Najopasnija digitalna poruka ne mora izgledati tehnički sumnjivo. Phishing i druge metode socijalnog inženjeringa često pokušavaju uvjeriti osobu da sama preda podatak, odobri prijavu ili uplati novac. Napadač zato više ulaže u priču i osjećaj hitnosti nego u „hakiranje“ uređaja. Poruka može imitirati banku, dostavnu službu, javnu instituciju, kolegu ili člana obitelji.
Hitnost je signal za provjeru
Česta taktika je stvaranje kratkog roka: račun će biti blokiran, paket vraćen ili prilika izgubljena ako se odmah ne reagira. U takvoj situaciji korisno je prekinuti tijek koji nameće poruka. Umjesto klika na poveznicu, službenu stranicu treba otvoriti zasebno preko poznate adrese ili aplikacije. Ako je zahtjev stvaran, obavijest će se često vidjeti i ondje.
Ime pošiljatelja nije dovoljan dokaz. Adresa e-pošte može izgledati slično pravoj, a broj telefona može biti prikazan na način koji stvara lažan osjećaj povjerenja. Čak i točan podatak o osobi ne znači da je poruka legitimna, jer dio osobnih podataka može biti javno dostupan ili ranije kompromitiran.
Podaci koje ne treba predavati na zahtjev
Lozinka, PIN, jednokratni kod za potvrdu i potpuni podaci kartice ne bi se trebali dijeliti osobi koja ih neočekivano traži porukom ili pozivom. Posebno je važno razumjeti da jednokratni kod često služi upravo kao potvrda radnje. Ako ga korisnik preda napadaču, tehnička zaštita može biti zaobiđena njegovom vlastitom potvrdom.
Za starije korisnike korisno je unaprijed dogovoriti jednostavno pravilo: kod financijske poruke koja stvara pritisak prvo nazvati banku preko službenog broja ili zatražiti drugo mišljenje. Ta se navika nadovezuje na naš vodič o financijskoj pismenosti umirovljenika.
Što učiniti nakon sumnjivog klika
Ako je osoba samo otvorila poruku, rizik nije isti kao kada je unijela lozinku ili odobrila plaćanje. Nakon predaje vjerodajnice treba promijeniti lozinku preko službene stranice, provjeriti aktivne sesije i uključiti dodatnu autentikaciju gdje je dostupna. Kod financijskih podataka treba bez odgode kontaktirati banku. Sumnjivu poruku može se prijaviti pružatelju usluge i nadležnim tijelima.
Prilikom korištenja digitalnih javnih usluga vrijedi isto pravilo: do portala dolaziti poznatim putem, a ne preko neočekivane poveznice. Za opće vijesti dodatna zaštita je medijska pismenost, jer lažne informacije i prijevare mogu koristiti slične tehnike emocionalnog pritiska.
Sigurnost je skup malih odgoda
Nijedna pojedinačna provjera nije savršena. Najviše pomaže kombinacija: jedinstvene lozinke, višefaktorska autentikacija, ažuriran uređaj, provjera domene i navika da se osjetljiva radnja ne potvrđuje pod pritiskom. Takav postupak možda traje minutu dulje, ali napadaču oduzima najvažniju prednost — brzinu kojom želi pretvoriti zbunjenost u radnju.
Digitalna sigurnost nije stručna disciplina rezervirana za informatičare. Za građane je to svakodnevna sposobnost prepoznati kada komunikacija traži više povjerenja nego što je opravdano i pronaći drugi, neovisni način provjere.
Dodatnu zaštitu daje razdvajanje kanala. Ako poruka e-pošte traži hitnu uplatu, potvrdu je bolje obaviti telefonskim brojem iz ranije poznatog imenika ili službene stranice, a ne brojem navedenim u istoj poruci. Napadaču je mnogo teže istodobno kontrolirati dva neovisna kanala nego uvjerljivo imitirati jednu poruku.