Zasady bezpieczeństwa w Internecie sprowadzają się do kilku nawyków, które zatrzymują zdecydowaną większość ataków: unikalne hasła, logowanie dwuskładnikowe, aktualne oprogramowanie, ostrożność wobec wiadomości z linkami i regularne kopie zapasowe. Nie potrzebujesz specjalistycznej wiedzy, wystarczy konsekwencja.
Na co dzień obserwujemy, jak dochodzi do włamań na konta pocztowe i strony naszych klientów. W ogromnej większości przypadków przyczyna jest banalna: to samo hasło w kilku serwisach, kliknięcie w fałszywy link albo wtyczka WordPress nieaktualizowana od dwóch lat. Poniżej zebraliśmy zasady, które realnie chronią, zarówno zwykłego użytkownika, jak i właściciela strony WWW.
- Hasła: unikalne, długie i w menedżerze
- Uwierzytelnianie dwuskładnikowe wszędzie, gdzie się da
- Aktualizacje oprogramowania
- Jak rozpoznać phishing?
- Czy kłódka w przeglądarce oznacza bezpieczną stronę?
- Publiczne Wi-Fi
- Kopie zapasowe
- Zasady bezpieczeństwa dla właścicieli stron WWW
- Co zrobić po włamaniu?
- Podsumowanie: od czego zacząć?
Hasła: unikalne, długie i w menedżerze
Najważniejsza zasada to jedno hasło do jednego serwisu. Bazy haseł regularnie wyciekają z różnych serwisów, a przestępcy automatycznie sprawdzają wykradzione pary „e-mail i hasło” na setkach innych stron. Jeśli używasz tego samego hasła do sklepu internetowego i do poczty firmowej, wyciek ze sklepu otwiera dostęp do poczty.
Dobre hasło:
- ma co najmniej 12-16 znaków, bo długość daje więcej niż wymyślne znaki,
- nie zawiera imion, dat urodzenia, nazwy firmy ani słów ze słownika w prostej formie,
- może być zdaniem, na przykład trzema-czterema losowymi słowami połączonymi znakami.
Dlaczego menedżer haseł?
Nikt nie zapamięta kilkudziesięciu długich, różnych haseł. Menedżer haseł (wbudowany w przeglądarkę albo osobna aplikacja, na przykład Bitwarden, 1Password czy KeePass) generuje je, przechowuje w zaszyfrowanej formie i wpisuje za Ciebie. Musisz pamiętać tylko jedno, naprawdę mocne hasło główne.
Menedżer haseł chroni też przed phishingiem. Nie podpowie hasła na fałszywej stronie, bo jej adres nie zgadza się z adresem zapisanym przy haśle. Brak podpowiedzi to sygnał ostrzegawczy.
Uwierzytelnianie dwuskładnikowe wszędzie, gdzie się da
Uwierzytelnianie dwuskładnikowe (2FA) sprawia, że samo hasło nie wystarczy do zalogowania. Potrzebny jest jeszcze kod z aplikacji w telefonie lub klucz sprzętowy. Nawet jeśli hasło wycieknie, przestępca bez Twojego telefonu nie wejdzie na konto.
Włącz 2FA w pierwszej kolejności tam, gdzie strata byłaby najdotkliwsza:
- główna skrzynka e-mail (przez nią resetuje się hasła do wszystkiego innego),
- bankowość i płatności,
- panel hostingu i panel domen,
- media społecznościowe firmy,
- panel administracyjny strony WWW.
Kody z aplikacji (Google Authenticator, Microsoft Authenticator, 2FAS) są bezpieczniejsze niż kody SMS, które da się przechwycić, na przykład przez wyrobienie duplikatu karty SIM.
Aktualizacje oprogramowania
Większość ataków nie wykorzystuje nowych, nieznanych luk, tylko błędy, które producenci załatali tygodnie lub miesiące wcześniej. Atakujący po prostu szukają urządzeń i stron, których nikt nie zaktualizował.
- Włącz automatyczne aktualizacje systemu (Windows, macOS, Android, iOS) i przeglądarki.
