Děkuji jednomu z uživatelů, který mi poslal tento obrázek.

Jak poznám, že je to falešný web?

1. doména je webhostapp.com <- není to mendelu.cz!
2. V emailu vás někdo žádá, abyste vyplnil svoje údaje, zatímco Vás přesměruje na tento „falešně vypadající web“, snažící se napodobit, že se jedná o mendelácký web, ačkoliv nahoře v URL adrese není mendelu.cz.
3. Přihlašovací formulář vás žádá o přihlášení na již dávno zrušený server mail.mendelu.cz

Zase jsem na to kliknul a zadal svoje přihlašovací údaje do UISu, co teď?

Návod na změnu hesla v UISu je zde.

Mnohým z Vás přišel tento email. Jedná se o spam, nereagujte na něj, nahlašte ho jako útok phising. Pravým tlačítkem na email v seznamu emailu a nahlásit jako útok phising, nebo alespoň nalásit jako SPAM. Děkuji.

Od: ADMIN-ICT-Mendel University in Brno <fshingsteel@gmail.com>
Date: út 8. 9. 2020 v 10:23
Subject: Webmail@mendelu.cz
To:

Překročili jste maximální obsah poštovní schránky

Přeneseme všechny e-mailové účty do aplikace Outlook Web

2020 a jako takoví musí všichni aktivní držitelé účtu potvrdit
a přihlaste se, aby se aktualizace a přenos projevily hned.

To se provádí za účelem zvýšení bezpečnosti a účinnosti díky
nedávné světové události covid-19 a doporučujeme vám
jednat a pomoci nám aktualizovat náš server. Sloužit
Zadejte prosím podrobnosti níže:

Jméno a příjmení:
Email ID:
Heslo k emailu:
Datum narození:

Upozornění: Pokud tak neučiníte, bude váš účet deaktivován do 72 hodin.

Děkujeme, že používáte naši službu!
Pozdrav,

Webmail@mendelu.cz

Internetové služby a zákaznický servis ICT

Jak poznám Spam a Phisingový útok?

Podívejte se na předchozí články, ve kterých jsem se phisingům a dalším typům útoků věnoval.

Jedná se o spam útočící na uživatele mendelu. Na nic prosím neklikejte.

Obsah SPAMU

Od: IT HelpDesk Service <helpdeske@mendelu.cz>
Odesláno: pondělí 16. března 2020 2:31
Předmět: Kritické varování / upgrade nyní 

Vážený uživateli webmailu.

Platnost vašeho e-mailového účtu brzy vyprší, KLIKNĚTE ZDE přihlaste se do svého e-mailu a hesla a upgradujte svůj účet na neomezené! Pokud toto oznámení ignorujete, bude váš e-mailový účet deaktivován:
Správce webmailu.

Co jste mohli vidět po kliknutí

Útočník po vás chtěl, abyste mu na „jeho webu“ zadali vaše přihlašovací údaje do mendelu. Takto by získal přístupové údaje, aby mohl dále útočit vaším jménem na další uživatele univerzity. A pozor když je tam napsáno mendelu-cz.cabanova.com tak to není web mendelu.cz. Útočník chytře využil webu cabanova.com, kde si vytvořil stránku s názvem mendelu-cz a vytvořil si přihlašovací údaje pro přihlášení do horde mail. I kdybyste na odkaz kliknuli, už vám musí být podezřelé, že u nás nikdo Horde mail nepoužívá.

Jenže já už na to klikl/a, CO TEĎ?

Pokud jste již na něco kliknuli, změňte si prosím heslo do UISu zde.

Jak se příště nespálit

• Útočníci používají často špatnou češtinu prohnanou strojovým překladem
• Není to sice záruka, ale útočník se vám většinou nebude podepisovat konkrétním jménem a funkcí na fakultě, ale vždy jen „správce služby“, „správce emailu“, „správce webmailu“.
• Útočník vám poskytne odkaz, který se nachází MIMO mendelovu univerzitu, v tomto případě to bylo na webu cabanova.com, snadno to poznáte podle horního URL adresního řádku, že se web nenachází na doméně cokoliv.mendelu.cz, jako náš web (it.ldf.mendelu.cz)
• Útočník vás žádá či vyzývá k zadání hesla a přihlašovacích údajů a snaží se ve vás vzbudit urgenci „končící služba“, „upgrade/vylepšení“, „bezpečnostní upozornění“ apod..
• Útočník v tomto případě útočil z jiného napadeného počítače, ze kterého získal přihlašovací údaje pro odesílání emailů (protože mu dobrovolně někdo z vás poskytl svoje přihlašovací údajeú) a dále všem rozesílá SPAM dokud ho ručně kolegové z OIT nezablokují. Email vám proto přišel z neexistující adresy helpdeske@mendelu.cz, nikoliv z konkrétního jména a příjmení, jak jste zvyklí.
• Varujte ostatní uživatele, zejména ty nejméně počítačově zdatné na vašem ústavu. Pomůžete nám, sobě, jemu.

