Dobrý den, na začátku zimního semestru byl proveden test připravenosti studentů ČZU na phishingový 1 útok, s cílem zjistit povědomí studentů o této problematice. Dne 8.10.2008 byl všem studentům v rámci ČZU rozeslán hromadný email na studentské schránky následujícího znění: Dobrý den, po chybě na záložním disku způsobené dodavatelskou firmou bohužel došlo ke smazání části databáze, kde byly uloženy informace o studentovi z IS Studium (hroch). Není však žádný důvod k panice! Výpadek se většiny studentských kont nedotkl, obnovili jsme zálohu z předcházejícího dne, ale přesto Vás tímto prosíme, abyste si zkontroloval(a), zda jsou Vaše údaje v pořádku. V případě reklamací se prosím obraťte přímo na Odbor informačních a komunikačních technologií - Internetový pavilon - dveře č.003 (supl@oikt.czu.cz). Přihlašte se, prosím, do IS STUDIUM (hroch) a zkontrolujte si všechny své údaje: vstup do IS studium - hroch. Za případné způsobené problémy se předem omlouváme. Děkujeme za pochopení. Bezpečnostní manažer OIKT Odkaz v uvedené zprávě neukazoval na oficiální stránky informačního systému HROCH, ale na stránku http://hrochphp2-czu.xf.cz/erudio/login.php. Ve skutečnosti se jednalo testovací phishingový útok na uživatele a k žádným problémům s IS nedošlo. Tento útok je však falešný a iniciátorem byla sama Česká zemědělská univerzita v Praze (ČZU), konkrétně potom Odbor informačních a komunikačních technologií (OIKT). Cílem simulovaného phishingového útoku bylo: Vyzkoušet reakce studentů a odpovědných zaměstnanců. Připomenout vážnost hrozby phishingu. Analyzovat informační toky a navrhnout možnosti jejich optimalizace. O připravované akci bylo informováno vedení univerzity a také vlastní domény, kde byly stránky umístěny. 1 - Phishing je podvodná technika používaná na Internetu k získávání citlivých údajů (hesla, čísla kreditních karet apod.) od obětí útoku. Jejím principem je rozesílání e-mailových zpráv, které se tváří jako oficiální žádost banky či jiné podobné instituce a vyzývají adresáta k zadání jeho údajů na odkazovanou stránku. Tato stránka může například napodobovat přihlašovací okno internetového bankovnictví a uživatel do něj zadá své přihlašovací jméno a heslo. Tím tyto údaje prozradí útočníkům, kteří jsou poté schopni mu z účtu vykrást peníze. - http://cs.wikipedia.org/wiki/phishing. Odbor informačních a komunikačních technologií,, Kamýcká 129, 165 21 Praha 6
Z hlediska studentů nehrozila žádná rizika, protože falešná stránka v žádném případě nezaznamenávala ani neodesílala hesla uživatelů. Ze statistických důvodů byla zaznamenána pouze vyplněná uživatelská jména, verze prohlížeče, IP adresa počítače, datum a čas vyplnění. Údaje nebyly spojovány se jmény uživatelů, ale byla provedena analýza dat například dle ů a oborů studia. Nejzákladnější znaky phishingového útoku: - Žádost o osobní údaje. Všechny seriózní organizace dodržují pravidlo, že nesdělují, ani po Vás nežádají jakékoli citlivé informace pomocí emailu a v drtivé většině ani jinak. Za tyto informace jsou