Czym jest „whaling” w cyberbezpieczeństwie?

Atak typu „whaling” to wysoce ukierunkowana próba phishingu skierowana do kadry kierowniczej, osób odpowiedzialnych za finanse oraz innych decydentów, którzy mają uprawnienia do dysponowania środkami finansowymi lub przyznawania dostępu do kluczowych systemów. Często nazywany jest oszustwem typu CEO, jest to forma spear phishingu , który skupia się na celach o dużej wartości, zamiast rozrzucać szerokie sieci.

Celem jest nakłonienie tych osób do ujawnienia informacji firmowych lub danych uwierzytelniających, kliknięcia złośliwego linku, otwarcia szkodliwego pliku lub zainicjowania fałszywego przelewu.

Oto, jak to działa i jak się przed tym chronić.

Czym jest „whaling” w cyberbezpieczeństwie?

Termin "wielorybnictwo" jest używany do określenia kadry kierowniczej firmy lub grubych ryb, takich jak CEO i CFO. Ponieważ osoby te zajmują wysokie stanowiska w firmie, mają dostęp do poufnych informacji jak nikt inny. Dlatego też podszywanie się pod nie lub oszukiwanie ich może okazać się szkodliwe dla działalności i reputacji firmy, prowadząc do potencjalnych strat finansowych, naruszenia danych, utraty produktywności, a nawet konsekwencji prawnych.

Ten sam rodzaj ataku znany jest pod kilkoma nazwami: phishing wykonawczy, phishing wielorybów oraz oszustwo typu „CEO”. Niezależnie od nazwy, mechanizm działania pozostaje ten sam. Atakujący wykorzystuje autorytet osoby, którą odbiorca już szanuje, a następnie nadaje sprawie charakter pilny, tak aby prośba została zrealizowana, zanim ktokolwiek zdąży ją zweryfikować.

Whaling a phishing, spear phishing i BEC

Aby zrozumieć, na czym polega atak typu „whaling”, spróbujmy najpierw uchwycić różnicę między atakami typu „whaling”, phishingiem i spear phishingiem.

W przypadku zwykłego phishingu oszuści nakłaniają osoby fizyczne do ujawnienia poufnych informacji, takich jak dane logowania lub informacje finansowe. Atakujący często podszywa się pod godną zaufania instytucję, na przykład bank lub agencję rządową, i wysyła wiadomość e-mail lub SMS z prośbą o podanie informacji lub linkiem do fałszywej strony internetowej. Typowe ataki phishingowe są często kierowane do dużych grup osób w nadziei, że niewielki odsetek z nich da się nabrać na ten podstęp.

W przypadku spear phishingu atak jest kierowany konkretnie do określonych osób lub działów. Whaling jeszcze bardziej zawęża ten zakres, skupiając się wyłącznie na najwyższych rangą osobach w firmie. Business email compromise stanowi kategorię odrębną od pozostałych trzech, definiowaną raczej przez metodę działania niż przez cel ataku. W tabeli zestawiono te cztery kategorie wraz z cechami, które decydują o tym, jakie środki kontroli należy zastosować.

Istnieją dwie różnice, których nie uwzględnia powyższa tabela. Taktyki stosowane w atakach typu „whaling” są bardziej wyrafinowane niż w przypadku zwykłego phishingu – często polegają na tworzeniu fałszywych stron internetowych, które są wiernymi kopiami autentycznych witryn, lub na wywoływaniu poczucia pilności w związku z prawdziwą transakcją lub terminem. Zakres kanałów komunikacji jest również szerszy, ponieważ ataki typu „whaling” są przeprowadzane zarówno za pośrednictwem ukierunkowanych połączeń telefonicznych, wiadomości SMS i komunikatów na platformach do współpracy, jak i za pośrednictwem poczty elektronicznej.

