Ukratko – što ćemo proći
- zašto phishing pokušava izazvati emociju prije nego razmišljanje
- kako prevaranti koriste strah, hitnost i uzbuđenje
- zašto se često predstavljaju kao banka, šef ili poznata tvrtka
- zašto personalizirana poruka nije nužno vjerodostojna
- kako nekoliko sekundi pauze može promijeniti ishod
„Vaš račun bit će blokiran za 30 minuta.“
„Otkrivena je sumnjiva prijava.“
„Direktor treba hitnu uplatu.“
„Čestitamo! Osvojili ste nagradu.“
Na prvi pogled ove poruke nemaju puno zajedničkog.
Jedna izaziva strah, druga zabrinutost, treća osjećaj autoriteta, a četvrta uzbuđenje.
Ali sve pokušavaju postići isto:
natjerati vas da reagirate prije nego što počnete provjeravati.
National Cybersecurity Alliance upravo to ističe kao jednu od osnovnih karakteristika phishinga. Prijevare pokušavaju izazvati pozitivne ili negativne emocije kako bi korisnik kliknuo, odgovorio ili otkrio podatke prije nego što dobro razmisli.
Najvažnija riječ je: HITNO
Zamislite da vam u mirnom trenutku netko kaže:
„Molim vas, otvorite ovu stranicu i unesite broj kartice.“
Vjerojatno biste odmah postali sumnjičavi.
Ali što ako poruka glasi:
„Kartica vam je upravo korištena za sumnjivu transakciju. Potvrdite podatke ODMAH kako biste spriječili gubitak novca.“
Odjednom se situacija mijenja.
NIST upravo osjećaj hitnosti navodi kao jedan od važnih znakova phishing poruke i preporučuje da korisnik zastane te zahtjev provjeri preko poznatog kontakta ili službene stranice, a ne preko podataka iz same poruke.
Prevarantu je vrijeme saveznik.
Što manje vremena imate za razmišljanje, veća je šansa da ćete napraviti ono što želi.
Strah nije jedina emocija koju koriste
Phishing nije uvijek prijetnja.
Ponekad je mamac nešto pozitivno:
„Osvojili ste novi telefon.“
„Imate pravo na povrat novca.“
„Ponuda vrijedi još samo deset minuta.“
NCA navodi upravo oba obrasca: negativnu hitnost poput zaključanog računa i pozitivnu hitnost poput nagrade ili posebne ponude. Cilj je isti – dovoljno vas uzbuditi da kliknete prije provjere.
Zato vrlo korisno pravilo glasi:
Velika emocija + zahtjev za brzom reakcijom = razlog za dodatni oprez.
Zašto se prevarant predstavlja kao banka ili šef?
Zato što već imamo izgrađeno povjerenje prema određenim osobama i institucijama.
NIST upozorava da phishing poruke često izgledaju kao da dolaze iz poznatog i pouzdanog izvora – primjerice banke, kartične kuće ili čak osobe na vodećoj poziciji u tvrtki.
Zamislite poruku:
„Bok, treba mi hitno da uplatiš ovaj račun prije sastanka. Riješi odmah pa se čujemo.“
Ako izgleda kao da ju je poslao vaš nadređeni, veća je vjerojatnost da ćete prvo razmišljati o tome kako izvršiti zadatak, a tek kasnije o tome je li zahtjev stvaran.
Upravo zato je provjera drugim kanalom toliko važna.
„Ali poruka zna moje ime“
To također više nije dokaz.
NCA upozorava da phishing i smishing mogu biti personalizirani. Prevarant može znati vaše ime, tvrtku u kojoj radite ili druge detalje prikupljene iz javno dostupnih izvora, društvenih mreža, direktorija ili prethodno kompromitiranih podataka.
Poruka:
„Ivane, vaš paket za Slavonski Brod nije moguće dostaviti…“
zvuči uvjerljivije nego:
„Poštovani korisniče…“
Ali osobni podatak u poruci ne znači automatski da je pošiljatelj osoba kojoj možete vjerovati.
Najbolja obrana može biti – usporavanje
Tehnički alati mogu filtrirati velik broj opasnih poruka, ali nijedan filter nije savršen.
Zato nam treba mala mentalna navika.
Kada poruka izazove snažnu emociju, nemojte odmah razmišljati:
„Što moram napraviti?“
Prvo se pitajte:
„Zašto me ova poruka pokušava požuriti?“
Ako tvrdi da je riječ o banci, otvorite službenu aplikaciju banke.
Ako je navodno kolega ili šef, nazovite ga.
Ako je dostavna služba, sami otvorite njihovu službenu stranicu.
Ne koristite kontakt ili poveznicu koju vam je dao onaj koga upravo pokušavate provjeriti. Takvu neovisnu provjeru preporučuje i NIST.
Praktični alat: pravilo „Emocija = pauza“
Od danas uvedite jedno kratko pravilo:
Ako me poruka uplaši, razljuti, požuri ili pretjerano razveseli – ne klikam odmah.
Napravite pauzu.
Provjerite.
Tek onda reagirajte.
Rečenica za podcrtati
Phishing ne pobjeđuje zato što je poruka savršena, nego zato što nas uspije natjerati da donesemo odluku dok smo pod pritiskom.
A što kada ista psihologija prijevare više ne dolazi e-mailom, nego izravno na ekran mobitela – tamo gdje poruke djeluju osobnije i hitnije?
U sljedećem članku bavimo se smishingom – phishingom putem SMS-a i aplikacija za poruke.
Izvori i dodatno čitanje
National Cybersecurity Alliance – Online Safety Basics i What Is Smishing?; NIST – Phishing.