Dwie kampanie phishingowe, dwa różne pretekstyty, jeden mechanizm końcowy – formularz po drugiej stronie linku, który prosi o dane karty. Pierwsza podszywa się pod operatora autostrady, druga pod zakład ubezpieczeń.
Stalexport Autostrada Małopolska, koncesjonariusz odcinka A4 między Katowicami a Krakowem, otrzymał sygnały o wiadomościach SMS informujących o rzekomym mandacie za przekroczenie prędkości. Wiadomość zawiera krótki termin zapłaty, sugestię konsekwencji prawnych oraz link prowadzący do strony łudząco podobnej do serwisu instytucji publicznej.
– Nie wysyłamy tego typu wiadomości SMS z informacją o konieczności zapłaty mandatu za przekroczenie prędkości. W żadnym wypadku nie należy klikać w przesłany link internetowy – mówi Daniel Gryt, rzecznik prasowy Stalexport Autostrada Małopolska.
Po wejściu na podstawioną stronę odbiorca proszony jest najpierw o numer rejestracyjny pojazdu. W kolejnym kroku formularz prosi już o komplet danych karty płatniczej – numer, datę ważności, kod CVV. Według ekspertów ds. cyberbezpieczeństwa, na których powołuje się spółka, oszuści coraz częściej kopiują szatę graficzną oficjalnych serwisów państwowych i podmiotów obsługujących ruch drogowy, co dodatkowo usypia czujność.
Gryt przypomina, że podejrzane SMS-y można bezpłatnie przekazywać do CERT Polska na numer 8080. Informacji o zaległych mandatach nie dostaniemy SMS-em – takie sprawy załatwiane są wyłącznie oficjalnymi kanałami komunikacji instytucji publicznych.
Mail o „nadpłacie składki” – podszywanie pod ubezpieczyciela
Drugi scam, opisany w komunikacie Rzecznika Finansowego, dotyczy rynku ubezpieczeń. Do biura RF trafił sygnał od klienta towarzystwa ubezpieczeniowego, który otrzymał e-maila o rzekomej podwójnej płatności składki i propozycji zwrotu nadpłaty. Wystarczyło wpisać dane karty.
– Osoba, która otrzymała takiego maila, rzeczywiście była klientem towarzystwa ubezpieczeniowego, którego nazwa widniała w pozycji „nadawca”. Przy czym jej wątpliwości wzbudził podejrzany adres nadawcy, zupełnie niezwiązany z firmą. Dodatkowo oszuści w mailingu nie pokusili się o wykorzystanie logotypu firmy i pełnej nazwy, co również było niepokojącym sygnałem – mówi Eliza Gużewska, zastępca dyrektora Departamentu Klienta Rynku Ubezpieczeniowo-Emerytalnego w Biurze Rzecznika Finansowego.
Link w wiadomości był skróconym adresem, który ukrywał właściwą domenę. Po przekierowaniu użytkownik trafiał na stronę pod adresem home[.]update-subscription[.]net – tu już z perfekcyjnie skopiowaną kolorystyką i pełną nazwą jednego ze znanych zakładów ubezpieczeń. CERT Polska umieścił domenę na Liście Ostrzeżeń, blokując do niej dostęp polskim użytkownikom.
– Aby nie dać się oszukać, kluczowe jest zwrócenie uwagi na adres strony. To jedyny element, którego przestępcy nie są w stanie skopiować z oficjalnej witryny instytucji – wskazuje Iwona Prószyńska, kierownik Zespołu ds. Strategicznej Komunikacji Cyberbezpieczeństwa w CSIRT NASK, cytowana przez RF.
Polska Izba Ubezpieczeń potwierdza, że podszywanie się pod ubezpieczycieli to rosnący trend. Artur Dziekański, rzecznik prasowy PIU, w komunikacie Rzecznika Finansowego przypomina, że żaden zakład ubezpieczeń nie prosi telefonicznie ani mailowo o pełne dane logowania do bankowości elektronicznej, kod PIN czy numer CVV/CVC z karty płatniczej. Każdą wątpliwą wiadomość lepiej zweryfikować, dzwoniąc na infolinię z danych umieszczonych na oficjalnej stronie ubezpieczyciela.
Co łączy obie kampanie?
Schemat jest identyczny: zaufana marka w roli nadawcy, pretext finansowy (mandat lub zwrot pieniędzy), presja czasu, link prowadzący do formularza z polami na dane karty. Różni się jedynie kanał – SMS lub e-mail – i scenariusz fabularny.
- Podejrzane wiadomości można zgłaszać:
- na bezpłatny numer 8080 (SMS-y),
- przez formularz incydent.cert.pl,
- przez usługę „Bezpiecznie w sieci” w aplikacji mObywatel.
Po zgłoszeniu CERT Polska weryfikuje treść, a niebezpieczne domeny trafiają na Listę Ostrzeżeń, co ogranicza ich dostępność dla polskich użytkowników internetu.
