Największe ryzyko dla klientów może pojawić się więc już po samym ataku. Oszust dysponujący prawdziwym adresem e-mail, numerem telefonu i wiedzą, że konkretna osoba korzystała z usług lotniska, może przygotować wiadomość znacznie bardziej wiarygodną niż typowy przypadkowy spam. Fałszywa informacja o zwrocie pieniędzy za parking, problemie z rezerwacją Fast Track, konieczności ponownego potwierdzenia danych albo dopłacie do usługi może wyglądać jak prawdziwa korespondencja operatora. Szczególna ostrożność jest potrzebna teraz, gdy sprawa jest szeroko komentowana i część klientów spodziewa się wiadomości dotyczących naruszenia danych. Cyberprzestępcy mogą próbować wykorzystać właśnie tę sytuację, podszywając się pod lotniska, linie lotnicze, firmy parkingowe, banki, policję czy specjalistów od cyberbezpieczeństwa. Sama kradzież danych może więc być dopiero pierwszym etapem znacznie dłuższego łańcucha oszustw.
Atak dotyczył Manchester Airports Group, czyli operatora zarządzającego trzema dużymi brytyjskimi lotniskami: Manchester Airport, London Stansted Airport oraz East Midlands Airport. Skala 8,7 mln osób nie oznacza, że jednocześnie zaatakowano telefony lub komputery milionów podróżnych. Naruszone zostały systemy zawierające informacje gromadzone wcześniej przez operatora podczas korzystania z różnych usług. Chodziło między innymi o zapisy do bezpłatnej sieci Wi-Fi na lotniskach, rezerwacje miejsc parkingowych, saloników oraz usług Fast Track pozwalających szybciej przechodzić przez wybrane etapy odprawy. W efekcie w jednej bazie mogły znajdować się dane osób korzystających z lotnisk na przestrzeni dłuższego czasu. Operator poinformował, że zdecydowana większość poszkodowanych miała ujawniony wyłącznie adres e-mail, przede wszystkim właśnie ze względu na wcześniejsze rejestracje do lotniskowego Wi-Fi.
W przypadku mniejszej części klientów zakres danych był jednak szerszy. Cyberprzestępcy mogli uzyskać dostęp także do numerów telefonów, kodów pocztowych i numerów rejestracyjnych samochodów. Dane te były powiązane między innymi z procesem rezerwowania parkingu lub innych usług lotniskowych. Jednocześnie operator podkreślił, że zaatakowany system nie przechowywał danych bankowych ani informacji dotyczących kart płatniczych, a incydent nie wpłynął na bezpieczeństwo lotnicze. Lotniska działały normalnie i nie doszło do zagrożenia dla pasażerów czy ruchu samolotów. To ważne rozróżnienie, ponieważ określenie "cyberatak na lotniska" może sugerować przejęcie systemów sterujących ruchem lub infrastruktury krytycznej. W tym przypadku głównym problemem było naruszenie danych klientów, którego konsekwencje dotyczą przede wszystkim prywatności oraz potencjalnych prób oszustwa.
Najczęściej ujawnianą informacją był adres e-mail. Na pierwszy rzut oka może wydawać się to stosunkowo niewielkim zagrożeniem, ponieważ adresy poczty elektronicznej są często podawane podczas rejestracji w sklepach, serwisach internetowych czy programach lojalnościowych. W rękach oszustów adres posiada jednak dodatkową wartość, jeśli można powiązać go z konkretnym zachowaniem użytkownika. Cyberprzestępca może teraz wiedzieć, że dana osoba korzystała z usług jednego z trzech lotnisk należących do Manchester Airports Group. Jeżeli informacje pochodziły z rezerwacji parkingu, Fast Track lub saloniku, możliwe jest również stworzenie wiadomości odnoszącej się właśnie do tych usług. Oszust nie musi znać numeru karty, aby przekonać odbiorcę do wejścia na fałszywą stronę i samodzielnego podania danych płatniczych. Wystarczy odpowiednio wiarygodna historia.
