Jak zwiększyć bezpieczeństwo korzystania z e-mail i nie stać się ofiarą cyberataku? 6 porad eksperta

Zastosowanie dwustopniowego uwierzytelnienia poczty elektronicznej, posiadanie „zapasowej” skrzynki, oddzielenie spraw służbowych od prywatnych w korespondencji mailowej czy nieużywanie tego samego hasła do różnych platform – to kilka elementarnych zasad, jakie radzi stosować ekspert, by uniknąć kradzieży danych. Co więcej? 

Pierwsza rada: wybierz bezpieczny serwis pocztowy

Wbudowane w system pocztowy uwierzytelnienie dwuskładnikowe nie jest wcale tak popularne, jakby mogłoby się nam wydawać. Warto zatem wybierać takie usługi pocztowe, które kładą nacisk na aspekty cyberbezpieczeństwa. Dobrze byłoby, gdyby system poczty elektronicznej umożliwiał stosowanie dwuskładnikowej ochrony uwierzytelnienia i miał wbudowaną ochronę antyspamową, która wykrywa spam, ale też ostrzega przed phishingiem.

Jest na tyle dużo różnych platform pocztowych, że na pewno uda się wybrać odpowiednią.  “Warto sprawdzić czy dostawca systemu pocztowego oferuje także dodatkowe opcje ochrony. Czasami w przypadku darmowych skrzynek e-mail dodatkowa ochrona to opcja płatna – warto jednak rozważyć skorzystanie z niej i podnieść poziom bezpieczeństwa poczty, z której korzystamy” – wskazuje Tomasz Pietrzyk.

Druga rada: „zapasowa” skrzynka mailowa

Jesteśmy w bardzo wielu miejscach proszeni przez dostawców usług, by podawać nasz adres mailowy - niekoniecznie wtedy, gdy ma on posłużyć do poważnej operacji potwierdzenia naszej tożsamości czy dla zapewnienia możliwości kontaktu z nami w ważnych sprawach. Również wtedy, dla przykładu, kiedy dokonujemy zakupu i jesteśmy proszeni o podanie adresu e-mail celem przesyłania nam nowych promocji i reklam, czy podczas korzystania z usług, które dla uzyskania choćby tymczasowego dostępu wymagają podania adresu e-mail. Zawsze warto zwrócić uwagę komu przekazujemy nasz adres e-mail i czy została zapewniona podstawowa możliwość, którą jest opcja zrezygnowania z usługi i wyrejestrowania naszego adresu z bazy, co gwarantują nam aktualne przepisy np. RODO.

Rodzi się pytanie, czy przy tego typu okazjach musimy podawać nasz podstawowy adres mailowy, którego używamy również do komunikacji z naszym bankiem? Warto posiadać osobne konto e-mail, które możemy podać przy takiej “mniej znaczącej” okazji i dzięki temu ograniczyć rozprzestrzenianie się naszego głównego adresu.

“Warto mieć >>zapasowe konto e-mail<< na korespondencję, do której nie przywiązujemy aż takiej wagi i które nie jest używane do autoryzacji w najważniejszych dla nas systemach” – wskazuje ekspert dla CyberDefence24.pl. 

 Trzecia rada: świadomość zagrożenia

Najprostszą odpowiedzią na pytanie “Jak się chronić?” jest świadomość, że możemy być narażeni na cyberatak. Powinniśmy za każdym razem podjąć próbę zweryfikowania otrzymanej wiadomości np. dotyczącej stanu przesyłki, nawet jeśli otrzymamy e-mail w czasie, kiedy rzeczywiście będziemy czekali na dostarczenie paczki. Zwykle w poprawnej wiadomości powinno być kilka danych, które pomogą zidentyfikować jej związek z naszym zamówieniem. Może to być unikalny numer transakcji, nazwa przedmiotu, adres przesyłki. Zanim klikniemy w jakiekolwiek zawarte w wiadomości linki URL, przynajmniej sprawdźmy podstawowe dane, nie wspominając już nawet o weryfikacji nagłówka wiadomości. W razie podejrzeń, skontaktujmy się z firmą, w której dokonaliśmy zakupu i upewnijmy się, że wiadomość została nadana przez nich.

Jeśli już otworzymy link i zostaniemy tam poproszeni o podanie naszych danych, sprawdźmy adres strony i jej treść zanim podamy swoje dane. Czy znajdziemy tam jakiekolwiek referencje, które możemy odnieść do wcześniejszej korespondencji i zamówienia, jakie zrealizowaliśmy?

„Złośliwe wiadomości potrafią być tak dobrze przygotowane, że czasem naprawdę trudno się zorientować czy mamy do czynienia z poprawną korespondencją czy atakiem. Lepiej włożyć trochę wysiłku i ręcznie otworzyć stronę dostawcy lub firmy transportowej i samemu podać numer referencyjny zakupu lub przesyłki z maila niż bezrefleksyjnie kliknąć w link w mailu, który może przekierować nas na złośliwą stronę lub spowodować w tle automatyczne pobranie i uruchomienie złośliwego oprogramowania na naszym komputerze.” – uważa Tomasz Pietrzyk.

