Tanie znicze i mandaty za prędkość. Uwaga na oszustów w sieci

CERT Polska to zespół reagowania na incydenty związane z cyberbezpieczeństwem, który działa w strukturach Państwowego Instytutu Badawczego NASK. Jego eksperci monitorują zagrożenia w polskiej cyberprzestrzeni a także analizują zgłoszenia dotyczące podejrzanych wiadomości i SMS-ów.

W ciągu ostatniego tygodnia zespół opublikował cztery komunikaty o tego typu przypadkach. Znalazły się wśród nich ostrzeżenia przed trwającymi właśnie kampaniami phishingowymi.

Phishing to metoda oszustwa polegająca na podszywaniu się pod zaufaną osobę lub instytucję w celu wyłudzenia danych takich jak loginy, hasła czy numery kart płatniczych albo nakłonienia ofiary do przelania pieniędzy.

„Do CERT Polska trafiają zgłoszenia dotyczące fałszywych sklepów internetowych oferujących znicze, wkłady i dekoracje nagrobne w wyjątkowo atrakcyjnych cenach” – poinformował zespół w sobotę. Jak dodał, zbliżające się uroczystość Wszystkich Świętych i Zaduszki, a wraz z nimi wzmożone zainteresowanie zakupem zniczy i kwiatów na groby, to okazja chętnie wykorzystywana przez cyberprzestępców.

Na opublikowanych przez zespół zrzutach ekranu widać jedną z takich stron, działającą pod nazwą „Tanie Znicze” i oferującą znicze szklane i solarne LED w cenach rzekomo obniżonych o połowę.

Co, jeśli ktoś zrobi na niej zakupy? 

Jak tłumaczy CERT Polska, po skompletowaniu koszyka użytkownik proszony jest o wypełnienie pól z danymi, co pozwala przestępcom wyłudzić dane osobowe, kart płatniczych oraz logowania do bankowości elektronicznej. Po zatwierdzeniu płatności kupujący może stracić pieniądze, a przekazane informacje mogą posłużyć do kolejnych nieuprawnionych transakcji lub przejęcia dostępu do konta.

Pokazana przez CERT Polska strona to jeden z przykładów fałszywych sklepów. Zespół zaleca ostrożność osobom, które znajdą w sieci oferty z cenami znacznie odbiegającymi od rynkowych. Rekomenduje także wyszukanie opinii o sklepie w niezależnych źródłach oraz sprawdzenie danych sprzedawcy i regulaminu.

Kolejne ostrzeżenie dotyczy kampanii, w której cyberprzestępcy podszywają się pod PKO Bank Polski. CERT poinformował, że otrzymał w tej sprawie liczne zgłoszenia. Odnosiły się do wiadomości e-mail, w których oszuści informowali o konieczności aktualizacji danych klienta banku oraz potwierdzenia tożsamości.

„Odbiorca jest ostrzegany, że brak działania może skutkować ograniczeniem dostępu do wybranych funkcji konta” – czytamy w ostrzeżeniu.

Opublikowany przez CERT Polska mail z tytułem „Aktualizacja danych klienta – ograniczenie funkcji konta” przyszedł od nadawcy opisanego jako PKO Bank Polski, który nie korzystał jednak z adresu w domenie tego banku. „Szanowny Kliencie, w ramach okresowej weryfikacji danych prosimy o aktualizację dokumentów oraz potwierdzenie tożsamości w serwisie internetowym PKO Bank Polski” – czytamy w wiadomości przypominającej oficjalne maile banku i podpisanej przez „Dział Obsługi Klienta”.

Znajdujący się w niej link prowadził do strony podszywającej się pod serwis iPKO. Wprowadzone na niej informacje oszuści mogą wykorzystać w celu przejęcia dostępu do konta bankowego lub kolejnych prób wyłudzenia danych.