Większe możliwości otwierają numery telefonów, kody pocztowe oraz numery rejestracyjne samochodów. Pozwalają one tworzyć wiadomości bardziej spersonalizowane, a przez to trudniejsze do odróżnienia od prawdziwej korespondencji. Przykładowo SMS informujący o problemie z opłatą parkingową może wyglądać bardziej przekonująco, jeśli pojawi się wkrótce po nagłośnieniu cyberataku. Kod pocztowy bywa również używany do weryfikacji tożsamości w różnych usługach, dlatego jego ujawnienie zwiększa liczbę informacji dostępnych potencjalnemu oszustowi. Nie należy jednak zakładać, że sam wyciek tych danych pozwala automatycznie opróżnić konto bankowe lub przejąć tożsamość. Ryzyko pojawia się przede wszystkim wtedy, gdy przestępcy wykorzystają posiadane informacje do nakłonienia ofiary do ujawnienia kolejnych danych, hasła, kodu jednorazowego albo danych karty.
Phishing jest skuteczniejszy, jeśli wiadomość pasuje do sytuacji odbiorcy. Przypadkowy e-mail informujący o problemie z parkingiem na lotnisku może zostać szybko zignorowany przez osobę, która nigdy z takiego parkingu nie korzystała. Zupełnie inaczej wygląda sytuacja, gdy wiadomość trafia do kogoś, kto rzeczywiście wcześniej rezerwował usługę na Manchester Airport albo Stansted. Po dużym wycieku cyberprzestępcy mogą więc wykorzystywać prawdziwe informacje jako element budujący wiarygodność. Wiadomość może informować o konieczności zweryfikowania konta, zwrocie pieniędzy po incydencie, anulowanej rezerwacji, niedopłacie do parkingu albo potrzebie ponownego podania danych. Link będzie prowadził do strony wizualnie przypominającej serwis lotniska, ale stworzonej wyłącznie po to, aby przechwycić informacje wpisywane przez użytkownika.
Podobne mechanizmy mogą być wykorzystywane w SMS-ach oraz rozmowach telefonicznych. Oszust może przedstawić się jako pracownik operatora lotniska i poinformować, że kontaktuje się w związku z niedawnym naruszeniem bezpieczeństwa. Następnie może próbować "potwierdzić" dane klienta, prosząc o podanie informacji, których w rzeczywistości nie posiada. Szczególnie niebezpieczny jest mechanizm stopniowego zdobywania zaufania. Przestępca rozpoczyna rozmowę od podania prawdziwego adresu e-mail, kodu pocztowego czy informacji o korzystaniu z parkingu. Ofiara uznaje więc, że dzwoni prawdziwa firma, i dopiero później zostaje poproszona o numer karty, kod SMS lub zalogowanie się na podstawionej stronie. Dlatego znajomość kilku prawdziwych danych przez rozmówcę nie powinna być traktowana jako dowód jego autentyczności.
Jednym z najbardziej prawdopodobnych scenariuszy są fałszywe wiadomości dotyczące rezerwacji. Oszust może informować, że z powodu cyberataku konieczne jest ponowne potwierdzenie parkingu, dostępu do saloniku lub usługi Fast Track. Innym wariantem może być rzekomy zwrot pieniędzy. Klient otrzymuje informację, że w związku z incydentem przysługuje mu rekompensata, ale w celu jej otrzymania musi podać dane karty albo zalogować się do bankowości elektronicznej. Możliwe są również wiadomości o rzekomym anulowaniu usługi lub błędnej płatności. W okresach intensywnych podróży dodatkowo skuteczne mogą być komunikaty dotyczące opóźnionego albo zmienionego lotu. Nawet jeśli wykradzione dane nie zawierają informacji o bilecie lotniczym, przestępca może masowo rozesłać taki komunikat do klientów operatora, licząc, że część z nich rzeczywiście przygotowuje się do podróży.
