Kliknąłem podejrzany link: co zrobić po próbie phishingu

Tylko otworzyłeś stronę

Nie pobieraj plików, nie zatwierdzaj powiadomień ani próśb o dostęp. Zapisz adres i wiadomość, która Cię tam skierowała. Sprawdź, czy przeglądarka i system są aktualne oraz czy nastąpiło pobranie pliku. Jeśli niczego nie podałeś i nie uruchomiłeś, dalsze działania dobiera się do objawów; masowe resetowanie wszystkich kont nie zastępuje rozpoznania zdarzenia.

Podałeś dane lub wykonałeś działanie

• Hasło lub kod: z innego zaufanego urządzenia otwórz oficjalną usługę. Zmień ujawnione hasło, sprawdź sesje i metody odzyskiwania. Sam kod mógł umożliwić utworzenie nowej sesji.
• Dane płatnicze albo zatwierdzona operacja: skontaktuj się z bankiem jego znanym oficjalnym kanałem i opisz zdarzenie. Nie korzystaj z numeru podanego na podejrzanej stronie.
• Uruchomiony plik lub udzielony zdalny dostęp: odłącz podejrzany komputer od sieci i zgłoś go administratorowi lub pomocy technicznej. Do zmiany haseł używaj innego sprzętu.

Zachowaj informacje potrzebne do wyjaśnienia

Zanotuj czas, urządzenie oraz czynności wykonane po kliknięciu. Zachowaj wiadomość i nazwę pobranego pliku, nie uruchamiając go ponownie. W firmie powiadom administratora nawet wtedy, gdy nie ma jeszcze widocznych szkód. Podejrzaną stronę lub wiadomość można zgłosić przez oficjalny formularz CERT Polska.

Krótka notatka, która pomaga dobrać właściwe działania

Zanim zaczniesz naprawę, odtwórz przebieg zdarzenia. Możesz zapisać: „SMS o paczce, otwarta strona, wpisany e-mail, bez hasła i bez pobierania plików”. Inny opis to: „formularz logowania, wpisane hasło i kod, później zatwierdzone powiadomienie w telefonie”. W drugim przypadku trzeba sprawdzić dostęp do konta, nawet jeśli strona na końcu pokazała błąd.

Nie pomijaj działań ze wstydu ani obawy przed oceną. Informacja o uruchomionym programie lub zgodzie na połączenie zdalne zmienia sposób pomocy. W firmie szybkie, dokładne zgłoszenie jest bardziej użyteczne niż samodzielne usuwanie historii, aby nie było widać kliknięcia. Nie trzeba znać nazwy ataku, żeby zgłosić konkretne czynności.

Czy pobrany plik oznacza, że komputer został zainfekowany?

Sam fakt zapisania pliku i jego uruchomienie to różne sytuacje. Sprawdź historię pobierania bez ponownego otwierania pliku. Zanotuj nazwę, czas oraz to, czy pojawiła się prośba o instalację lub uprawnienia administratora. Jeżeli nie pamiętasz, powiedz to wprost osobie pomagającej. Nie próbuj uruchamiać pliku drugi raz, by „sprawdzić, co robił”.

Jak sprawdzić efekt reakcji na phishing

• Przy ujawnionym haśle sprawdź, czy zostało zmienione we właściwej usłudze i czy zidentyfikowano konta, na których używałeś tej samej wartości.
• Przy podaniu kodu przejrzyj dostępne sesje i metody uwierzytelniania. Zapisz nieznane zmiany; sam brak kolejnego SMS-a nie potwierdza bezpieczeństwa.
• Przy zdalnym dostępie poproś o ocenę urządzenia przed ponownym korzystaniem z bankowości i ważnych kont.
• Zachowaj numer zgłoszenia oraz uzgodnione dalsze kroki. Dzięki temu wiadomo, kto zajmuje się problemem i czego jeszcze nie sprawdzono.

Czy usunięcie SMS-a albo wyczyszczenie historii wystarczy?

Nie cofa podania hasła, zatwierdzenia logowania ani uruchomienia programu. Może natomiast usunąć informację potrzebną do odtworzenia zdarzenia. Najpierw zachowaj wiadomość i ustal zakres reakcji. Podejrzany link można przekazać CERT Polska przez oficjalny formularz bez wchodzenia ponownie na fałszywą stronę.

Kiedy przerwać samodzielne próby

Obce sesje wracające po zmianach, nieznane reguły poczty i aktywne szyfrowanie plików wymagają dalszej analizy. Nie instaluj przypadkowych „czyścicieli” z reklam. Pomoc powinna zacząć się od ustalenia zakresu zdarzenia, a nie od bezwarunkowej reinstalacji i usunięcia informacji o incydencie.