Najwięcej niejasności budzi związek z BEC. Termin „whaling” definiuje się na podstawie tego, kto jest celem ataku lub czyją tożsamość się podszywa, więc „wielorybem” jest albo osoba, którą oszukuje się, albo tożsamość, którą wykorzystuje się do oszukania kogoś innego. Termin „BEC” definiuje się natomiast na podstawie stosowanej metody. Każdy przypadek „whalingu” zalicza się do BEC, choć nie działa to w drugą stronę. W przypadku „whalingu” atakujący wysyła wiadomość phishingową do członka kierownictwa wyższego szczebla, podając się za jego przełożonego, dyrektora generalnego lub dyrektora finansowego, a czasami atakuje pracownika niższego szczebla, podszywając się pod członka kierownictwa. Wiadomość ta ma na celu albo zainicjowanie przelewu środków firmowych, albo uzyskanie danych uwierzytelniających, które pomogą atakującemu uzyskać dostęp do systemu organizacji.

Jak przebiegają ataki typu „whaling”?

Whaling przebiega zgodnie z zaplanowanym cyklem działania. Każdy etap jest dokładnie analizowany i dostosowywany do konkretnych warunków, co odróżnia tę metodę od oportunistycznego phishingu, w ramach którego wiadomości wysyłane są jednocześnie na tysiące adresów.

1. Określenie celu. Atakujący wyznacza sobie cel, zazwyczaj w postaci przelewu bankowego, zestawu danych uwierzytelniających lub dostępu do poufnych plików, a następnie wybiera organizację docelową na podstawie branży, wielkości lub dostrzeżonych słabości.
2. Wybór i analiza celu. Korzystając z informacji dostępnych w źródłach otwartych, atakujący analizuje profile na LinkedIn, strony firmowe, komunikaty prasowe oraz posty w mediach społecznościowych, aby ustalić struktury podległości służbowej, procesy zatwierdzania oraz styl pisania.
3. Podszywanie się pod zaufanego nadawcę. Atakujący tworzy tożsamość nadawcy, którą odbiorca zaakceptuje, czy to poprzez sfałszowanie domeny, zarejestrowanie domeny o podobnej nazwie, np. comp4ny.com, sfałszowanie nazwy wyświetlanej, czy też korzystanie ze skrzynki pocztowej, nad którą już sprawuje kontrolę.
4. Opracowanie i wysłanie wiadomości. W wiadomości e-mail wykorzystano oficjalny język, imię i nazwisko adresata oraz rzeczywisty kontekst biznesowy, a także wywierano presję, by podjąć działania szybko i dyskretnie.
5. Wykorzystanie reakcji ofiary. Gdy ofiara zastosuje się do polecenia, atakujący działa szybko, przekazując środki przez konta pośredniczące, wykradając dane lub wykorzystując zdobyte dane logowania do uzyskania dalszego dostępu do sieci.

Każdy etap opiera się na inżynierii społecznej , a nie na wykorzystaniu luk technicznych. Właśnie dlatego filtry stworzone do wykrywania złośliwych ładunków przepuszczają te wiadomości, ponieważ zazwyczaj nie ma w nich żadnego ładunku do wykrycia.

Przykłady ataków wielorybniczych

W przedstawionym powyżej przykładzie John, kierownik działu finansowego, otrzymał wiadomość e-mail od Harry’ego, dyrektora generalnego organizacji, z prośbą o zlecenie pilnego przelewu bankowego. W tej sytuacji, jeśli John nie zweryfikuje tej prośby za pośrednictwem innego kanału lub nie rozpozna oznak phishingu, dokona przelewu środków, do których ma dostęp, i w ten sposób padnie ofiarą ataku typu „whaling”.

Formuła pozostaje taka sama we wszystkich działach. Zmieniają się jedynie przypisana tożsamość i wymagane działanie.