Pojawić mogą się również bardziej nietypowe próby. Numer rejestracyjny samochodu i kod pocztowy można wykorzystać w wiadomościach dotyczących rzekomych kar parkingowych, niezapłaconego postoju lub naruszenia regulaminu. Oszust może twierdzić, że samochód o danym numerze został zarejestrowany przy wyjeździe z parkingu bez uregulowania należności. Znajomość prawdziwego numeru rejestracyjnego znacząco podnosi wiarygodność takiej wiadomości. Innym wariantem są fałszywe telefony od osób przedstawiających się jako pracownicy banku, którzy rzekomo pomagają zabezpieczyć konto po wycieku danych. Sam bank nie został zaatakowany, ale strach przed konsekwencjami cyberataku może zostać wykorzystany jako pretekst do wyłudzenia kodów autoryzacyjnych. Im bardziej medialny jest incydent, tym łatwiej oszustom stworzyć historię, która brzmi aktualnie i prawdopodobnie.
Najważniejsza zasada brzmi: nie należy reagować impulsywnie na wiadomości wywołujące presję czasu. Jeśli e-mail lub SMS informuje, że rezerwacja zostanie anulowana w ciągu kilku godzin, trzeba natychmiast dopłacić niewielką kwotę albo potwierdzić dane, bezpieczniej jest zamknąć wiadomość i samodzielnie wejść na oficjalną stronę lotniska. Adres najlepiej wpisać ręcznie w przeglądarce lub skorzystać z wcześniej zapisanej aplikacji czy zakładki, zamiast klikać link otrzymany w wiadomości. Tak samo należy postępować przy rozmowie telefonicznej. Jeśli dzwoniąca osoba twierdzi, że reprezentuje lotnisko, bank lub inną instytucję i prosi o poufne informacje, warto zakończyć rozmowę i samemu zadzwonić na oficjalny numer znaleziony niezależnie od otrzymanej wiadomości.
Użytkownicy powinni także zwrócić szczególną uwagę na bezpieczeństwo swojej poczty elektronicznej, ponieważ w zdecydowanej większości przypadków właśnie adres e-mail został ujawniony. Jeśli do konta pocztowego nadal używane jest hasło powtarzane również w innych serwisach, warto zastąpić je unikalnym i włączyć uwierzytelnianie dwuskładnikowe. Sam fakt ujawnienia adresu e-mail nie oznacza, że hasło zostało przejęte, więc nie ma potrzeby panicznej zmiany wszystkich haseł wyłącznie z tego powodu. Znacznie ważniejsze jest jednak nieużywanie jednego hasła w wielu miejscach. Należy również ostrożnie traktować załączniki oraz kody QR otrzymywane w wiadomościach. Współczesny phishing nie ogranicza się do prostych linków. Fałszywa faktura, formularz zwrotu albo kod prowadzący do strony płatności może spełniać dokładnie tę samą funkcję.
Według informacji przekazanych przez Manchester Airports Group system objęty incydentem nie przechowywał bankowych ani płatniczych danych klientów. Sam udział w wycieku nie oznacza więc konieczności natychmiastowego blokowania karty, zamykania rachunku czy kontaktowania się z bankiem. To ważne, ponieważ panika po dużych cyberatakach może prowadzić do wykonywania działań, które w danej sytuacji nie są potrzebne. Inaczej należy postąpić, jeśli osoba kliknęła już w podejrzany link i podała na fałszywej stronie numer karty, dane logowania do banku albo kod autoryzacyjny. W takim przypadku kontakt z bankiem powinien nastąpić możliwie szybko. Podobnie trzeba reagować na nieznane transakcje, powiadomienia o próbach logowania lub wiadomości dotyczące operacji, których użytkownik nie wykonywał.
Nie oznacza to jednak, że osoby objęte wyciekiem powinny całkowicie zignorować sprawę. W kolejnych tygodniach i miesiącach warto dokładniej sprawdzać korespondencję związaną z podróżami, parkingami i usługami lotniskowymi. Cyberprzestępcy nie muszą wykorzystywać bazy natychmiast po jej zdobyciu. Dane mogą być przechowywane, dzielone na mniejsze zestawy, sprzedawane innym grupom albo łączone z informacjami pochodzącymi z wcześniejszych wycieków. Dopiero takie zestawienie może pozwolić na przygotowanie bardziej zaawansowanej próby oszustwa. Czujność nie powinna więc ograniczać się do kilku dni bezpośrednio po ujawnieniu incydentu. Dane kontaktowe mogą pozostawać użyteczne dla oszustów przez wiele lat.
