Univerzita Tomáše Bati ve Zlíně

Kapitola 4 – Bezpečné používání e-mailu

Elektronická pošta (e-mail) je ve světě počítačů obdoba klasických poštovních zásilek. Její výhodou je rychlost a zanedbatelná cena. Často ale bývá zneužívána k oslovení velkého množství uživatelů s cílem šíření dezinformací či nevyžádaných obchodních sdělení. Dalším cílem bývá získání důvěrných informací a jejich následné zneužití.

1. Úvod

Elektronická pošta (e­mail) je ve světě počítačů obdoba klasických poštovních zásilek. Text z pohlednice, korespondenčního lístku nebo z dopisu je možné také napsat a poslat pomocí zprávy elektronické pošty. Ke zprávám elektronické pošty lze přikládat také soubory – dokumenty jako jsou smlouvy, faktury, fotografie apod., což by v reálném světě odpovídalo odesílání balíku

Elektronická pošta má obrovskou výhodu v rychlosti a ceně doručování. Zatímco v dřívějších dobách nesl poslíček pergamen se vzkazem až týdny a s nástupem motorizace se doba doručení zkrátila na dny, odeslání elektronické pošty trvá několik sekund a prakticky nic nestojí. Právě z těchto důvodů je často zneužívána k oslovení velkého množství uživatelů, například s cílem vylákat důvěrné informace pomocí manipulativních metod sociálního inženýrství. Slouží také k šíření dezinformací a nevyžádaných obchodních sdělení. Po získání znalostí o těchto praktikách bude snadnější jim odolat.

2. Jak funguje elektronická pošta

Každý, kdo chce elektronickou poštu používat, tedy odesílat a přijímat zprávy, musí mít zřízen svůj účet uživatele na e­mailovém serveru, tedy e­mailovou schránku. Tu uživateli zřídí obvykle jeho zaměstnavatel nebo škola, kterou navštěvuje. Dnes je ale běžné, že téměř každý má také svou soukromou e­mailovou schránku u některého poskytovatele tzv. free mailu, kde si účet lze zřídit zdarma, např. gmail.com, seznam.cz apod. Každé e­mailové schránce je přidělena unikátní e­mailová adresa, např. alice@seznam.cz

Uživatel svou e­mailovou schránku následně používá – tj. prohlíží si doručenou poštu, píše a odesílá své zprávy – pomocí specializovaných aplikací, tzv. e­mailových klientů. Tyto aplikace obvykle nabízejí i další možnosti, které ulehčují práci s elektronickou poštou, například umí pracovat s elektronickými podpisy a šifrováním zpráv, třídit příchozí poštu do složek, umí poznat nevyžádanou poštu nebo aktivně upozorňovat na podezřelý obsah doručených zpráv.

E­mailový klient může mít podobu klasické aplikace, kterou je potřeba nejprve na počítač, tablet nebo chytrý mobilní telefon nainstalovat. Tomuto typu se říká také nativní aplikace. Provozovatelé elektronické pošty obvykle provozují rovněž webové rozhraní tzv. webmail, které poskytuje stejnou funkcionalitu jako instalovaná aplikace. Výhodou je, že uživatel má svou poštu dostupnou ze všech zařízení, která obsahují webový prohlížeč.

Není e-mail jako email

Při psaní anglického označení pro zprávu elektronické pošty je dobré si uvědomit, že e­mail je elektronická pošta, zatímco email (bez pomlčky) je nátěrová hmota.
Obecně je slovo e­mail používáno ve významu jak elektronické pošty, tak e­mailové adresy („Jaký máš e­mail?“), ale i zprávy poslané elektronickou poštou („Pošlu Ti e­mail.“) Je to takové univerzální slovo v oblasti elektronické komunikace a jeho význam je potřeba vždy odvodit z kontextu.

3. Jak správně používat elektronickou poštu

Elektronická pošta je dnes brána jako standardní způsob komunikace v zaměstnání i soukromém životě. Je třeba ji však používat s rozmyslem, protože při nevhodném použití může dojít k únikům informací, šíření poplašných zpráv a dalším problémům.

Heslo ke schránce elektronické pošty

E­mailová schránka je velmi důležitá, mnohdy nejdůležitější ze všech využívaných služeb na Internetu, protože registrace do ostatních služeb jsou často s e­mailovou schránkou uživatele svázány. Obvykle je možné si zapomenuté heslo do zmíněných služeb pomocí zaslané zprávy obnovit. Při ztrátě nebo ukradení a zneužití hesla k e­mailové schránce je tedy možné přijít o řadu důvěrných informací a zpráv, které ve schránce jsou uložené, ale také o přístup k mnohým dalším službám, které jsou s e­mailovou adresou svázány.

