whaling

Whaling to odmiana spear phishingu, w której celem jest osoba z kierownictwa organizacji: prezes, dyrektor finansowy, członek zarządu. Kanadyjskie Centrum Cyberbezpieczeństwa definiuje whaling jako ataki phishingowe wymierzone w członków najwyższego kierownictwa, takich jak prezesi, których celem jest doprowadzenie do oszukańczych transakcji finansowych, na przykład nieuprawnionych płatności lub przelewów ^[1]. Nazwa pochodzi od słowa „wieloryb”: przestępcy nazywają tak osoby ważne i rozpoznawalne, bardziej narażone na phishing z powodu zajmowanego stanowiska ^[2].

Jak działa

Whaling to socjotechnika, nie włamanie techniczne. Atakujący zaczyna od rozpoznania. Kanadyjskie Centrum opisuje ten etap jako zbieranie i analizę informacji o celu, które pozwalają zbudować wiarygodny pretekst ^[1]. Źródłem jest zwykle OSINT: strona firmy, rejestry, media społecznościowe, wystąpienia publiczne.

Potem przychodzi wiadomość dopasowana do roli odbiorcy. MITRE zwraca uwagę, że kampanie oparte na podszywaniu się są często kierowane do osób, które ze względu na stanowisko lub dostęp mogą zrealizować cel atakującego ^[3]. Wiadomości zawierają słowa takie jak płatność, prośba, pilne, by skłonić ofiarę do szybkiego działania, zanim ktoś wykryje oszustwo ^[3]. Autorzy poradnika Get Cyber Safe zauważają, że przy wyższej stawce przestępcy wkładają w wiadomości więcej pracy, więc fałszywkę trudniej rozpoznać ^[2].

RYS. 1Przebieg ataku whaling

Etapy odpowiadają cyklowi ataku socjotechnicznego opisanemu przez Kanadyjskie Centrum: przynęta, zahaczenie, atak i ucieczka ^[1].

Odmiany i pojęcia pokrewne

W praktyce słowo whaling bywa używane w dwóch znaczeniach. W węższym ofiarą jest sam członek kierownictwa ^{[1] [2]}. W szerszym obejmuje też sytuację odwrotną: przestępca podszywa się pod prezesa, a ofiarą jest pracownik. Tę drugą sytuację CERT Polska nazywa oszustwem „na prezesa”, w którym pracownik dostaje od rzekomego przełożonego pilne zadanie, często związane z przelaniem dużej kwoty ^[4].

Kanały bywają różne. Obok e-maila atakujący używa telefonu, czyli vishingu, a Kanadyjskie Centrum ostrzega, że podrobione nagrania audio i wideo nie powinny być traktowane jako dowód tożsamości ^[1]. To obszar oszustw deepfake.

W WordPressie

W małej firmie właściciel bywa jednocześnie zarządem i administratorem strony. Wtedy whaling i atak na witrynę łączą się w jedną operację. W grudniu 2023 roku zespół bezpieczeństwa WordPressa ostrzegł przed kampaniami, w których przestępcy podszywali się pod „WordPress Security Team” i nakłaniali administratorów do instalacji wtyczki ze złośliwym kodem ^[7]. Zespół podkreślił, że nigdy nie prosi mailowo o instalację wtyczki ani motywu i nigdy nie prosi o login i hasło administratora ^[7].

Patchstack przeanalizował tę kampanię. E-mail powoływał się na nieistniejącą lukę CVE-2023-45124 i kierował na klon strony WordPress.org, z fałszywymi opiniami i wymienionymi z nazwiska znanymi osobami ze społeczności jako autorami „łatki” ^[8]. Instalacja wtyczki tworzyła ukryte konto z uprawnieniami administratora i tylną furtkę ^[8]. Tak powstaje fałszywa wtyczka i nieautoryzowane konto administratora.

Z tego wynika reguła dla właścicieli stron: wtyczki instaluje się z oficjalnego repozytorium wordpress.org/plugins albo z menu Wtyczki w kokpicie, nigdy z linku w e-mailu ^[7]. WordPress informuje też, że oficjalne wiadomości projektu przychodzą z domen @wordpress.org lub @wordpress.net ^[7].

Zagrożenia i skutki

Skutki są głównie finansowe. FBI IC3 zanotował od października 2013 do grudnia 2023 roku 305 033 incydenty BEC na świecie i narażone straty 55 499 915 582 USD ^[5]. W 2024 roku do IC3 wpłynęło 21 442 skargi dotyczące BEC, a straty wyniosły 2 770 151 146 USD ^[6]. Statystyki IC3 nie wyodrębniają whalingu. MITRE zauważa jednak, że w wielu przypadkach BEC sprawcy podszywają się pod znanego nadawcę, na przykład członka kierownictwa, i w ten sposób wyłudzają pieniądze albo informacje ^[3].

Drugim skutkiem jest przejęcie konta osoby z szerokimi uprawnieniami. MITRE zaznacza, że konta przejęte w jednej organizacji mogą posłużyć do podszywania się wobec kolejnych ^[3].

Jak się bronić

• Weryfikacja innym kanałem. Kanadyjskie Centrum zaleca potwierdzanie próśb przez sprawdzony, niezależny kanał i traktowanie z ostrożnością nawet dobrze napisanych wiadomości ^[1].
• Szkolenie całego otoczenia. Poradnik Get Cyber Safe zaleca przeszkolenie także asystentów kierownictwa, bo to oni często pierwsi widzą wiadomość ^[2]. Zob. szkolenia z cyberbezpieczeństwa dla pracowników.
• Ochrona domeny poczty. CERT Polska wskazuje, że wspólne działanie SPF, DKIM i DMARC utrudnia wykorzystanie domeny w spoofingu i ułatwia wykrycie fałszywej wiadomości ^[4].
• Odporne uwierzytelnianie. Kanadyjskie Centrum zaleca uwierzytelnianie wieloskładnikowe odporne na phishing, zaczynając od najważniejszych systemów ^[1].
• Sprawdzanie nadawcy. Poradnik Get Cyber Safe zaleca sprawdzenie, czy adres nadawcy zgadza się z tym, za kogo się podaje, i czy w adresie lub nazwie domeny nie ma dodatkowych liter albo cyfr ^[2]; zob. typosquatting.
• Ograniczanie informacji publicznych. Mniej danych w mediach społecznościowych to trudniejsze rozpoznanie ^[1].

Historia i przykłady

• 12 września 2023. CERT Polska omówił ustawę o zwalczaniu nadużyć w komunikacji elektronicznej, wskazując oszustwa „na prezesa” jako jedno z zastosowań fałszywych e-maili ^[4].
• Grudzień 2023. Kampania z fałszywą luką CVE-2023-45124, wymierzona w administratorów WordPressa ^{[7] [8]}.
• 11 września 2024. FBI IC3 opublikował komunikat I-091124-PSA z danymi o BEC za lata 2013–2023 ^[5].