CERT wskazuje, że ostrożność powinny wzbudzać wiadomości grożące ograniczeniem dostępu do konta lub wywołujące presję czasu. Z bankowości internetowej najlepiej korzystać, wpisując samodzielnie adres oficjalnej strony banku w przeglądarce albo używając jego aplikacji mobilnej.

„Dziś taki dostałem, prawie bym się nabrał…” – napisał na Facebooku Michał z Warszawy, komentując kolejne ostrzeżenie – przed SMS-ami podszywającymi się pod Główny Inspektorat Transportu Drogowego. Komunikat w tej sprawie przygotował CSIRT KNF, zespół reagowania na incydenty bezpieczeństwa działający w strukturach Urzędu Komisji Nadzoru Finansowego.

W fałszywych SMS-ach cyberprzestępcy informują o aktualizacji sprawy dotyczącej przekroczenia prędkości i zachęcają do sprawdzenia szczegółów. „Twoja sprawa dotycząca przekroczenia prędkości została zaktualizowana. Zweryfikuj szczegóły” – czytamy w wiadomości podszywającej się pod SMS od GITD. „Oszuści nadpisują identyfikator nadawcy w taki sposób, że SMS może trafić do wcześniejszej korespondencji [od danej instytucji], przez co wiadomość nabiera wiarygodności” – ostrzega CSIRT.

Linki zamieszczone w wiadomościach prowadzą do fałszywych stron internetowych, na których oszuści nakłaniają do jak najszybszego opłacenia rzekomego mandatu. Na jednej z nich, podszywającej się pod witrynę KPRM, oszuści informują o rzekomo zarejestrowanym wykroczeniu drogowym i obiecują obniżenie mandatu w przypadku płatności w ciągu siedmiu dni. „Celem przestępców jest wyłudzenie numeru prawa jazdy oraz danych kart płatniczych” – ostrzega CSIRT.

Ostatnie z najnowszych ostrzeżeń dotyczy e-maili z „nagraniem” uszkodzonego produktu. Według CERT Polska to część obserwowanej właśnie kampanii dystrybucji złośliwego oprogramowania, w której cyberprzestępcy podszywają się pod klientów zgłaszających problemy z zamówionym towarem.

Wiadomość e-mail wygląda jak zgłoszenie reklamacyjne od klienta. Nadawca twierdzi, że otrzymał uszkodzony towar. „Jak odesłać uszkodzony produkt” – pyta w tytule wiadomości. Czytamy w niej, że rzekomy klient, „Aleksander Kowalski”, po otwarciu przesyłki zauważył poważne uszkodzenie produktu (nie dowiadujemy się, o jaki produkt chodzi). Na dowód rzekomo przesyła link do zdjęć i filmów.

W rzeczywistości kampania służy rozpowszechnianiu złośliwego oprogramowania. „Z analizy wykonanej przez CERT Polska wynika, że przekazywane w załączniku oprogramowanie należy do rodziny malware Purerat” – podał CERT. Jest to tzw. trojan, który może umożliwić przestępcom kontrolowanie zainfekowanego urządzenia. CERT nie wyjaśnia szczegółowo, w jaki sposób to oprogramowanie trafia na urządzenie odbiorcy.

Jak dodał zespół, podobne ataki obserwowano wcześniej np. w Japonii, gdzie wykorzystywano wiadomości phishingowe i fałszywe strony do rozpowszechniania złośliwego oprogramowania. „Jeśli otrzymasz podobną wiadomość, nie otwieraj załącznika” – zaleca CERT. Rekomenduje, aby zwracać uwagę na rozszerzenia załączników. Rozszerzenia takie jak .rar, .zip, .exe czy .js mogą wskazywać, że załącznik zawiera coś innego niż wynikałoby to z treści maila.

Podobne podejrzane wiadomości i SMS-y można zgłosić do CERT Polska za pośrednictwem formularza na stronie incydent.cert.pl albo usługi „Bezpiecznie w sieci” w aplikacji mObywatel.