Wykradanie danych uwierzytelniających. Osoba atakująca podszywająca się pod zespół IT wysyła do dyrektora finansowego wiadomość e-mail, twierdząc, że jego konto Microsoft 365 wymaga ponownej weryfikacji. Dyrektor finansowy wprowadza dane uwierzytelniające na fałszywej stronie logowania, udostępniając w ten sposób dostęp do systemów finansowych.

Zatwierdzenie fałszywej faktury. Osoba atakująca rejestruje domenę dostawcy, która wygląda podobnie do oryginalnej, i wysyła dyrektorowi generalnemu realistycznie wyglądającą fakturę do zatwierdzenia. Dyrektor generalny zatwierdza fakturę, a płatność trafia do osoby atakującej.

Przekierowanie wypłaty. Osoba atakująca, podszywająca się pod dyrektora działu kadr, wysyła e-mail do zespołu ds. płac z prośbą o zmianę danych dotyczących przelewu bezpośredniego dla członka kierownictwa. W następnym cyklu wypłaty wynagrodzeń środki trafiają do osoby atakującej.

Wniosek o udostępnienie dokumentów prawnych. Osoba atakująca podszywająca się pod zewnętrznego doradcę prawnego zwraca się do radcy prawnego z prośbą o pilny dostęp do poufnych dokumentów dotyczących fuzji na podstawie sfabrykowanego zobowiązania do zachowania poufności, ujawniając w ten sposób strategię transakcji.

Na kogo atakują sprawcy i czego chcą

Ryzyko wynika raczej z uprawnień, dostępu do środków finansowych i dostępu do danych niż wyłącznie ze stażu pracy. Analiza trzeciej kolumny pozwala określić, gdzie należy wprowadzić etapy weryfikacji, ponieważ sam wniosek staje się przewidywalny, gdy znana jest już pełniona funkcja.

Porada praktyczna

Przed sporządzeniem procedury należy opracować własną wersję trzeciej kolumny. Każdy wiersz, w którym odpowiedź wiąże się z przepływem środków finansowych lub zmianą uprawnień dostępu, wymaga drugiego zatwierdzającego, z którym nie można skontaktować się za pośrednictwem tej samej skrzynki odbiorczej.

Ile kosztuje udany atak wielorybnika

Szkody rzadko ograniczają się do początkowej straty. Raport Raport FBI dotyczący przestępczości internetowej konsekwentnie wymienia ataki typu „business email compromise” wśród najkosztowniejszych cyberzagrożeń na świecie, a każdego roku straty wynikające z podszywania się pod kadrę kierowniczą i oszustw związanych z przelewami sięgają miliardów. Najbardziej narażone są sektory podlegające regulacjom, ponieważ jeden incydent w sektorze finansowym, opieki zdrowotnej, edukacji lub sektorze publicznym może skutkować karami i negatywnymi ustaleniami audytowymi, które nakładają się na bezpośrednie straty.

• Oszustwa finansowe: bezpośrednie straty wynikające z nieuprawnionych przelewów, płatności na podstawie fałszywych faktur lub sprzeniewierzonych środków z listy płac, sięgające niekiedy milionów
• Ujawnienie danych: kradzież tajemnic handlowych, danych klientów, sprawozdań finansowych lub planów strategicznych, co stwarza ryzyko konkurencyjne i prawne
• Kary regulacyjne: naruszenia wynikające z połowów wielorybów mogą stanowić naruszenie przepisów RODO, HIPAA lub PCI DSS, co pociąga za sobą kary pieniężne i obowiązek zgłoszenia
• Uszkodzenie reputacji: publiczne ujawnienie informacji podważa zaufanie klientów, pewność inwestorów oraz pozycję marki
• Zakłócenia w działalności: reagowanie na incydenty, badania kryminalistyczne, blokowanie systemów oraz odwrócenie uwagi kadry kierowniczej zakłócają normalne funkcjonowanie firmy na kilka tygodni
• Ruch w płaszczyźnie bocznej: przejęte dane uwierzytelniające pozwalają atakującym utrzymać się w systemach, podnieść uprawnienia oraz dotrzeć do partnerów lub klientów
• Ryzyko prawne: po ujawnieniu naruszenia organizacje mogą spotkać się z roszczeniami ze strony poszkodowanych, akcjonariuszy lub organów regulacyjnych