- Nie odkładaj w nieskończoność komunikatu „uruchom ponownie, aby zainstalować aktualizacje”.
- Usuń programy i aplikacje, z których nie korzystasz. Każda z nich to potencjalna luka.
- Wymień urządzenia, które nie dostają już aktualizacji bezpieczeństwa, na przykład kilkuletni telefon lub router.
Jak rozpoznać phishing?
Phishing to podszywanie się pod zaufaną instytucję, żeby wyłudzić hasło, dane karty lub skłonić do zainstalowania złośliwego oprogramowania. Przychodzi mailem, SMS-em, przez komunikator albo w reklamie w wyszukiwarce.
Sygnały ostrzegawcze
- presja czasu: „konto zostanie zablokowane w ciągu 24 godzin”, „ostatnie wezwanie do zapłaty”,
- dopłata do przesyłki, faktury lub rachunku na niewielką kwotę, na przykład kilka złotych,
- adres nadawcy lub link nie zgadza się z firmą, za którą podaje się wiadomość (najedź kursorem na link przed kliknięciem i sprawdź prawdziwy adres),
- prośba o podanie hasła, kodu SMS lub danych karty,
- nieoczekiwany załącznik, zwłaszcza archiwum ZIP, plik z makrami albo plik wykonywalny.
Zasada praktyczna: nie loguj się przez link z wiadomości. Jeśli mail od banku lub usługodawcy budzi wątpliwości, otwórz stronę samodzielnie, wpisując adres w przeglądarce albo korzystając z zakładki, i sprawdź komunikaty po zalogowaniu.
Fałszywe faktury za domenę i hosting
W naszej branży szczególnie częste są wiadomości podszywające się pod rejestratora domeny. Przypominają o „wygasającej domenie”, „konieczności odnowienia wpisu w wyszukiwarkach” albo przesyłają fakturę z obcym numerem konta. Przed zapłatą zawsze sprawdź w Panelu klienta, czy taka płatność faktycznie na Ciebie czeka.
VH.pl nigdy nie prosi o podanie hasła mailem ani telefonicznie. Jeśli otrzymasz wiadomość z prośbą o hasło, dane karty lub pilną płatność na nieznany rachunek, nie odpowiadaj i skontaktuj się z nami przez oficjalne kanały.
Podejrzane SMS-y możesz bezpłatnie przekazać na numer 8080, a fałszywe strony zgłosić CERT Polska przez serwis incydent.cert.pl.
Czy kłódka w przeglądarce oznacza bezpieczną stronę?
Nie. Kłódka oznacza tylko, że połączenie jest szyfrowane, czyli nikt po drodze nie podejrzy przesyłanych danych. Nie mówi nic o tym, kto prowadzi stronę. Fałszywe sklepy i strony phishingowe również mają certyfikaty SSL, bo darmowy certyfikat można uzyskać w kilka minut.
Zanim podasz dane na stronie, sprawdź dokładnie adres w pasku przeglądarki. Przestępcy rejestrują domeny łudząco podobne do oryginałów: z literówką, dodatkowym słowem („-logowanie”, „-weryfikacja”) albo inną końcówką.
Publiczne Wi-Fi
Otwarte sieci w kawiarniach, hotelach i na lotniskach są wygodne, ale nie wiesz, kto nimi zarządza ani kto jeszcze jest podłączony. Dzięki powszechnemu HTTPS ryzyko jest dziś mniejsze niż kilka lat temu, ale nadal obowiązują proste zasady:
- do bankowości i paneli administracyjnych używaj internetu z telefonu zamiast publicznego Wi-Fi,
- sprawdzaj nazwę sieci u obsługi, bo przestępcy tworzą sieci o nazwach podobnych do prawdziwych,
- wyłącz automatyczne łączenie z otwartymi sieciami w telefonie i laptopie.
Kopie zapasowe
Kopia zapasowa nie zapobiega atakowi, ale sprawia, że atak przestaje być katastrofą. Ransomware, czyli oprogramowanie szyfrujące pliki dla okupu, awaria dysku czy przypadkowe usunięcie danych tracą znaczenie, jeśli masz aktualną kopię.
