Phishing — gotowa lekcja z analizą przykładowych wiadomości

Phishing to próba wyłudzenia danych — haseł, numeru karty, kodu z SMS-a — przez fałszywą wiadomość, która wygląda jak korespondencja od banku, kuriera, szkoły albo znajomego. Na tej lekcji uczniowie dostają sześć fikcyjnych wiadomości, analizują nadawcę, treść i adresy linków, a następnie decydują, co zrobić. Lekcja uczy obrony, a nie tworzenia ataków.

Scenariusz jest przeznaczony na 45 minut w liceum lub technikum. Wystarczą wydruk karty pracy i tablica; opcjonalnie skrypt analiza_linku.py (Python 3) pokazuje, jak rozłożyć adres URL na części. Wszystkie adresy używają domen zarezerwowanych do dokumentacji (.example, .test) oraz adresu z puli TEST-NET, więc żaden z nich nie prowadzi do prawdziwej strony.

Zasady bezpieczeństwa lekcji

• Analizujemy wyłącznie materiały z karty pracy. Uczniowie nie wysyłają podobnych wiadomości kolegom, nauczycielom ani nikomu innemu, także „dla żartu” i także w ramach „testu”. Symulowanie ataków na prawdziwe osoby wymaga wcześniejszej zgody i ustaleń z osobą odpowiedzialną za bezpieczeństwo w szkole.
• Nie otwieramy linków z wiadomości, jeśli uczniowie przyniosą własne podejrzane wiadomości. Takie wiadomości opisujemy słowami albo zgłaszamy, zamiast klikać.
• Uczniowie nie wpisują prawdziwych haseł ani danych w żadnym ćwiczeniu.
• Jeżeli ktoś na lekcji powie, że już kiedyś kliknął podobny link lub podał dane, reaguj spokojnie: omów procedurę z ostatniego zadania i skieruj osobę do rodzica albo opiekuna i do administratora szkolnych kont. Nie oceniaj ucznia — oszuści wyłudzają dane także od dorosłych.

Cele i plan lekcji

Po zajęciach uczeń potrafi:

• wymienić typowe sygnały phishingu: pośpiech lub groźba, prośba o dane, nietypowy nadawca, niepasujący adres;
• odczytać z adresu URL, do jakiej domeny naprawdę prowadzi;
• rozróżnić wiadomość podejrzaną od prawdopodobnie prawdziwej i uzasadnić decyzję;
• opisać, co zrobić po otrzymaniu podejrzanej wiadomości i po kliknięciu w link.

Jak czytać adres strony

Adres https://uzytkownik@serwer.example/sciezka?x=1 składa się z kilku części: schematu (https), opcjonalnej części przed znakiem @, nazwy serwera (hosta) i ścieżki. Liczy się nazwa serwera, czytana od prawej strony. Domena, która naprawdę decyduje o tym, czyja jest strona, to ostatnia część nazwy: zwykle dwa ostatnie człony oddzielone kropkami.

Przykłady (fikcyjne):

Kłódka lub https oznacza tylko, że połączenie z serwerem jest szyfrowane. Oszuści także zakładają strony z https; nie oznacza to, że strona jest wiarygodna. Prefiks http bez s na stronie logowania jest dodatkowym ostrzeżeniem, ale jego brak niczego nie gwarantuje.

Sześć przykładowych wiadomości

Wszystkie nazwy firm, osób i adresy są fikcyjne.

Wiadomość 1. Nadawca: Bank Przykładowy <alert@bank-przykladowy.example>. Temat: „PILNE: konto zablokowane”. Treść: „Wykryliśmy nietypową aktywność. Jeśli nie zalogujesz się w ciągu 24 godzin, konto zostanie zablokowane: http://bank-przykladowy.logowanie-weryfikacja.example/zaloguj”.

Wiadomość 2. Nadawca: Sekretariat <sekretariat@liceum-przyklad.test>. Temat: „Plan zastępstw na jutro”. Treść: „Dzień dobry, plan zastępstw na jutro jest dostępny w dzienniku elektronicznym szkoły: https://liceum-przyklad.test/dziennik. Pozdrawiamy, sekretariat”. (Adres dziennika zgadza się z adresem szkoły podanym na stronie internetowej szkoły.)