Ostrzegawcze oznaki wiadomości typu „whaling”

E-maile typu „whaling” są tak skonstruowane, by wyglądały na zwyczajne, choć większość z nich zawiera wskazówki, które wprawny czytelnik potrafi wychwycić, zanim podejmie jakiekolwiek działania. Nie każda próba opiera się na bezpośrednim podszywanie się pod domenę, dlatego środki techniczne muszą być uzupełnione weryfikacją przeprowadzaną przez człowieka.

• Pilne lub wymagające szybkiej reakcji wnioski dotyczące przelewów bankowych, zatwierdzania faktur, danych uwierzytelniających lub poufnych plików
• Wiadomości z prośbą do odbiorcy o pominięcie standardowych procedur zatwierdzania lub weryfikacji
• Niewielkie rozbieżności w nazwach domen, domeny o podobnej nazwie, takie jak c0mpany.com, lub adresy zwrotne odbiegające od nazwy wyświetlanej
• Wyświetlane nazwy podszywające się pod członków kierownictwa, podczas gdy rzeczywisty adres nadawcy jest zewnętrzny lub nie ma z nimi związku
• Nieoczekiwane załączniki, nieznane linki do portali lub prośby o zalogowanie się do zewnętrznego systemu
• Sformułowania, które nakłaniają adresata do podjęcia działań w tajemnicy lub do zachowania wymiany informacji wyłącznie między nimi
• Wnioski przychodzące poza godzinami pracy, z adresów prywatnych lub za pośrednictwem nietypowych kanałów
• Nagłe zmiany danych bankowych, miejsc docelowych płatności lub danych dostawców bez uprzedniego potwierdzenia telefonicznego
• Nietypowy ton lub sposób sformułowania, który nie odpowiada zwyczajowemu stylowi pisania rzekomego nadawcy

Częsty błąd

Traktowanie szkolenia z rozpoznawania jako jedynego rozwiązania. Świadomość zmniejsza ryzyko, ale go nie eliminuje, a każdy z powyższych sygnałów wymaga, by ktoś zatrzymał się na tyle długo, by się im przyjrzeć. Należy połączyć szkolenie z etapem weryfikacji, którego żadna osoba nie może pominąć, tak aby zabezpieczenie działało nawet wtedy, gdy wiadomość e-mail jest bezbłędna.

Jak zapobiegać atakom typu „whaling”

Aby ataki te były jeszcze skuteczniejsze jako taktyka inżynierii społecznej, cyberprzestępcy często bardzo skrupulatnie i szczegółowo przygotowują się do nich. Oni gromadzą publicznie dostępne informacje z platform społecznościowych, takich jak Facebook, Twitter i LinkedIn, a także ze stron internetowych firm, aby poznać codzienne życie, działania, obowiązki i relacje zawodowe danego członka kadry kierowniczej. Dzięki temu sprawiają wrażenie wiarygodnych, co pozwala im z łatwością oszukać ofiary.

Najlepszym rozwiązaniem jest podejście wielopoziomowe. Poniższe elementy sterujące są pogrupowane według właścicieli, a nie według technologii, dzięki czemu każdą grupę można przekazać zespołowi, który faktycznie nią zarządza.

