwagę warto poświęcić weryfikacji.

✅ Sprawdzaj adres nadawcy

Nie ograniczaj się do wyświetlanej nazwy.

„Jan Kowalski – Dyrektor” nie oznacza jeszcze, że wiadomość rzeczywiście pochodzi z jego skrzynki.

✅ Uważaj na informacje publikowane publicznie

Nie chodzi o całkowite zniknięcie z Internetu.

Warto jednak zastanowić się, czy publikowana informacja rzeczywiście musi być dostępna dla każdego.

Dotyczy to zarówno pracowników, jak i organizacji.

✅ Stosuj zasadę ograniczonego zaufania

To, że wiadomość zawiera prawdziwe informacje, nie oznacza jeszcze, że jest prawdziwa.

To jedna z najważniejszych rzeczy, które należy zapamiętać.

👥 Technologia to nie wszystko

Filtry antyspamowe, zabezpieczenia poczty, MFA, systemy EDR i mechanizmy wykrywania zagrożeń mają ogromne znaczenie.

Nie są jednak w stanie zatrzymać każdego scenariusza.

Szczególnie jeśli wiadomość:

• nie zawiera złośliwego oprogramowania,
• nie posiada podejrzanego załącznika,
• nie prowadzi do fałszywej strony,
• a jedynie przekonuje pracownika do wykonania określonego działania.

Dlatego świadomość użytkowników jest jednym z najważniejszych elementów cyberbezpieczeństwa organizacji.

🔐 Zasada, którą warto zapamiętać

Spear phishing jest skuteczny, ponieważ przestępca stara się sprawić, aby fałszywa wiadomość wyglądała jak element Twojej codziennej pracy.

Może znać nazwisko Twojego przełożonego.

Może wiedzieć, z jakim klientem współpracujesz.

Może wiedzieć, że ktoś jest na urlopie.

Może znać nazwę projektu.

Może nawet wiedzieć, jakiego systemu używasz.

Dlatego pytanie nie powinno brzmieć wyłącznie:

„Czy informacje w tej wiadomości się zgadzają?”

Lepiej zapytać:

🔎 „Czy potrafię niezależnie potwierdzić, że tę wiadomość naprawdę wysłała ta osoba?”

Bo w spear phishingu prawdziwe informacje są często właśnie tym, co ma uśpić naszą czujność.

🔴 Nie klikaj pochopnie. Weryfikuj drugim kanałem. Chroń dane. Chroń relacje.

Cyberprzestępca nie zawsze próbuje złamać system.

Czasem łatwiej jest przekonać człowieka, żeby sam otworzył mu drzwi.

Dlatego w przypadku nietypowej wiadomości:

zatrzymaj się → sprawdź → zweryfikuj → dopiero wtedy działaj.

Artinus System Sp. z o.o.

Cyberbezpieczeństwo to nie tylko technologia. To również świadomość zagrożeń, odpowiednie procedury oraz umiejętność rozpoznawania manipulacji, zanim doprowadzi ona do incydentu.

#SpearPhishing #CyberSecurity #Cyberbezpieczeństwo #SocialEngineering #BEC #SecurityAwareness #OSINT #Phishing #CyberAwareness #BezpieczeństwoIT #ArtinusSystem