Z toho důvodu by heslo k e­mailové schránce mělo být jedinečné, tedy takové, které není použito jinde, dostatečně složité a pravidelně měněné (viz kapitola Kdo jsem a co smím).

Odesílatel zprávy

E­mailová zpráva je, stejně jako obyčejný dopis, kompletně sestavena odesílatelem a tak stejně jako v případě obyčejného dopisu může odesílatel na obálku napsat jakékoliv údaje, tedy i neexistující nebo ukradenou adresu jiného odesílatele. Zpráva pak přijde a ačkoliv vše nasvědčuje tomu, že přišla od známé konkrétní osoby, mohla být odeslána podvodníkem, který se za tu osobu pouze vydává. Nelze tedy slepě věřit položce Od:, e­mail je důvěryhodný pouze, pokud obsahuje elektronický podpis (viz téma Šifrování a elektronický podpis). Když si nejste jisti, zda dotyčný zprávu skutečně odeslal, ověřte si to jinak než další e­mailovou zprávou, např. telefonicky.

Někdy se také může stát, že někdo zneužije vaši e­mailovou adresu a uvede ji jako odesílatele do odeslaných e­mailů. Takové zprávy se pak tváří, že jste je odeslali vy. A pokud někdo pošle zprávu na neexistující adresu, můžete vy obdržet zprávu o nemožnosti doručit zprávu, kterou jste ale osobně neposlali. V takovém případě není třeba panikařit, protože to nemusí nutně znamenat, že bylo zneužito vaše heslo. E­mailová zpráva obsahuje informaci odkud nebo kým byla poslána, takže pokud se do takové situace dostanete, přepošlete e­mail na svou uživatelskou IT podporu, kde odborníci posoudí konkrétní zprávu a dají vám doporučení ohledně dalšího postupu.

E-mail a digitální stopa

Jak již bylo zmíněno, elektronická pošta je obdobou pošty klasické, ale při odeslání obyčejného dopisu bez podacího lístku a tedy bez čísla zásilky, není možné cestu zásilky vystopovat. To v případě e­mailové zprávy není možné, protože každá zpráva za sebou zanechává množství stop. V běžné e­mailové zprávě tyto stopy vidět nejsou, ale jsou ukryty v hlavičce e­mailu, kterou lze v e­mailových klientech zobrazit. Do hlavičky jsou zapisovány informace od všech poštovních serverů, kterými zpráva prošla, a je tedy možné určit z jakého počítače zpráva odešla a kdy, což nám může již mnoho napovědět při určování skutečné osoby odesílatele. Další záznamy jsou uloženy a archivovány v provozních záznamech poštovních serverů.

Přílohy e-mailů

Kromě textu lze do elektronických zpráv vložit také jakékoliv soubory (tzv. přílohy). Může jít o dokumenty, fotografie, ale i některé spustitelné soubory a tedy i ty potenciálně škodlivé. Spustitelný soubor, který je typický pro viry (obecně malware), ve většině případů není možné přílohou e­mailu odeslat, protože ji e­mailový server odesílatele odmítne převzít jako nebezpečnou. Útočníci tak většinou využívají makra v souborech kancelářských balíků nebo skripty v souborech typu pdf, které již zpravidla úspěšně e­mailovým serverem projdou. Někdy nejsou škodlivé soubory přímo součástí zprávy, ale zpráva může obsahovat odkaz k jejich stažení.

Znáte se?

Spustitelný soubor – je soubor, který obsahuje sadu příkazů, kterým počítač rozumí a vykoná je. V operačním systému Windows má příponu exe, (tj. executable, spustitelný).
Makro – bývá součástí souborů kancelářských balíků (Word, Excel) a umožňuje vykonat sadu příkazů stejně jako spustitelný soubor.
Skript – skript je soubor obsahující sadu příkazů pro nějaký skriptovací jazyk, kterých existuje celá řada.

Pokud obdržíme elektronickou zprávu s podezřelou přílohou, nejlepší obranou je vůbec podezřelé soubory neotevírat nebo se poradit s uživatelskou podporou. V případě otevření pak alespoň nepovolovat makra, nenechat pdf soubory spouštět skripty nebo se připojovat na web (tyto aktivity vyžadují aktivní potvrzení od uživatele). Často může pomoci také antivir na poštovním serveru nebo na pracovní stanici, který zabrání doručení nebo otevření rozpoznaných škodlivých souborů.