považovány například rodné číslo, hesla pro přístup do důležitých aplikací, PIN kód, číslo účtu atd. - Odkazování na nenadálou situaci, která potřebuje okamžité řešení (havárii, selhání systému, pokus o krádež atd.) - Falešný odkaz, na který máte přímo ve zprávě kliknout. Tento odkaz má jiné návěstí, než je potom skutečné místo, na které odkazuje. - V odkazované adrese je obsažen znak @. Prohlížeče často ignorují vše, co je napsáno před zavináčem (např. odkaz www.czu.cz@www.kamkoli.com Vás odkáže na stránku www.kamkoli.com, ne na web ČZU). - Ve zprávě je obsažen obrázek, na který máte klikat. - Jsou použity odkazy, které se velmi podobají oficiálním stránkám (např. www.ceskazemedskauniverzta.cz, www.hroch.czv.cz atd.) Základní pravidla pro obranu proti phishingu: - Neodpovídat na zprávy, ve kterých po Vás někdo žádá citlivé informace. - Nikdy v nešifrovaných e-mailových zprávách neodesílat citlivé informace (PIN, hesla, rodné číslo a podobně). Obdobná pravidla platí i pro telefonické hovory. Stále více se rozmáhá i sociální inženýrství. Jakékoli heslo by vždy mělo sloužit jen Vám, proto je nesdělujte ani kamarádům. - Neklikat na žádné odkazy v podezřelých mailech. Pokud už zmiňovaný web chcete navštívit, otevřete si nové okno internetového prohlížeče a adresu napište ručně. - Používejte aktualizovaný antivirový program, osobní firewall a prohlížeč, který je schopný některé podvodné stránky sám odhalit. - Sledujte u důležitých akcí, zda se opravdu dostanete na stránku, kterou předpokládáte (kontrola řádku s adresou po načtení stránky). Základní postupy při podezření na phishingový útok: Pokud máte podezření důvodné podezření, že se jedná o phishingový útok, postupujte následovně. - Rozhodně nikam nezadávejte žádné údaje. Stránku opusťte. - Kontaktujte správce stránek, které jsou napadené (v případě ČZU například pracoviště Helpdesk, bezpečnostního technika, kohokoli z IT oddělení) - Pokuste se kontaktovat majitele hostitelské domény, na které je podvodná stránka umístěna. Odbor informačních a komunikačních technologií,, Kamýcká 129, 165 21 Praha 6
- Upozorněte na podezřelé stránky (kamarádi, internetové vyhledávače atd.) Rizika: - Mimo ČZU například neoprávněný přístup k internetovému bankovnictví, poště a dalším systémům - Na ČZU například změna účtu, na který probíhá výplata stipendií, změna rozvrhu, termínů zkoušek, zneužití uživatelského účtu při přístupu k systémům atd. Celkový počet studentů, kteří odeslali svůj login během testovacího období (od středy 8.10. - 13:00 do pátku 17.10. - 22:00) - byl 2253 (pouze správně zadaný login bez duplicit). Detaily testu: Test prováděli: Ing. Václav Lohr (KIT PEF, OIKT) Ing. Petr Benda (KIT PEF, OIKT) (OIKT) Dále o testu byli informováni: Ing. Jiří Boháček (kvestor ČZU) Ing. Ondřej Hradecký (vedoucí OIKT) Marian Bartl (vedoucí správy sítí ČZU) Provozovatel serveru, na kterém byly stránky umístěny Ostatní zaměstnanci ani studenti nebyli o testu informováni v zájmu co největšího utajení. Celkem bylo rozesláno 22822 zpráv