Sprawdzona reguła to 3-2-1:
- 3 kopie danych (oryginał i dwie kopie),
- na 2 różnych nośnikach (na przykład dysk zewnętrzny i chmura),
- 1 kopia poza domem lub biurem.
Kopia na dysku, który jest stale podłączony do komputera, zostanie zaszyfrowana razem z oryginałem przy ataku ransomware. Dysk z kopią podłączaj tylko na czas jej wykonania.
Zasady bezpieczeństwa dla właścicieli stron WWW
Strona internetowa to kolejne konto, które trzeba chronić. Przejęta witryna może rozsyłać spam, infekować odwiedzających albo przekierowywać ich na fałszywe sklepy, a domena trafia wtedy na listy ostrzeżeń przeglądarek.
- Aktualizuj WordPress, motyw i wtyczki na bieżąco. Nieaktualne wtyczki to najczęstsza droga infekcji, jaką widzimy na serwerach.
- Instaluj wtyczki tylko z oficjalnego repozytorium lub od znanych producentów. Nigdy nie używaj „darmowych” wersji płatnych wtyczek z nieoficjalnych źródeł, bo często zawierają ukryty złośliwy kod.
- Usuń nieużywane wtyczki, motywy i stare kopie strony w podkatalogach (
/stara,/test). - Włącz 2FA do panelu WordPress, cPanel i Panelu klienta.
- Nie udostępniaj jednego konta administratora kilku osobom. Każdy, kto pracuje przy stronie, powinien mieć własne konto z minimalnymi potrzebnymi uprawnieniami.
- Skonfiguruj SPF, DKIM i DMARC dla domeny, żeby utrudnić podszywanie się pod Twój adres e-mail.
Co zrobić po włamaniu?
Jeśli podejrzewasz, że ktoś przejął Twoje konto lub stronę, działaj szybko i w tej kolejności:
- Przeskanuj komputer antywirusem albo zmieniaj hasła z innego, pewnego urządzenia. Zmiana hasła na zainfekowanym komputerze może trafić prosto do przestępcy.
- Zmień hasło do przejętego konta, a potem do wszystkich serwisów, w których używałeś tego samego hasła. Zacznij od poczty e-mail.
- Wyloguj wszystkie aktywne sesje i sprawdź, czy przestępca nie dodał własnego adresu odzyskiwania, przekierowania poczty albo reguły filtrującej wiadomości.
- Włącz 2FA, jeśli nie było włączone.
- Przy zagrożeniu finansowym zadzwoń do banku i zastrzeż kartę.
- Przy włamaniu na stronę lub pocztę w domenie skontaktuj się z Biurem Obsługi Klienta VH.pl. Pomożemy ustalić źródło infekcji i przywrócić czystą kopię zapasową.
- Zgłoś incydent do CERT Polska przez incydent.cert.pl.
Podsumowanie: od czego zacząć?
Nie musisz wdrażać wszystkiego jednego dnia. Poniżej trzy kroki, które dają największy efekt w zależności od tego, kim jesteś.
| Kto | Od czego zacząć |
|---|---|
| Użytkownik prywatny | menedżer haseł, 2FA do poczty i banku, automatyczne aktualizacje telefonu i komputera |
| Mała firma | osobne konta dla pracowników, 2FA do poczty firmowej, kopie zapasowe według zasady 3-2-1, szkolenie z rozpoznawania phishingu |
| Właściciel strony WWW | aktualizacje WordPress i wtyczek, 2FA do panelu strony i hostingu, rekordy SPF, DKIM i DMARC |
| Sklep internetowy | wszystko powyżej oraz regularny przegląd kont administratorów i test odtwarzania kopii zapasowej |
Unikalne hasła i 2FA zatrzymują zdecydowaną większość przejęć kont, z jakimi spotykamy się w praktyce. Jeśli masz dziś czas tylko na jedną rzecz, zacznij od skrzynki e-mail: ustaw nowe, unikalne hasło i włącz logowanie dwuskładnikowe.