Pokud chceme odeslat elektronickou zprávu s přílohou, je třeba si uvědomit, že e­mail není primárně určen pro přenos velkých souborů, proto bychom je neměli posílat. Jedním z důvodu je, že e­mailové schránky mají zpravidla omezenou velikost a mohli bychom adresátovu schránku zahltit nebo by takový e­mail ani cílový server nemusel přijmout.

Velikost přílohy e-mailu

Maximální velikost přílohy e­mailu není nikde obecně definovaná. Některé poštovní servery ji mají omezenou na 10 MB, ale je to značně individuální. Kapacita schránky je také různá, proto je obtížné stanovit rozumnou velikost přílohy e­mailu. V praxi se ale ukazuje, že akceptovatelná velikost z globálního pohledu na e­mailový svět je v řádu jednotek megabajtů (MB).

Hromadná korespondence

Hromadná korespondence je používána v případech, kdy chcete se stejnou záležitostí oslovit větší množství adresátů. Těmto situacím je lepší se vyhýbat pomocí e­mailových konferencí. E­mailová konference je automaticky, ručně nebo dobrovolně vytvořená skupina osob, resp. jejich e­mailových adres, která má společné zájmy nebo funkci/zařazení v organizaci např. tajemníci/studenti. Tato skupina má svou e­mailovou adresu, na kterou se odešle zpráva a tato zpráva je pak doručena všem osobám ve skupině. Pokud je nezbytně nutné hromadnou korespondenci použít, dodržujte pravidla, která minimalizují rizika spojená s tímto způsobem komunikace. Především jde o zneužití e­mailových adres a jejich vazeb (kdo s kým komunikuje) k rozesílání spamu a podvodných zpráv. V případě kompromitace schránky kohokoliv z adresátů útočník zjistí e­mailové adresy všech dalších osob, které se mohou znát nebo mají společné zájmy a může zneužít tuto informaci k odeslání nevyžádané pošty, zneužití adresy nebo složitějšímu kybernetickému útoku na tyto osoby.

Při psaní hromadné zprávy je potřeba zajistit, aby jednotliví adresáti neviděli adresy všech ostatních příjemců. Toho lze docílit jednoduše – adresy elektronické pošty všech příjemců uvést do řádku Skrytá kopie:, Bcc:.

Řetězové e-maily

Jistě jste již někdy v minulosti obdrželi zprávu typu: „Odešli tuto zprávu dalším 10 lidem, jinak do roka a do dne onemocníš.“ Takovéto hromadné zprávy putují po e­mailových schránkách a čas od času se vrátí odesílateli, kyberpodvodníkovi, který z nich pak sesbírá funkční e­mailové adresy, na kterých někdo poštu čte a aktivně ji používá, využije také vazby kdo komu zprávy posílá. Pak mohou kyberpodvodníci posílat nevyžádané zprávy s personifikovaným obsahem, který má obecně vyšší úspěšnost.

Netiketa

Věděli jste, že na Internetu existuje seznam etického chování, tzv. netiketa? Najdete tam mnoho zajímavých informací, které vám pomohou chovat se na síti tak, jak ostatní slušní uživatelé Internetu očekávají. O netiketě si více přečtěte na http://www.netiketa.cz/.

Spam

Každá adresa elektronické pošty se časem stane veřejně známá, ať už uvedením ve veřejně dostupném adresáři na webu instituce jako kontakt na zaměstnance, uvedením v hromadných korespondencí, registrací do soutěží a e­shopů nebo pouze prostým používáním.

Vzhledem k tomu, že na známou adresu elektronické pošty může poslat zprávu kdokoliv, nelze zajistit, aby se ve schránkách elektronické pošty neobjevovaly zprávy od různých reklamních agentur, politických uskupení apod. které mají radost, že mohou snadno oslovit masy lidí. V reálném světě je spam možné připodobnit k letákové kampani. Poslání e­mailu ale skoro nic nestojí, proto se jich dá poslat hodně a všem. Tyto e­maily, o které nestojíme, tzv. nevyžádaná pošta (spam) podle statistik tvoří až 98% všech doručovaných zpráv. Za to, že ji nevidíme, vděčíme spamovým filtrům na poštovních serverech a v poštovních klientech, které ale principiálně nemohou být stoprocentně úspěšné a proto si musíme být vědomi, že občas nějaký spam může dorazit, a musíme umět jej ignorovat.