Děkuji za přečtení emailu až do konce. Email s tímto odkazem vám hromadně rozeslala fakultní integrátorka Alice Malá. Berte to nejen jako upozornění, ale i jako školení bezpečnosti.

Ukázka obsahu emailu

Zdravím,
Po prozkoumání dokumentů za minulý 2019 rok jsme zjistili, že jste nezaplatili dluh za žádost č. #06466285 částka 22 384,00 Kč která je splatná 15. prosince 2019 roku.
My máme naději, že je to jen neúmyslně a vy vnesete tuto částku jakmile  se seznámíte s tímto dopisem.
Pokud jste již zaplatili tuto dluh, buďte laskaví dejte nám vědět co nejdříve data v datu a způsobu placení.
S pozdravem,
Marek Blažek

Toto je už dost sofistikovaný email, rozeberme si ho:

Zdravím,
Po prozkoumání dokumentů za minulý 2019 rok jsme zjistili, že jste nezaplatili dluh za žádost č. #06466285 částka 22 384,00 Kč která je splatná 15. prosince 2019 roku. (zde vidíme strojový překlad do češtiny, viz přeškrtnuté nevhodně umístěné „roku“ a množné číslo.)
My máme naději, že je to jen neúmyslně a vy vnesete tuto částku jakmile  se seznámíte s tímto dopisem. (opět strojový překlad, věta nedává smysl, takto ji čech nenapíše)
Pokud jste již zaplatili tuto dluh, buďte laskaví dejte nám vědět co nejdříve data v datu a způsobu placení. (opět strojový překlad, skloňování, buďte laskaví neznačí email napsaný čechem, nesmyslné, nelogické)
S pozdravem,
Marek Blažek

Adresa ze které byl email poslán dokazuje, že se jedná o falešnou stránku bez obsahu:

Co mám dělat

Na email neklikejte, přílohu NEOTEVÍREJTE, hrozí zavirování počítače a ztráta všech vašich dat. Dejte Označit jako útok phising a zpráva se smaže a automaticky tak varujete další uživatele.

V záhlaví emailu klikněte na 3 tečky

A dejte označit jako útok phising:

Některým z vás chodí emaily, ve kterých je zvláštní čeština, jako na uvedeném obrázku:

Jiné varianty phisingu:

Větší problém nastává v okamžiku, kdy se útočník vydává za nějakého uživatele univerzity, aby tomu dodal důvěryhodnost.

To, že vám dojde email např. z:

liborjankovskyprofdring@gmail.com

neznamená, že se jedná o skutečného děkana Prof. Libora Jankovského, který používá fakultní email libor.jankovsky@mendelu.cz či jankov@mendelu.cz.

Jak tedy v o365 blokovat a nahlašovat phisingové útoky?

Máme v O365 otevřenou zprávu a chceme ji nahlásit jako phising, tak vpravo nahoře vidíme hned vedle možnosti odpovědět, odpovědět všem, přeposlat ikonku 3 teček. Klikněte na ikonku 3 teček … a vysune se následující menu, kde dáte označit jako phising.

Pokud vidíte pod možností „Nahlásit jako útok phising“ možnost „blokovat odesilatele“ adresu <cokoliv>@mendelu.cz, tak adresu prosím NEblokujte. Ale pokud tam uvidíte nějakou podezřelou adresu z gmailu, nebo yandex.com, yandex.ru a další typy adres, ze kterých s vámi uvedená osoba nikdy nekomunikovala, buďte na pozoru a pokud se ve zprávě nachází podobná zvláštní čeština, nahlašte phising útok.

Co je to Phisingový útok

Phising útok nejčastěji v podobě emailu se od vás snaží si vyžádat vaší pozornost, anebo vaší odpověď útočníkovi, či předání nějakých soukromých údajů, kterých útočník pak zneužije proti vám, protože se vydává za osobu, kterou není. Často tak útočníci chtějí, aby jim oběť odpověděla, čímž si ověří, že je emailová schránka na živu.

NIKDY na takové emaily neodpovídejte útočníkovi a nahlašte je jako Phising útok. Po kliknutí na uvedené 3 tečky kliknete na možnost Označit jako útok phising a problém je pro vás vyřešen.

Co je to phising

vše už bylo mnohokrát zmíněno na jiných webech, proto využijme např. článku o Phisingových útocích na webu hoax.cz.

Jak poznat, že se jedná o spam či Phising

Co dělat?

Už jsem na to klikl/a, co teď?

Ukázka certifikátu útočníkova webu

1. Útočník se nenamáhal používat žádný certifikát. (I kdyby útočník použil let’s encrypt certifikát, měl by v takovém případě jinou doménu, než něco.mendelu.cz či mendelu.cz, jak lze vidět v obrázcích v předchozích odstavcích bod 5 a bod 6.)
2. Místo zámečku se nachází jen nápis „Nezabezpečeno“
3. Místo domény mendelu.cz vidíme v horním URL adresním řádku pro zadávání internetových adres, jinou adresu, než je mendelu.cz či cokoliv.mendelu.cz

Patrně vám přišel tento email:

Drahý uživateli

V poslední době jsme si všimli, že příliš mnoho phishingových pošty požaduje vaše osobní údaje. Nesouhlaste s jejich žádostí. vytvořili jsme přihlašovací e-mail pro zabránění phishingu, aby se zabránilo phishingu. Klepnutím na níže uvedenou adresu URL aktivujete zabezpečení proti phishingu.

https://mail.mendelu.cz/horde/imp/login.php?