Czwarta rada: korzystanie z oprogramowania antywirusowego

Współczesny malware korzysta z technik, które mają utrudniać jego wykrycie, w szczególności przez oprogramowanie antywirusowe, korzystające z wzorców rozpoznanych wcześniej ataków. Nawet jeśli nasz antywirus przede wszystkim bazuje na sygnaturach znanych ataków, nadal jego użycie może ograniczyć ryzyko skutecznego ataku na nas. Szczególnie odnosimy to do indywidualnych osób - prawdopodobieństwo, że jesteśmy pierwszą ofiarą nowego ataku i to specjalnie przygotowanego, aby włamać się na nasz komputer jest niskie (choć oczywiście występuje!). Zwykle jesteśmy ofiarą większej kampanii malware, w której wysyłane są tysiące e-maili ze złośliwymi linkami lub załącznikami. Jednak ktoś przed nami mógł już zostać ofiarą takiego ataku, tym samym umożliwiając producentowi antywirusa opracowanie sygnatury, która zablokuje atak. Ważne, aby nasze oprogramowanie antywirusowe było aktualne i abyśmy regularnie aktualizowali bazę sygnatur. 

Zdaniem Tomasza Pietrzyka, „kolejną kwestią jest fakt, że dostępne na rynku systemy antywirusowe to już nie są te same rozwiązania, z którymi mieliśmy do czynienia jeszcze kilka lat temu”. „Ich producenci zdają sobie sprawę ze zmian technik ataków i reagują na nie przez dodawanie do oprogramowania antywirusowego nowych metod wykrywania malware. Niezależnie od funkcjonalności oprogramowania AV - jeśli nie możemy zastosować bardziej wyrafinowanych metod ochrony - zadbajmy przynajmniej o to, żeby nasz AV był aktualny. Z całą pewnością używanie komputera do komunikacji z internetem zupełnie bez systemu antywirusowego to otwarte proszenie się o kłopoty” – zaznacza.

 Piąta rada: skomplikowane hasło

Specjalista z Palo Alto Networks wskazuje kolejną zasadę: „Zwróćmy uwagę na jakość i sposób użycia haseł przez nas. Niewątpliwie ma to znaczenie, czy hasło jest łatwe do odgadnięcia lub złamania, czy jest skomplikowane - trudne hasło co najmniej spowolni atakującego, a w wielu wypadkach zniechęci. Problemem jest także unikalność haseł - czy używamy tego samego hasła w wielu serwisach? Nawet niezawiniony przez nas wyciek danych z jednego z tych serwisów naraża nasze dane w pozostałych. Zwłaszcza, że wiele systemów stosuje ten sam schemat danych identyfikujących użytkownika: jego adres e-mail i hasło. To samo hasło używane do wielu usług to otwarcie drzwi dla cyberprzestępców”.

Technologia pomaga nam ograniczyć to ryzyko bez obawy, że zagubimy się w dziesiątkach skomplikowanych haseł – w tym celu można korzystać z managera haseł. Na rynku dostępne są zarówno narzędzia płatne, jak i darmowe, działające poprzez przeglądarkę web, jak również instalowane lokalnie na naszych urządzeniach.

„Stosowanie wielu danych logowania i trudnych do odgadnięcia haseł, bez wsparcia managera haseł, może prowadzić do sytuacji, kiedy nie możemy zalogować się do serwisu i szybko sami dochodzimy do wniosku, że zapomnieliśmy hasła. Zwykle wtedy niezwłocznie uruchamiamy procedurę jego odzyskiwania, udostępnioną przez usługodawcę, która ma nam umożliwić ustawienie nowego hasła. Co jednak w sytuacji kiedy strona, do której próbujemy się zalogować, została nam podstawiona przed cyberprzestępcę? Strona do złudzenia przypomina serwis, do którego próbujemy się dostać, a połączyliśmy się, klikając link z dobrze przygotowanej wiadomości phishingowej. W tej sytuacji atakujący kontroluje również proces zmiany hasła. Czy aby na pewno zwrócimy wtedy uwagę z jakiego adresu zostaną nam przesłane maile z linkiem do zmiany hasła i potwierdzeniem jego wykonania? W efekcie cyberprzestępca pozna nie tylko nasze poprzednie hasło, które podawaliśmy przy pierwszych próbach zalogowania, jak również nowe hasło. Dlatego warto korzystać z managerów haseł zamiast tracić zaufanie do własnej pamięci i narażać się na atak.” – stwierdza rozmówca CyberDefence24.pl.

Porada szósta: klucze U2F

Ostatnia porada eksperta: „Dla skutecznego zabezpieczenia konta pocztowego, rekomendowane jest stosowanie urządzeń - kluczy U2F (Universal 2nd Factor), które stanowią dodatkowy składnik uwierzytelnienia - indywidualnie do strony, na której ten składnik jest używany. Jeżeli cyberprzestępca podstawia nam stronę, to będzie miała ona inny adres niż strona docelowa. W efekcie nie będzie na niej działać dodatkowe uwierzytelnienie. Zakup klucza U2F wiąże się z wydatkiem, ale warto w niego zainwestować, jeśli chcemy znacznie podnieść bezpieczeństwo naszego konta pocztowego lub innych kont internetowych, nawet w stosunku do typowego uwierzytelnienia dwuskładnikowego wykorzystującego SMS lub e-mail.” – podsumowuje ekspert.

/NB

Chcemy być także bliżej Państwa – czytelników. Dlatego, jeśli są sprawy, które Was nurtują; pytania, na które nie znacie odpowiedzi; tematy, o których trzeba napisać – zapraszamy do kontaktu. Piszcie do nas na: [email protected]. Przyszłość przynosi zmiany. Wprowadzamy je pod hasłem #CyberIsFuture.