pretexting

Pretexting to technika socjotechniczna, w której atakujący buduje wiarygodny scenariusz i fałszywą tożsamość, by uzasadnić prośbę o dane, dostęp albo wykonanie czynności. Kanadyjskie Centrum Cyberbezpieczeństwa definiuje ją jako użycie zmyślonego scenariusza lub narracji jako pretekstu do kontaktu z celem; fałszywe uzasadnienie ma sprawić, że rozmowa wyda się rozsądna, zbudować zaufanie i skłonić ofiarę do ujawnienia informacji lub udzielenia dostępu ^[1]. NIST wymienia pretexting obok phishingu, podszywania się, baitingu i tailgatingu jako formy socjotechniki ^[2].

Jak działa

Pretekst to legenda: kim jest dzwoniący, skąd dzwoni i dlaczego potrzebuje tego, o co prosi. Nie jest sam w sobie kanałem ataku. Ten sam pretekst może nieść e-mail (phishing), telefon (vishing), SMS albo rozmowa twarzą w twarz.

Pracę zaczyna rozpoznanie. Kanadyjskie Centrum opisuje je jako zbieranie i analizę informacji o celu, które pozwalają zbudować pretekst wyglądający na wiarygodny, autentyczny i godny zaufania ^[1]. Materiałem jest OSINT: struktura firmy, nazwiska, nazwy systemów, żargon. Następnie atakujący wykorzystuje znajomość, współczucie, pilność, groźby albo sygnały autorytetu, by obniżyć czujność ^[1].

MITRE ATT&CK opisuje, że napastnicy budują zaufanie w wielu kanałach, w scenariuszach „na kierownika”, „na dostawcę” albo „na dział wsparcia”, aby skłonić użytkownika do resetu hasła, zmiany ustawień MFA, zatwierdzenia płatności lub ujawnienia informacji ^[3]. Schemat poniżej pokazuje wariant z działem wsparcia.

RYS. 1Pretexting wobec działu wsparcia

MITRE podaje, że grupa LAPSUS$ dzwoniła do helpdesków ofiar i podszywała się pod prawowitych użytkowników, używając wcześniej zebranych informacji, by uzyskać dostęp do kont uprzywilejowanych ^[4].

Odmiany

Pretekst dobiera się do tego, czego atakujący potrzebuje. Tabela zbiera legendy opisane w źródłach.

Pokrewne techniki różnią się tym, co jest przynętą. W baitingu jest nią nagroda, w quid pro quo obiecana usługa ^[1]. W pretextingu przynętą jest sama historia. Polskie odmiany z pretekstem na pierwszym planie to oszustwo na policjanta / na pracownika banku i oszustwo na pomoc techniczną. Pretekst „na prezesa” łączy pretexting z BEC i whalingiem.

W WordPressie

Najlepiej udokumentowany pretekst wymierzony w administratorów WordPressa to fałszywy komunikat bezpieczeństwa. W grudniu 2023 roku zespół bezpieczeństwa WordPressa ostrzegł przed wiadomościami podszywającymi się pod „WordPress team” i „WordPress Security Team”, które nakłaniały administratorów do instalacji wtyczki ze złośliwym kodem ^[7]. Linki prowadziły do strony udającej repozytorium wtyczek w domenie niezwiązanej z WordPressem ^[7].

Legenda była starannie zbudowana. Według Patchstack e-mail informował o luce typu RCE o identyfikatorze CVE-2023-45124 i zalecał „łatkę przygotowaną przez zespół WordPressa” ^[8]. Na klonie strony umieszczono fałszywe opinie i nazwiska znanych osób ze społeczności jako autorów ^[8]. Po instalacji wtyczka tworzyła ukryte konto administratora i wysyłała jego hasło na serwer atakujących ^[8]. Efektem była fałszywa wtyczka i nieautoryzowane konto administratora.

Pretekst działał, bo odwoływał się do obowiązku, który administrator traktuje poważnie: łatania luk. Tymczasem WordPress nie wydaje poprawek w formie wtyczek wysyłanych e-mailem, tylko publikuje nową wersję rdzenia jako wydanie bezpieczeństwa ^[8]. Zespół bezpieczeństwa nigdy nie prosi mailowo o instalację wtyczki czy motywu ani o login i hasło administratora ^[7].

Zagrożenia i skutki

Skutki zależą od prośby, którą pretekst uzasadnia:

• Przejęcie konta po resecie hasła lub drugiego składnika ^[3].
• Przelew na konto przestępcy ^[3].
• Instalacja złośliwego oprogramowania, na przykład aplikacji wykorzystującej wizerunek Spółdzielczej Grupy Bankowej w kampanii FvncBot ^[6].
• Ujawnienie danych, które posłużą do kolejnego, lepiej przygotowanego ataku. Kanadyjskie Centrum zwraca uwagę, że przestępcy korzystają ze zdobytych informacji także po incydencie, na przykład używając przejętych danych logowania do innych kont albo sprzedając je ^[1].

Pretexting bywa też wprost zakazany. Amerykańska ustawa 15 U.S.C. § 6821 uznaje za naruszenie uzyskiwanie informacji o klientach instytucji finansowej przez fałszywe, fikcyjne lub oszukańcze oświadczenia wobec pracownika instytucji albo jej klienta ^[5].

Jak się bronić

• Weryfikacja innym kanałem. Kanadyjskie Centrum zaleca kontakt z nadawcą przez sprawdzony, niezależny kanał ^[1]. Oddzwaniać należy na numer z własnej książki adresowej, nie podany przez rozmówcę.
• Procedury dla helpdesku. MITRE jako środek zaradczy wskazuje dodatkową weryfikację przy resetach, zatwierdzeniach i zgodach aplikacji, czyli w miejscach typowo atakowanych przez podszywanie się ^[3].
• Uwierzytelnianie odporne na phishing. Kanadyjskie Centrum zaleca uwierzytelnianie wieloskładnikowe odporne na phishing ^[1]. Pomaga to też przeciw MFA fatigue.
• Szkolenia. MITRE podaje, że szkolenie użytkowników zmniejsza skuteczność phishingu, vishingu i podszywania się ^[3]; zob. szkolenia z cyberbezpieczeństwa dla pracowników i testy phishingowe.
• Mniej informacji publicznych. Ograniczenie danych w mediach społecznościowych utrudnia budowanie legendy ^[1].

Historia i przykłady

• Grudzień 2023. Fałszywe e-maile „WordPress Security Team” z nieistniejącą luką CVE-2023-45124 ^{[7] [8]}.
• Maj 2024. NIST w publikacji SP 800-171r3 wymienia pretexting wśród form socjotechniki, które powinno obejmować szkolenie z bezpieczeństwa ^[2].
• 30 marca 2026. CERT Polska opisał kampanię FvncBot, w której ofiara była nakłaniana do włączenia ułatwień dostępu pod pretekstem uaktualnienia systemu ^[6].