na školní e-maily studentů (vzor: xnovp999@studenti.czu.cz). Rozesílání samotné trvalo 61 minut (12:55 13:56) a jako odesílatel byla udána reálná adresa helpdesk@czu.cz. Zprávy byly odeslány ze serveru Katedry informačních technologií - kit.pef.czu.cz, což se dalo bez problému zjistit z hlavičky zprávy. Reakce studentů a zaměstnanců: První reakce zaměstnanců univerzity byla zaznamenána 8.10. v 16:20, kdy jsem byl telefonicky upozorněn na podezřelý e-mail. Druhá reakce byla v 18:01, následující druhého dne v ranních hodinách. Celkem bylo vyhodnoceno 13 reakcí během 24 hodin, nutno však podotknout, že zaměstnanci se informovali mezi sebou navzájem a proto nelze hodnotit počet samotný, ale jen první reakce. První reakce studenta byla doručena na mou e-mailovou adresu 8.10. v 17:55. První reakce na adresu helpdesk@czu.cz byla od téhož studenta v 18:22. Celkem bylo za sledované období 8.- 17. 10. 2008 zaznamenáno 32 reakcí od studentů. Studenti, kteří potenciální nebezpečí oznámili byli požádáni o nerozšiřování informací. V 17:58 jsem elektronicky obdržel upozornění od provozovatele serveru, na kterém byla stránka umístěna. Protože byl tento test předem avizován, nedošlo k smazání stránky. Při Odbor informačních a komunikačních technologií,, Kamýcká 129, 165 21 Praha 6
skutečném útoku by v tento čas již byla stránka smazána, pokud by nebyla umístěna na soukromém serveru. Chování internetových prohlížečů: Jako první na riziko upozorňoval Google Chrome během necelých 20 hodin (údaje nejsou zcela přesné, může se jednat o dobu o něco kratší). Následně máme zjištěné i upozornění prohlížeče Mozzila Firefox verze 3.x a to až zhruba 9. 10. 2008 kolem 21:00. Ostatní prohlížeče na potencionálně podvodnou stránku nezareagovali vůbec nebo s ještě větším zpožděním. Statistiky vyplněných loginů: Celkem vyplněn login: 2590 Z toho: Prázdný odeslaný login 26 Nesprávný (i s prázdnými) 177 Správně, ale duplicitně 160 Nachytaní: Zadaných už.jmen (bez duplicit a chyb) 2253 Počet lidí, kteří navštívili, ale nevyplnily nic 1661 Procento lidí, kteří navštívili a nic nevyplnili 39,07 Procento nachytaných lidí ze všech mailů 9,87 1. 2. 3. 4. 5. Nachytaní 734 595 427 226 271 2253 Všichni 8250 5250 4066 2944 2312 22822 Procent z u 8,90 11,33 10,50 7,68 11,72 1. 2. 3. 4. 5. INFO všichni 370 341 278 130 145 INFO nachytaní 32 45 31 15 19 Procento z informatiků 8,65 13,20 11,15 11,54 13,10 Počet studentů, kteří zadali login do doby potenciálního odstranění stránky (8.10.2008 17:58): 290 Počet studentů, kteří zadali login do doby, než byla stránka poprvé ohlášena zaměstnanci ČZU (16:20 + 1 hodina na rozeslání a doručení upozorňujícího mailu studentům) = 8.10. 2008 17:20: 240 Odbor informačních a komunikačních technologií,, Kamýcká 129, 165 21 Praha 6