Souboj spam vs. antispam

Odesílatelé spamů samozřejmě znají možnosti administrátorů e­mailových serverů a dokáží je značně potrápit tím, že spamové filtry obchází. Administrátor pak velmi nesnadno hledá způsob, jak spam správně automaticky rozpoznat. Problém totiž nastává jsou­li pravidla příliš přísná. Pak jako spam skončí třeba i naprosto regulérní e­mail, což je značně nežádoucí stav.
Nikdy sami neposílejte nevyžádanou poštu, není to etické a pokud půjde o nevyžádané obchodní sdělení dostáváte se také do rozporu se zákonem. Nevyžádanou poštu z vaší schránky ale může posílat také někdo jiný, pokud by získal vaše přístupové údaje. Dávejte si tedy na své heslo ke schránce elektronické pošty dobrý pozor, zejména si dejte pozor na phishing (viz dále). Provozovatel zneužívané schránky ji zpravidla velmi rychle zablokuje a neřeší zda spamy posílal uživatel nebo někdo jiný jeho jménem.

Phishing a sociální inženýrství

Phishing (čti fišing) je podvodná technika používaná na Internetu k získávání důvěrných informací od uživatelů. Typicky je zaměřená na zcizení a zneužití přihlašovacích údajů nebo čísel kreditních karet. Zpravidla je e­mailem nebo jiným způsobem odeslána phishingová zpráva, která má svým sdělením v oběti vyvolat pocit naléhavosti nebo vytváří neexistující problém, který je potřeba urgentně řešit. Odesílatel se často vydává za nějakou autoritu, například šéfa, administrátora systému nebo pracovníka úřadu. Tyto metody ve zprávě mají za úkol odvést pozornost, vyvolat v oběti strach a nedat příliš prostoru pro přemýšlení. Odborně se jim říká metody sociálního inženýrství.

Obdržená elektronická zpráva pak dále obsahuje buď jednoduchý formulář v textu, který útočník požaduje vyplnit a odeslat zpět, nebo častěji obsahuje odkaz na falešnou stránku s přihlašovacím formulářem, kdy po jeho vyplnění jsou důvěrné informace v podobě přihlašovacího jména a hesla odeslány útočníkovi. Mimo formuláře a odkazu na falešnou stránku může také obsahovat nebezpečnou přílohu se škodlivým kódem. Útočník nutí oběť, aby přílohu otevřela a škodlivý kód tak spustila na svém počítači, čímž může nad počítačem získat kontrolu. Nebo může například získávat záznam stisknutých kláves, čímž opět může získat přihlašovací údaje. Pokud obdržíme elektronickou zprávu, vždy je potřeba ověřit, kdo nám vlastně zprávu posílá a pokud žádá sdělení důvěrných informací, musíme být obezřetní a podezřívaví. Před odesláním těchto informací si například ověřit telefonicky, že zprávu opravdu odeslala osoba, která je v elektronické zprávě uvedena.

Pozor

Banka nebo administrátor jakékoli služby (e­mailová schránka, sociální sítě…) nikdy nepotřebuje heslo uživatele, aby mohl spravovat uživatelský účet. Pokud o heslo žádá, jedná se o podvod. Heslo nikdy nevyzrazujte!

Hoax

Hoax je nepravdivá, zpravidla poplašná zpráva, šířená hromadnou korespondencí nebo běžným přeposíláním. Velmi často mají hoaxy charakter řetězové zprávy, tj. obsahují požadavek na odeslání dalším lidem. Takové zprávy je třeba si ověřit buď selským rozumem nebo na https://hoax.cz a rozhodně je neposílat dál. Případně je také vhodné upozornit odesílatele, že posílá hoax, aby se příště zamysel před tím než vypustí nepravdu do světa a poničí si svou reputaci.

4. Shrnutí

Po přečtení této kapitoly víme, že používání e­mailů je snadné. K odeslání elektronické zprávy nám stačí pouze mít zřízenou svou elektronickou schránku a znát e­mailovou adresu toho, komu chceme zprávu poslat. O doručení zprávy se pak již postarají poštovní servery. Z principu fungování elektronické pošty za sebou posílání zpráv zanechává zřetelnou digitální stopu, a lze tedy snadno vystopovat, kudy zpráva putovala.

I při práci s e­mailem je třeba dodržovat určité zásady, aby nedocházelo k problémům se zneužíváním e­mailové služby. Součástí je také chování, které případným kyberkriminálníkům nijak nenahrává – například volba silného hesla pro přihlášení, správné odesílání hromadných zpráv apod.

Vysvětlili jsme si, proč je vhodné vyhýbat se hromadné korespondenci, případně jaká musíme dodržovat pravidla, že spam je srovnatelný s letákovou kampaní a pokud mě nezajímá, je lepší zprávy smazat. Už víme, že phishingové zprávy se snaží vylákat z uživatelů důvěrné informace, například heslo, a že hoax je nepravdivá, poplašná zpráva. Také víme, že e­mailové zprávy jsou schopné přenášet také přílohy, což může být libovolný soubor, včetně virů a jiného škodlivého kódu.