Środki techniczne

• SPF: Sender Policy Framework (SPF) pomaga w autoryzacji legalnych źródeł wysyłki. Jeśli do wysyłania wiadomości e-mail korzystasz z wielu domen lub usług stron trzecich, rekord SPF pomoże Ci je określić, dzięki czemu możliwe będzie zidentyfikowanie złośliwych domen podszywających się pod Twoją.
• DKIM: DomainKeys Identified Mail (DKIM) to protokół uwierzytelniania wiadomości e-mail, który wykorzystuje podpisy kryptograficzne do potwierdzenia , że wiadomości nie zostały zmienione podczas przesyłania.
• DMARC: DMARC (Domain-based Message Authentication, Reporting, and Conformance) pomaga zharmonizować identyfikatory SPF lub DKIM oraz określa serwerom odbierającym pocztę, w jaki sposób należy postępować z fałszywymi wiadomościami typu „whaling” wysyłanymi z Twojej domeny (np. odrzucać je). Polityka polityka DMARC ustawiona na p=reject pozwala skutecznie zwalczać spoofing bezpośredni stosowany w atakach typu „whaling”. Ponieważ ataki typu „whaling” są również przeprowadzane z wykorzystaniem domen podobnych, przejętych skrzynek pocztowych oraz sztuczek związanych z nazwą wyświetlaną, należy traktować DMARC jako minimum, a nie jako maksymalny poziom zabezpieczeń.

Ważne jest, aby postępować we właściwej kolejności. Wdrażanie DMARC rozpoczyna się od ustawienia p=none w celu zapewnienia widoczności, przechodzi do p=quarantine po uwzględnieniu legalnych nadawców, a następnie osiąga poziom p=reject. Pomijanie środkowego etapu prowadzi do sytuacji, w której organizacje blokują własne faktury.

W miarę rozbudowywania się stosu technicznego system SPF staje się coraz mniej niezawodny. Każde nowe narzędzie marketingowe lub platforma SaaS powoduje wzrost liczby zapytań, a limit 10 zapytań zostaje osiągnięty szybciej, niż większość zespołów się spodziewa. Hostowany SPF utrzymuje rekordy w ramach limitu bez konieczności ręcznej edycji DNS przy każdej zmianie dostawcy.

Raportowanie DMARC: Po wdrożeniu trybu polityki należy włączyć raporty zbiorcze i analityczne DMARC , aby monitorować źródła wiadomości e-mail, analizować dostarczalność oraz szybko wykrywać wszelkie próby ataków na Twoją domenę. Surowe dane XML są trudne do odczytania przy dużej ilości danych, dlatego przeglądanie raportów DMARC za pośrednictwem pulpitu nawigacyjnego pozwala przekształcić te dane w informacje, na podstawie których zespół może podjąć odpowiednie działania.

• Oprogramowanie do filtrowania wiadomości e-mail i zapewniania bezpieczeństwa: Użyj skutecznych rozwiązania do filtrowania wiadomości e-mail, aby blokować podejrzane wiadomości lub oznaczać je do sprawdzenia. Zastosuj zabezpieczenia punktów końcowych, takie jak ochrona antywirusowa i zapora sieciowa.
• Regularne aktualizacje oprogramowania: Należy dbać o to, aby całe oprogramowanie, systemy operacyjne i przeglądarki były aktualizowane o najnowsze poprawki zabezpieczeń, aby zapobiec wykorzystywaniu luk w zabezpieczeniach.
• Bezpieczeństwo sieci: Należy wdrożyć skuteczne środki bezpieczeństwa sieciowego, w tym ewentualnie segmentację sieci i ścisłą kontrolę dostępu.

Chcesz mieć wgląd w próby spoofingu skierowane przeciwko Twojej domenie?

PowerDMARC przekształca dane DMARC, SPF i DKIM w przejrzyste raporty, dzięki czemu Twój zespół może zidentyfikować nieautoryzowanych nadawców i bezpiecznie przystąpić do egzekwowania zasad. Umów się na prezentację , aby zapoznać się z danymi dotyczącymi Twojej domeny.

Kontrola procesów

Środki kontroli technicznej blokują wiadomości, które nie przeszły uwierzytelnienia. Środki kontroli procesowej blokują żądania, które mimo wszystko przedostały się przez system, i właśnie dlatego mają one największe znaczenie w zespołach zajmujących się finansami.