Wiadomość 3. SMS od nieznanego numeru: „Twoja paczka czeka w punkcie odbioru. Dopłata 1,99 zł do wysyłki: https://kurier.example.com@paczki-oplata.test/dop”.

Wiadomość 4. Nadawca: Konkurs <nagroda@wygrana-konkurs.example>. Temat: „Wygrałeś laptopa!”. Treść: „Gratulacje! Odbierz nagrodę, zanim wygaśnie: http://192.0.2.15/odbierz — wymagane podanie numeru karty do opłaty za wysyłkę”.

Wiadomość 5. Nadawca: Sklep Przykład <konto@sklep-przyklad.example>. Temat: „Potwierdź rejestrację”. Treść: „Dziękujemy za założenie konta. Aby je aktywować, kliknij: https://sklep-przyklad.example/potwierdz?token=ab12”. (Uczeń rzeczywiście założył konto w tym sklepie pięć minut temu.)

Wiadomość 6. Nadawca: Poczta Przykładowa <kontakt@poczta-przyk1adowa.example>. Temat: „Nieudana próba doręczenia”. Treść: „Aby odebrać przesyłkę, potwierdź adres i wpisz hasło do poczty: https://poczta-przyk1adowa.example/odbior”. (Prawdziwa usługa używa domeny poczta-przykladowa.example.)

Sygnały ostrzegawcze — lista kontrolna

1. Pośpiech lub groźba („w ciągu 24 godzin”, „konto zostanie zablokowane”, „nagroda wygaśnie”).
2. Prośba o dane, których uczciwa instytucja nie prosi w wiadomości: hasło, numer karty, kod z SMS-a.
3. Niezgodny adres — domena inna niż oczekiwana, podobna z literówką, adres IP albo @ w adresie.
4. Nietypowy kontekst — nie spodziewałeś się wiadomości od tego nadawcy albo nie zamawiałeś niczego.
5. Niepasująca forma — zwrot „Szanowny kliencie” zamiast imienia, dziwne sformułowania, nietypowy numer nadawcy. Samo to nie wystarcza: dobrze napisana wiadomość też może być oszustwem.

Zasada, która obejmuje wszystkie przypadki: nie klikaj linku i nie wpisuj danych w odpowiedzi na wiadomość; wejdź na stronę instytucji samodzielnie, wpisując znany adres albo korzystając z aplikacji. Jeśli to ważne, zadzwoń pod numer ze strony firmy lub zapytaj osobę, od której rzekomo pochodzi wiadomość, innym kanałem.

Trzy zadania

Zadanie 1. Klasyfikacja. Dla każdej z sześciu wiadomości wybierz: podejrzana, prawdopodobnie prawdziwa albo „trzeba sprawdzić”. Wpisz co najmniej jeden sygnał z listy kontrolnej, który uzasadnia decyzję.

Zadanie 2. Adresy. Dla linków z wiadomości 1, 3, 4 i 6 podaj nazwę serwera, domenę, do której link naprawdę prowadzi, oraz jeden powód, dla którego jest podejrzany. Sprawdź jeden z linków skryptem analiza_linku.py.

Zadanie 3. Procedura. Opisz w 4–6 punktach, co robisz, gdy: (a) dostaniesz wiadomość 1; (b) już kliknąłeś link z wiadomości 3, ale niczego nie wpisałeś; (c) wpisałeś hasło na fałszywej stronie logowania. Uwzględnij zmianę hasła, wylogowanie z innych urządzeń, informację dla opiekuna lub administratora i zgłoszenie.

Dla chętnych: wyjaśnij, dlaczego wiadomość 2 uznajemy za „prawdopodobnie prawdziwą”, a nie „na pewno prawdziwą”. Jak można ją zweryfikować bez klikania linku?