Celkový počet studentů, kteří odeslali svůj login byl 2253 (pouze správně zadaný login bez duplicit). Seznam zachycených loginů dle oborů a ů studia: Celkový Obor 1 2 3 4 5 součet ABE 6 6 ABEKS 2 2 ABPC 19 19 ABPCKS 13 13 ABPH 11 2 1 14 ABPP 6 3 2 11 ABPPKS 3 1 2 6 ABPS 23 14 7 44 ABPSKS 6 7 1 14 ABR 2 3 1 6 ABRKS 2 1 1 4 ABV 3 3 ABVKS 4 4 ABZ 8 4 3 15 ABZKS 1 2 1 4 ABZP 2 2 ABZU 10 4 1 15 AEM 2 5 7 AMBKS 3 3 AMBO 2 4 6 AMGB 3 1 4 AMH 2 1 3 AMK 1 1 2 AML 5 5 AMPKS 3 2 5 AMPP 3 3 AMPS 2 1 3 AMPV 1 1 AMRKS 1 1 AMVKS 1 1 AMVV 2 2 AMZO 6 3 9 AMZZ 2 1 3 ATP 3 4 6 13 ATPKS 1 3 4 ATZK 9 1 10 ATZP 4 6 10 ATZPKS 2 1 3 ATZR 4 4 8 ATZRKS 1 1 2 ATZV 1 1 Odbor informačních a komunikačních technologií,, Kamýcká 129, 165 21 Praha 6
ATZVKS 2 1 3 ATZZ 13 1 6 20 BDREV 7 4 2 13 BEKOL 19 10 19 48 BKRAJ 8 5 8 21 BLES 7 6 3 16 BPRM 4 1 2 7 BVH 3 3 DBEKOL 20 20 DBKRAJ 4 4 DBLES 3 1 4 DHSSL 2 4 6 DHSSL2 3 1 4 DLES 1 1 DPRM 5 3 8 DPRM2 1 1 1 3 DRES 1 4 5 DRES2 1 1 DREV 2 1 3 DUTSS 24 4 4 32 DUTSS2 12 3 4 19 DUTSS3 9 6 15 DUTSS4 13 13 EAD 2 2 EKOL 6 4 10 EM 5 3 8 FWLM 1 1 2 HKS 19 20 9 3 51 HSSL 5 6 1 12 INFO 32 45 31 14 19 141 INFOA 1 1 IRT 10 3 3 16 IRTN 1 1 KPU 2 1 1 4 KRAJ 3 2 5 LES 3 3 MVZVTS 2 2 OPT 46 31 16 93 PAA 52 96 75 64 73 360 PAAHK 1 1 PAACH 2 2 PAE 82 125 123 60 71 461 RES 1 1 SMAD 41 34 10 85 SYI 9 6 5 4 2 26 TTZOB 8 3 1 12 TTZON 2 1 3 TZS 3 3 TZSB 9 11 1 21 UTSS 13 10 2 25 Odbor informačních a komunikačních technologií,, Kamýcká 129, 165 21 Praha 6
VSRR 62 58 41 20 16 197 VSRRHK 2 4 13 19 VSRRCH 3 1 4 VSRRJ 3 4 5 12 VSRRK 1 2 20 23 VSRRL 2 2 1 19 24 VSRRM 1 6 3 2 19 31 VSRRSUT 1 2 6 9 XAKREK 1 1 XEKOLO 2 2 XMNG 1 1 XOCHMY 1 1 XPOE 1 1 XZLHYD 1 1 ZT 4 5 1 10 ZTS 2 1 3 6 Celkový součet 734 595 427 226 271 2253 Závěr: Z více než 22 tisíc rozeslaných zpráv, vyplnilo na falešnou stránku svůj e-mail téměř 10% studentů. Toto číslo je vysoké, vzhledem k tomu, že zhruba třetina studentů svůj školní e-mail vůbec nevyužívá a nečte ho. Velice zajímavé a alarmující je procento studentů oboru informatika, u kterých by existoval předpoklad vyššího počítačového vzdělání než u zbytku studentů. Ze zjištěných údajů však vyplývá, že studentů oboru informatika se procentuálně nechalo zlákat více (počet správně zadaných loginů / počet všech studentů * 100). Překvapivě je i nižší procento nachytaných studentů prvního u, než studentů u pátého. Pokud by byl útok reálný, podařilo by se odchytit přibližně 290 loginů a hesel, než by došlo k odstranění podvodných stránek ze serverů veřejného poskytovatele. Toto však nelze předpokládat v situaci, kdy by stránky byly umístěny u přímo u útočníka. Upozornění studentů na útok přišlo zodpovědným osobám na ČZU během několika málo hodin, a při okamžité reakci by byli studenti varováni zhruba během pěti hodin. Reakce studentů byla odpovídající, avšak vážnost situace by žádala mnohem větší počet upozornění. Problematičtější by byla reakce zaměstnanců na incident například během víkendu nebo o svátcích, kdy není zřízena stálá dozorová služba na univerzitě. Bohužel tuto skutečnost nelze změnit. Reakce zaměstnanců na hrozbu byla rychlá a správná. Možná také proto, že někteří ze zaměstnanců jsou stále studenti a tuto zprávu obdržely také. Odbor informačních a komunikačních technologií,, Kamýcká 129, 165 21 Praha 6