• Weryfikacja płatności: wymagaj podwójnej autoryzacji dla transakcji powyżej ustalonego progu oraz wprowadź obowiązek potwierdzenia telefonicznego na znanym numerze w przypadku każdej zmiany danych bankowych
• Weryfikacja poza kanałem komunikacyjnym: każda wiadomość e-mail z prośbą o pilną płatność, zresetowanie danych uwierzytelniających lub przekazanie danych wrażliwych przechodzi przez dodatkowy kanał, zanim ktokolwiek podejmie jakiekolwiek działania
• Bezpieczeństwo haseł: Należy egzekwować zasady dotyczące silnych, unikalnych haseł dla wszystkich kont.
• Silne uwierzytelnianie: Wprowadź uwierzytelnianie dwuskładnikowe (2FA) lub uwierzytelnianie wieloskładnikowe (MFA) wszędzie tam, gdzie to możliwe, zwłaszcza w przypadku poczty elektronicznej i dostępu do wrażliwych systemów.
• Plan reagowania na incydenty: Należy opracować jasny plan reagowania na incydenty związane z bezpieczeństwem, takie jak ataki typu phishing lub whaling, aby zminimalizować szkody i umożliwić szybkie przywrócenie normalnego funkcjonowania.

Kształcenie i szkolenia pracowników

Należy przeszkolić pracowników, zwłaszcza kadrę kierowniczą wyższego szczebla i zespoły finansowe, tak aby byli świadomi zagrożeń związanych z atakami typu „whaling” i potrafili rozpoznawać podejrzane wiadomości e-mail, weryfikować prośby (zwłaszcza te o charakterze finansowym) za pośrednictwem oddzielnego kanału komunikacji oraz unikać klikania nieznanych linków lub otwierania nieoczekiwanych załączników. Duże znaczenie mają tu regularne szkolenia z zakresu świadomości cyberbezpieczeństwa.

• Symulowane ćwiczenia dotyczące połowów wielorybów: należy przeprowadzać ukierunkowane symulacje z udziałem kadry kierowniczej i pracowników działu finansowego, a nie ogółu personelu, ponieważ styl przekazywania informacji jest inny
• Higiena w mediach społecznościowych: należy doradzać kadrze kierowniczej, aby ograniczyła ilość informacji osobistych i zawodowych publikowanych na LinkedIn, stronach firmowych oraz platformach społecznościowych, z których atakujący czerpią dane do swoich badań

W przypadku dostawców usług zarządzanych (MSP) i dostawców usług bezpieczeństwa zarządzanych (MSSP) zapobieganie polega również na monitorowaniu wielu domen klientów jednocześnie. Scentralizowana platforma pomaga dostawcom usług wykrywać próby spoofingu, kierować klientów w stronę wdrażania odpowiednich środków oraz ograniczyć ręczne rozwiązywanie problemów związanych z rekordami DNS, SPF, DKIM i DMARC. Programy Program dla dostawców usług zarządzanych (MSP) i dostawców usług bezpieczeństwa zarządzanych (MSSP) został stworzony właśnie z myślą o takim przebiegu pracy.

Jak zgłosić atak wieloryba

Jeśli otrzymasz wiadomość e-mail, co do której podejrzewasz, że jest próbą wyłudzenia, lub jeśli uważasz, że Twoja organizacja już padła ofiarą takiego ataku, wykonaj poniższe kroki w podanej kolejności. W ciągu pierwszej godziny najważniejsza jest szybkość działania, zwłaszcza w przypadku, gdy doszło do przepływu środków pieniężnych.