Klucz odpowiedzi

Zadanie 2:

Zadanie 3, wzorcowe punkty: (a) nie klikać, nie odpowiadać; zalogować się do banku samodzielnie wpisanym adresem lub w aplikacji i sprawdzić komunikaty; w razie wątpliwości zadzwonić na numer z oficjalnej strony banku; zgłosić wiadomość i usunąć ją. (b) Zamknąć stronę, nie podawać żadnych danych, nie instalować niczego, uruchomić skan oprogramowaniem zabezpieczającym i poinformować opiekuna; jeśli telefon prosi o instalację, nie wyrażać zgody. (c) Natychmiast zmienić hasło na prawdziwej stronie z innego, zaufanego urządzenia, wylogować wszystkie sesje, zmienić to samo hasło wszędzie, gdzie było używane, włączyć uwierzytelnianie dwuskładnikowe, powiadomić opiekuna lub administratora szkolnego konta, a przy danych finansowych — zadzwonić do banku i zastrzec kartę.

Dla chętnych: wiadomość mogła zostać podrobiona (nadawcę da się sfałszować), a szkoła mogła paść ofiarą włamania na konto sekretariatu. Bezpieczniej wejść do dziennika samodzielnie, wpisując znany adres, i sprawdzić, czy plan tam jest; w razie wątpliwości zapytać sekretariat osobiście.

Typowe błędy uczniów

Pytania kontrolne i punktacja

1. Jak z adresu https://bank.example.com@serwer.test/x ustalić, do kogo naprawdę prowadzi link?
2. Dlaczego sam https nie dowodzi, że strona jest prawdziwa?
3. Wymień trzy kroki po wpisaniu hasła na fałszywej stronie.

Odpowiedzi: serwer to część po @ (serwer.test), a to, co przed @, jest tylko „nazwą użytkownika” i nie wskazuje celu. https szyfruje połączenie, ale nie sprawdza uczciwości właściciela strony — oszuści również używają https. Zmiana hasła na prawdziwej stronie, wylogowanie sesji i uwierzytelnianie dwuskładnikowe oraz powiadomienie opiekuna lub administratora; przy danych karty — kontakt z bankiem.

Proponowana punktacja (razem 10 punktów): zadanie 1 — sześć wiadomości po 0,5 pkt za decyzję z uzasadnieniem, razem 3 pkt; zadanie 2 — 4 linki po 1 pkt (serwer, domena i powód), razem 4 pkt; zadanie 3 — trzy sytuacje po 0,5 pkt za właściwe działanie, razem 1,5 pkt; pytanie 1 — 1,5 pkt. Zadanie dla chętnych nie jest wymagane do kompletu punktów.

Materiały do pobrania

• Pakiet: karta pracy, klucz odpowiedzi i skrypt analiza_linku.py
• Karta pracy ucznia — otwórz i wydrukuj
• Klucz odpowiedzi dla nauczyciela

Skrypt analiza_linku.py wymaga Pythona 3. Nie łączy się z internetem — jedynie rozkłada tekst adresu na części i wypisuje ostrzeżenia. Nie zastępuje ostrożności: nie wie, czy domena jest wiarygodna, i nie zna listy domen publicznych, więc dla domen takich jak firma.com.pl może pokazać niedokładną domenę główną. Materiały są dostępne bez logowania; klucz jest publiczny i służy nauce, nie poufnemu sprawdzianowi.

Co dalej po lekcji o phishingu?

Naturalnym uzupełnieniem są lekcje o silnych hasłach i uwierzytelnianiu dwuskładnikowym oraz o zgłaszaniu incydentów. Zgłoszenia podejrzanych wiadomości i stron przyjmuje m.in. CERT Polska — sprawdź aktualne zasady zgłaszania na stronie incydent.cert.pl. Całość od zagrożeń i ataków po ochronę kont, kryptografię i reagowanie na incydenty obejmuje kurs Cyberbezpieczeństwo w TablicaPro z prezentacjami, ćwiczeniami i testami. O weryfikowaniu treści w sieci przeczytasz także w lekcji o halucynacjach AI.

Źródła: CERT Polska, RFC 2606 — domeny zarezerwowane do dokumentacji oraz adresy TEST-NET w RFC 5737.