Doufáme, že tento přechodový zpravodaj bude užitečný.


Všechno nejlepší

IT ředitel
Itservice@mendelu.cz

JE TO PHISINGOVÝ ÚTOK, NEKLIKAT, NEZADÁVAT VAŠE PŘIHLAŠOVACÍ ÚDAJE!

Poznáte to velmi snadno:

• „Drahý uživateli“  Už jste někde viděli email, že by Stratos psal „Drahý uživateli?“
• Nepsal to Stratos…Co přijde od „IT ředitele“ a nepsal to Stratos, tak tomu nevěřte.
• Skloňování. „V poslední době jsme si všimli, že příliš mnoho phishingových pošty“. „Že příliš mnoho phisingových pošty?“ Myslíte si, že by někdo poslal hromadnou zprávu, přeloženou googlem z angličtiny?

• „Všechno nejlepší“. Kdo se s vámi v emailu v den, kdy nemáte narozeniny, někdy loučil pozdravem „všechno nejlepší“? A jestli dnes máte opravdu narozeniny, tak Všechno nejlepší! 🙂 

• Pokud vám dává email větší smysl, kdyby byl přeložený v angličtině jak významově, tak logickou stavbou, tak máte téměř 100% potvrzení, že jde o SPAM či Phising.
• Při namíření na podtržený odkaz (my jsme pro účely tohoto článku odkaz odebrali) zjistíte, že to je odkaz úplně na jiné doméně v tomto případě na webhostapp.com. Pokud někdy míří nějaký odkaz vyžadující vaše přihlášení do pošty na jinou doménu, než na mendelu.cz, pak je to patrně SPAM/Phisingový útok snažící se z vás vylákat vaše přihlašovací údaje.
• NIKDY po Vás NIKDO nebude chtít zadávání vašich přihlašovacích údajů na nějaký formulář. Zloději taky nedáte na požádání PIN své kreditní karty, nedělejte tutéž chybu s přihlašovacími údaji na univerzitu.

Co je to Phising?

Útočník rozpošle hromadné emaily tisícům uživatelů na internetu, vydává se za IT podporu a žádá je, aby se skrze odkaz ve formuláři přihlásili. Po kliknutí na odkaz přesměruje uživatele na svůj vlastní formulář, kde mu uživatelé dobrovolně v domnění, že si mění heslo, zadají své platné přihlašovací údaje. Nikdy nebylo tak snadné uživatelům vykrást bankovní konto, ukrást jejich identitu se znalostmi hesel k jejich poště, jako právě v dnešní době, kdy lidé věří, že je země placatá, věří falešným zprávám a neověřují si původ předkládaných informací. Buďte proto podezíraví!

Už jsem na to kliknul, co teď?

Pokud jste do formuláře vyplnili jakékoliv své přihlašovací údaje, proveďte změnu hesla v UISu na odkaze:

https://is.mendelu.cz/auth/system/zmena_hesla.pl?

Počkat, počkat, nedělám právě stejnou chybu, že někam zadávám svoje údaje?

Když se podíváte na stránce nahoře, uvidíte, že se jedná o adresu is.mendelu.cz.

Současně se můžete přesvědčit, že když kliknete nahoru na Mendel University in Brno [CZ], tak uvidíte, že je Certifikát platný a když kliknete dál:

Tak uvidíte, do kdy certifikát platí, že je skutečně vystaven pro is.mendelu.cz.

A v případě kliknutí na záložku „Cesta k certifikátu“ už uvidíte pod jakou certifikační autoritu bezpečnostní certifikát spadá, „že jsme to skutečně my“:

Máte tedy jistotu, že svoje údaje zadáváte šifrovaně opravdu is.mendelu.cz a že tak konáte na základě předložených bezpečnostních certifikátů.

Jak teda poznám web útočníka?

V případě útočníka na webu, jde po kliknutí na zobrazit certifikát vidět tohle:

Jak vidíte, tak v kolonce „vystaveno pro:“ není mendelu.cz ani is.mendelu.cz, či jakákoliv jinádoména.mendelu.cz, ale 000webhostapp.com, ačkoliv se web snaží tvářit, že patří pod mendelu.cz.

Jak si vymyslet dlouhé, celkem bezpečné a zapamatovatelné heslo?

Přečtěte si tento článek, velmi vám pomůže ve vymýšlení hesla tak, abyste ho druhý den nezapomněli:

https://it.ldf.mendelu.cz/index.php/2018/11/22/bezpecnost-jak-si-vymyslet-slozite-heslo-ktere-nezapomenu/