1. Przestań nawiązywać kontakt. Nie odpowiadaj, nie klikaj ani nie podejmuj żadnych działań w odpowiedzi na tę prośbę.
2. Zachowaj treść wiadomości. Zachowaj ją w oryginalnej postaci i skorzystaj z narzędzia do zgłaszania incydentów używanego przez zespół ds. bezpieczeństwa, zamiast przesyłać ją dalej jako zwykłą wiadomość e-mail.
3. Zgłoś to wewnętrznie. Wyślij go do zespołu ds. bezpieczeństwa wraz z pełnymi nagłówkami, aby można było zidentyfikować źródło i zablokować je.
4. Sprawdź treść wiadomości. Zadzwoń do rzekomego nadawcy na numer, który już posiadasz, nigdy na numer podany w podejrzanej wiadomości e-mail.
5. Zresetuj ujawnione dane uwierzytelniające. Jeśli na powiązanej stronie wprowadzono jakiekolwiek dane, należy je natychmiast zmienić i włączyć uwierzytelnianie wieloskładnikowe (MFA), jeśli nie jest jeszcze aktywne.
6. Sprawdź systemy finansowe. Poszukaj nieautoryzowanych transakcji, zmienionych instrukcji płatniczych lub nietypowej aktywności.
7. Zgłoś przypadek oszustwa. Natychmiast skontaktuj się ze swoim bankiem, aby podjąć próbę cofnięcia transakcji, a następnie zwróć się do prawnika oraz organów ścigania, takich jak FBI IC3 w Stanach Zjednoczonych lub Action Fraud w Wielkiej Brytanii.
8. Powiadom zainteresowane strony. Postępuj zgodnie z planem reagowania na incydenty oraz wszelkimi obowiązującymi wymogami regulacyjnymi dotyczącymi powiadamiania.

W jaki sposób PowerDMARC pomaga ograniczyć ryzyko ataków typu „whaling”

Ataki typu „whaling” opierają się na podszywaniu się pod osoby z kierownictwa, fałszowaniu domen, domenach podobnych oraz nieautoryzowanych źródłach wysyłki. Trzy z tych czterech metod pozostawiają ślady w danych uwierzytelniających, i właśnie w tym zakresie platforma zarządzająca odgrywa kluczową rolę. Wiele organizacji publikuje rekordy DMARC, a mimo to nie jest w stanie określić, które źródła nie spełniają wymagań, i właśnie tę lukę w raportowaniu warto wypełnić w pierwszej kolejności.

• Monitorowanie i raportowanieDMARC: przeglądaj listę autoryzowanych i nieautoryzowanych nadawców, błędy uwierzytelniania oraz próby spoofingu z poziomu jednego pulpitu nawigacyjnego, zamiast analizować surowe dane XML
• Zarządzanie SPF: automatyczne spłaszczanie zapobiega błędom typu „10-lookup” w miarę gromadzenia się danych przez platformy marketingowe i narzędzia SaaS

Protokoły hostowane jeszcze bardziej zmniejszają obciążenie systemu DNS. Hostowany DKIM obsługuje rotację kluczy, hostowany MTA-STS wymusza szyfrowany transport, a raportowanie TLS-RPT ujawniają błędy dostarczania, których Twój zespół w innym przypadku nigdy by nie zauważył.

• Grupowanie domen i dostęp oparty na rolach: umożliwia zespołom korporacyjnym i dostawcom usług zarządzanych (MSP) zarządzanie wieloma domenami bez utraty kontroli nad uprawnieniami lub stanem zasad
• Wsparcie techniczne przez całą dobę: fachowe wskazówki dotyczące wdrażania, egzekwowania zasad oraz rozwiązywania problemów z uwierzytelnianiem

Zapoznaj się z przewodnik po platformie , aby sprawdzić, które źródła wysyłają obecnie wiadomości e-mail z Twojej domeny.

Najczęściej zadawane pytania

Co oznacza termin „whaling” w kontekście cyberbezpieczeństwa?

„Whaling” to atak typu phishing skierowany przeciwko członkom kierownictwa wyższego szczebla, dyrektorom finansowym lub innym osobom zajmującym wysokie stanowiska decyzyjne. Nazwa ta odzwierciedla fakt, że atakujący polują na największe „ofiary”. Atak ten nazywany jest również „phishingiem skierowanym do kadry kierowniczej”, „phishingiem wielorybów” lub „oszustwem na prezesa”.

