Oszustwa e-mailowe od lat są plagą internetu, ale dotychczasowe rady, takie jak zwracanie uwagi na błędy gramatyczne czy najeżdżanie kursorem na linki, przestają wystarczać. Dzięki sztucznej inteligencji i sprytnym obejściom technicznym współczesne wiadomości od oszustów wyglądają wiarygodnie, nie zawierają literówek, a w wielu przypadkach działają nawet mimo włączonego uwierzytelniania dwuskładnikowego. Oto cztery metody, które właśnie teraz krążą po skrzynkach odbiorczych, oraz sposoby, by się przed nimi uchronić.
Pierwsza z nich to tak zwane „quishing”, czyli oszustwo wykorzystujące kody QR. Wiadomość informuje na przykład, że hasło do Microsoft 365 wkrótce wygaśnie albo że pilny dokument wymaga podpisu przez DocuSign. Zamiast klikalnego linku znajduje się w niej kod QR do zeskanowania telefonem w celu weryfikacji tożsamości. Podstęp polega na tym, że służbowy laptop jest chroniony przez firmowe zapory i filtry linków, a telefon osobisty już nie. Po zeskanowaniu kodu użytkowniczka trafia na złośliwą stronę na prywatnej przeglądarce bez żadnych zabezpieczeń. Nieoczekiwana prośba o skanowanie kodu na prywatnym urządzeniu w sprawach służbowych powinna być traktowana jak sygnał ostrzegawczy.
Druga metoda, nazywana „ClickFix”, wykorzystuje moment, w którym chcemy szybko załatwić sprawę. Po kliknięciu w powiadomienie strona zawiesza się i pokazuje komunikat o błędzie renderowania, prosząc o wciśnięcie kombinacji Win + R, wklejenie kodu weryfikacyjnego do okna Uruchamianie i zatwierdzenie. W rzeczywistości nie ma żadnej usterki — oszust sprawia, że kopiujemy złośliwy kod do schowka i ręcznie uruchamiamy go w terminalu systemowym. Przeglądarka nie potrzebuje poleceń systemowych do wyświetlenia pliku, więc każda prośba o wklejanie czegokolwiek do wiersza poleceń powinna wzbudzić czujność.
Trzecia technika to atak typu Adversary-in-the-Middle, który podważa zaufanie do dwuskładnikowego logowania. Oszust kieruje do portalu wyglądającego jak ekran logowania do firmowego systemu. Po wpisaniu nazwy użytkownika, hasła i kodu z aplikacji uwierzytelniającej fałszywa strona przekazuje te dane do prawdziwego serwisu w czasie rzeczywistym. Gdy autentyczna strona potwierdzi dane i odblokuje konto, oszust przechwytuje ciasteczko sesyjne i uzyskuje pełny dostęp, jakby siedział przy naszym klawiaturze. Kod dwuskładnikowy zadziałał, tyle że dla atakującego. Przed podaniem danych warto zawsze sprawdzić pasek adresu i upewnić się, że domena jest właściwa.
Ostatnia z metod to fałszywe, ale autentyczne faktury. Oszuści zakładają darmowe konta biznesowe na platformach takich jak QuickBooks, PayPal czy Google Workspace i wykorzystują wbudowane narzędzia do wystawiania faktur, by rozsyłać wiadomości z nazwiskiem odbiorczyni, numerem zamówienia i telefonem do kontaktu w sprawie oszustwa. Filtry antyspamowe przepuszczają je do głównej skrzynki, bo wiadomości faktycznie pochodzą z serwerów Intuit lub Google. Jeśli faktura zawiera podejrzany numer telefonu wsparcia, nie należy na niego dzwonić. Zamiast tego trzeba zalogować się bezpośrednio na oficjalnej stronie i sprawdzić historię płatności.
Eksperci podkreślają, że kluczowe jest wyrobienie nawyku weryfikacji każdej nieoczekiwanej wiadomości, zwłaszcza gdy prosi o działanie na prywatnym urządzeniu, wklejenie kodu do terminala lub podanie danych logowania. Warto też pamiętać, że żadna poważna firma nie prosi o skanowanie kodów QR w celu weryfikacji tożsamości ani o uruchamianie poleceń systemowych. Zachowanie czujności i sprawdzanie adresów stron to podstawa ochrony przed nowoczesnymi oszustwami.