To jeden z najważniejszych aspektów współczesnych naruszeń danych. Pojedynczy wyciek może zawierać tylko adres e-mail i numer telefonu, ale ten sam adres mógł wcześniej wystąpić w bazie pochodzącej ze sklepu internetowego, platformy społecznościowej, hotelu czy programu lojalnościowego. Cyberprzestępcy mogą próbować łączyć informacje z wielu źródeł, tworząc bardziej szczegółowy profil konkretnej osoby. W jednej bazie znajduje się nazwisko i e-mail, w innej numer telefonu, w kolejnej stary adres zamieszkania, a teraz dodatkowo informacja o korzystaniu z określonego lotniska lub numer rejestracyjny samochodu. Żaden z takich zestawów osobno nie musi umożliwiać poważnego oszustwa, ale połączenie wielu informacji znacznie ułatwia socjotechnikę.
Dodatkowym problemem jest rozwój narzędzi wykorzystujących sztuczną inteligencję. Przygotowanie poprawnie napisanego, spersonalizowanego e-maila w konkretnym języku zajmuje dziś oszustowi znacznie mniej czasu niż kilka lat temu. Można automatycznie tworzyć tysiące wariantów wiadomości odnoszących się do konkretnych usług, lokalizacji i danych użytkownika. AI może również ułatwiać prowadzenie rozmów tekstowych lub przygotowywanie przekonujących scenariuszy rozmów telefonicznych. Nie oznacza to, że każdy rekord z wycieku zostanie w ten sposób wykorzystany. Skala 8,7 mln osób sprawia jednak, że nawet bardzo niski procent skutecznych prób może być dla przestępców opłacalny. Dlatego głównym skutkiem cyberataku może nie być sama utrata danych, ale fala prób wykorzystania ich do zdobycia znacznie bardziej wartościowych informacji.
Nie zawsze wystarczy sprawdzić literówki i jakość języka. Współczesne wiadomości phishingowe potrafią być napisane poprawnie, zawierać logo firmy i wyglądać niemal identycznie jak autentyczna korespondencja. Znacznie bardziej charakterystyczna jest próba wymuszenia konkretnej reakcji. Podejrzliwość powinny wzbudzić prośby o podanie hasła, pełnych danych karty, kodu jednorazowego lub zalogowanie się poprzez przesłany link. Ostrzeżeniem jest również presja czasu, groźba utraty rezerwacji albo informacja o nieoczekiwanym zwrocie pieniędzy wymagającym wcześniejszej "weryfikacji". Należy dokładnie sprawdzać domenę nadawcy, ale nawet poprawnie wyglądający adres nie powinien być jedynym kryterium oceny. Nadawcę można podszyć, a przestępcy rejestrują domeny różniące się od prawdziwych zaledwie jednym znakiem.
Najbezpieczniejszą metodą jest weryfikowanie każdej nietypowej informacji poza kanałem, którym została dostarczona. Jeżeli SMS twierdzi, że pojawił się problem z parkingiem, należy wejść samodzielnie na stronę operatora i sprawdzić rezerwację. Jeśli e-mail mówi o zmianie lotu, najlepiej sprawdzić go bezpośrednio w aplikacji linii lotniczej. Jeśli rozmówca przedstawia się jako pracownik banku, można zakończyć połączenie i zadzwonić do banku samodzielnie. Po wycieku dotyczącym 8,7 mln osób takie zachowanie nabiera szczególnego znaczenia. Nie da się przewidzieć wszystkich scenariuszy, które mogą przygotować cyberprzestępcy, ale większość z nich opiera się na tym samym mechanizmie - wzbudzić emocje, wykorzystać prawdziwy fragment informacji i skłonić użytkownika do wykonania czynności, której w spokojnej sytuacji prawdopodobnie by nie wykonał.