Czy polowanie na wieloryby to to samo, co oszustwo popełnione przez prezesa?

Terminy te w znacznym stopniu się pokrywają i często są używane zamiennie. Oszustwo typu „CEO fraud” zazwyczaj odnosi się do podszywania się pod dyrektora generalnego w celu wydania polecenia osobie na niższym stanowisku. Termin „whaling” obejmuje to zjawisko oraz ataki, w których ofiarą jest sam dyrektor, a nie osoba, której tożsamość została wykorzystana.

Czy atak typu „whaling” wymaga najpierw włamania się na konto e-mailowe?

Nie. Większość ataków typu „whaling” wykorzystuje sfałszowane domeny, domeny podobne lub sztuczki związane z nazwą wyświetlaną, które nie wymagają dostępu do systemów użytkownika. Przejęcie kontroli nad kontem utrudnia wykrycie ataku, choć nie jest to warunek konieczny.

Czy ataki typu „whaling” mogą pojawić się poza pocztą elektroniczną?

Tak. Atakujący wykorzystują wiadomości SMS, połączenia głosowe, wiadomości na LinkedIn oraz platformy do współpracy, często w celu wzmocnienia prośby zawartej w wiadomości e-mail. Częstym sposobem eskalacji jest telefon z „potwierdzeniem” treści wiadomości e-mail.

Kto powinien być odpowiedzialny za ochronę przed atakami typu „whaling” w firmie – dział IT czy dział finansowy?

Oba zespoły działają na odrębnych płaszczyznach. Dział IT odpowiada za uwierzytelnianie, monitorowanie i raportowanie. Dział finansowy odpowiada za progi płatności i etapy weryfikacji. Ataki kończą się sukcesem najczęściej wtedy, gdy żaden z zespołów nie traktuje przekazywania spraw między nimi jako swojej odpowiedzialności.

Czy protokół DMARC sam w sobie jest w stanie powstrzymać ataki typu „whaling”?

Zasada typu „p=reject” blokuje ataki pochodzące z dokładnie tej samej domeny, co Twoja. Nie jest w stanie powstrzymać ataków z wykorzystaniem domen o podobnej nazwie, przejętych skrzynek pocztowych ani podszywania się pod nazwę wyświetlaną. Należy ją połączyć z uwierzytelnianiem wieloskładnikowym (MFA), monitorowaniem domen oraz procedurami weryfikacji płatności.

Ile czasu poświęcają cyberprzestępcy na zbieranie informacji o ofierze ataku typu „whaling”?

Od kilku dni do kilku tygodni, w zależności od oczekiwanej kwoty wypłaty. Okres ten służy jednocześnie jako okres wykrywania, ponieważ rejestracje domen o podobnych nazwach często mają miejsce jeszcze przed wysłaniem pierwszej wiadomości.

• O
• Latest Posts

Yunes Tarada

Ekspert ds. bezpieczeństwa domen i poczty elektronicznej w PowerDMARC

Yunes jest liderem zespołu operacyjnego w PowerDMARC z wiedzą ekspercką w zakresie uwierzytelniania i bezpieczeństwa poczty elektronicznej. Yunes jest certyfikowanym przez Microsoft Azure Administrator Associate z certyfikatami CompTIA A+ i wieloma innymi.

Najnowsze posty autorstwa Yunes Tarada (zobacz wszystkie)

• Przewodnik po konfiguracji Twikey SPF, DKIM i DMARC – 11 sierpnia 2026 r.
• Czym jest „whaling” w cyberbezpieczeństwie? – 7 sierpnia 2026 r.
• Czym jest filtr antyspamowy i w jaki sposób chroni firmową pocztę elektroniczną – 6 sierpnia 2026 r.