Cum recunoști un e-mail de phishing (și cum îți pregătești echipa)
Phishing-ul nu este o amenințare exotică, ci modalitatea cea mai frecventă prin care o companie ajunge într-un incident de securitate. Particularitatea lui este că nu atacă infrastructura, ci angajatul din fața ecranului: un mesaj care pare să vină de la cineva cunoscut și care te grăbește să dai click, să trimiți o parolă sau să faci o plată. Vestea bună este că aproape toate aceste mesaje se opresc cu câteva obiceiuri simple. Lista de mai jos este scrisă pentru a o parcurge împreună cu echipa, înainte de un incident, nu după.
Semnele care se repetă
Aproape toate au aceleași trei trăsături. În primul rând, te grăbesc („contul tău va fi blocat în 24 de ore”, „factura trebuie plătită azi”), fiindcă graba scurtcircuitează gândirea. Apoi par să vină de la cineva cunoscut: o bancă, un furnizor, chiar un coleg; însă, dacă verifici adresa reală a expeditorului, aceasta este ușor greșită sau pur și simplu străină. Și, indiferent de formă, cer mereu ceva concret: o parolă, datele cardului, un click pe un link sau deschiderea unui atașament la care nu te așteptai.
Unele mesaje sunt grosolane, cu greșeli de limbă și sigle deformate. Altele, mai ales cele țintite pe o anumită persoană din companie, sunt foarte îngrijite și par perfect normale. De aceea nu te poți baza pe impresia că un mesaj fals se recunoaște dintr-o privire. Te bazezi pe obiceiul de a verifica, nu pe instinct.
Verificarea de zece secunde, înainte de click
Înainte de orice click, fă-ți un obicei din trei verificări care durează zece secunde. Uită-te la adresa reală a expeditorului, nu doar la numele afișat, fiindcă acolo se ascunde cel mai des minciuna. Treci cu mouse-ul peste link, fără să dai click: vezi unde duce de fapt, iar dacă textul arată o adresă și linkul te trimite în altă parte, ai răspunsul. Apoi întreabă-te scurt: mă așteptam la acest mesaj?
Pentru orice cerere de bani, de date sau de parole, regula este una singură și nu admite excepții: confirmi pe alt canal. Suni persoana în loc să răspunzi la e-mail; intri pe site tastând tu adresa, nu dând click pe link. Regula scurtă pe care merită să o cunoască toți angajații companiei: dacă un mesaj te grăbește, încetinește.
Echipa pregătită și straturile tehnice
Phishing-ul nu se rezolvă cumpărând un program, fiindcă ținta lui sunt angajații, nu rețeaua. Cel mai mult ajută o echipă care știe ce caută: discutați deschis despre cazuri reale, arătați un exemplu primit chiar la voi și transformați raportarea unui mesaj suspect într-un gest firesc, nu într-o rușine. Un membru al echipei care întreabă dacă un mesaj este curat înainte să dea click este cel mai ieftin mecanism de securitate pe care îl ai.
Peste angajați așezi câteva straturi tehnice care prind ce scapă. Un filtru de e-mail oprește o bună parte din mesaje înainte să ajungă la cineva. Autentificarea în doi pași face ca o parolă furată să nu mai fie suficientă pentru ca un atacator să intre în cont. Iar un plan de reacție clar pentru momentul în care, totuși, cineva dă click (cine anunță, ce conturi se schimbă, ce se verifică) transformă panica în procedură.
Rolul nostru
Noi punem la punct straturile tehnice (filtrul de e-mail, autentificarea în doi pași, monitorizarea) și ajutăm echipa să recunoască mesajele, pe exemple concrete. Iar dacă se întâmplă totuși, planul de reacție este scris dinainte, nu improvizat în ziua incidentului. Începe cu un audit gratuit la fața locului: analizăm cum stă acum compania ta cu e-mailul, cu parolele și cu accesul, iar tu pleci cu o listă clară a ceea ce este de pus la punct.