Miniony tydzień to fala oszustw żerujących na zakupach. Fałszywy mail „od Allegro", podrobiona aplikacja mBanku, phishing z uczelnianych skrzynek i wyciek 1,3 TB danych u producenta Ozempicu. Przegląd najgłośniejszych scamów.
Czekasz na paczkę? W tym tygodniu to wystarczający powód, żeby stać się celem. Przestępcy nie wymyślają niczego nowego. Po prostu trafiają w moment, w którym akurat coś zamówiłeś. Oto cztery schematy, które warto znać.
„Allegro" i błąd w adresie dostawy
18 czerwca CERT Orange Polska opisał kampanię mailową podszywającą się pod Allegro. Pretekst jest banalny. Rzekomy błąd w adresie dostawy, który trzeba pilnie poprawić, bo inaczej paczka nie dojdzie. Cała sztuczka stoi na pośpiechu i strachu przed utratą przesyłki.
Pierwszy sygnał ostrzegawczy widać po rozwinięciu nadawcy. Zamiast domeny @allegro.pl pojawia się coś w stylu admin@aruma[.]app. Jak podaje CERT Orange, prawdziwe komunikaty Allegro nigdy nie wychodzą z obcych domen. Mail trafia zresztą także do osób, które konta na Allegro w ogóle nie mają. Przestępcy strzelają na oślep i liczą na masowy zasięg.
Po kliknięciu ofiara przechodzi przez fałszywy formularz płatności, a skrypt w tle wysyła wpisywane znaki prosto na serwer oszusta. Przestępca widzi wszystko na żywo. Kiedy bank przyśle kod autoryzacyjny SMS-em, na stronie natychmiast wyskakuje kolejne okienko z prośbą o przepisanie tego kodu. Tyle wystarczy, żeby wyczyścić konto.
Fałszywa aplikacja mBanku i karta przy telefonie
Tu robi się technicznie. mBank ostrzegał niedawno przed wariantem oszustwa telefonicznego. Przestępca podszywa się pod pracownika banku, straszy zagrożonymi środkami albo kredytem rzekomo branym na nasze dane, a potem wysyła SMS z linkiem. Link instaluje fałszywą aplikację.
Aplikacja prosi o PIN do karty, a następnie każe przyłożyć ją do telefonu z włączonym NFC i zatwierdzić operację. Czasem kilka razy. W ten sposób oszust zdobywa dane potrzebne do transakcji. Bank powtarza prostą zasadę: jego pracownik nigdy nie poprosi o PIN ani o odinstalowanie prawdziwej aplikacji i wgranie „nowej wersji". Sama taka prośba to sygnał alarmowy.
W ostatnim tygodniu mBank uruchomił funkcję, która ma temu przeciwdziałać. Kiedy odbierasz telefon od rzekomego pracownika i w tym samym czasie logujesz się do aplikacji, na ekranie może pojawić się komunikat „nie rozmawiasz teraz z mBankiem". To dodatek do dotychczasowych zabezpieczeń, nie ich zastępstwo. Ale dobrze pokazuje, gdzie banki widzą dziś główne pole walki.
Phishing na studentów z uczelnianej skrzynki
CERT Polska obserwuje kampanię wymierzoną w środowisko akademickie. Pretekst to zaległa opłata za studia. Haczyk, który odróżnia ten scam od typowego phishingu, może być skuteczny, bo wiadomości przychodzą z prawdziwych skrzynek w domenie uczelni. Przestępcy przejmują konta studentów, doktorantów i pracowników, żeby dotrzeć do reszty społeczności. Adres nadawcy wygląda więc wiarygodnie, bo faktycznie jest prawdziwy. CERT radzi jedno. Zanim zapłacisz albo podasz dane logowania, zweryfikuj żądanie w dziekanacie.
Spear-phishing, ransomware i przypadek Novo Nordisk
Na koniec szersze tło. Z oficjalnych statystyk CERT Polska wynika, że w ubiegłym roku phishing odpowiadał za około 30 proc. zarejestrowanych w kraju naruszeń. Zmienia się jednak jego charakter. Według danych przytaczanych przez firmę Cyber360, dostawcę usług bezpieczeństwa z oczywistym interesem w promowaniu własnej oferty, przestępcy dzięki narzędziom AI odchodzą od masowych wysyłek na rzecz spersonalizowanych kampanii. To tak zwany spear-phishing, który omija tradycyjne filtry pocztowe. Cyber360 powołuje się też na Europol, według którego monitorowanych jest już ponad 120 aktywnych grup ransomware. Coraz częściej rezygnują one z szyfrowania dysków na rzecz groźby ujawnienia wykradzionych danych.
Ten trend dobrze widać na przykładzie spoza Polski. Jak donosi Reuters, grupa FulcrumSec twierdzi, że wykradła 1,3 TB danych duńskiego koncernu Novo Nordisk, producenta popularnych leków na otyłość i cukrzycę, Wegovy i Ozempic. Przestępcy zażądali 25 mln dolarów okupu, na co firma miała się nie zgodzić. Wśród rzekomo skradzionych informacji mają być dane pacjentów i pracowników oraz własność intelektualna: niejawne programy lekowe i wewnętrzne modele AI. Novo Nordisk potwierdził, że wykrył incydent i nieuprawniony dostęp do części wewnętrznych systemów. Kamil Sadkowski z ESET czyta to jako odejście od klasycznego szyfrowania w stronę kradzieży samych danych. Dorzuca, że organizacje coraz częściej odmawiają płacenia, bo okup tylko zachęca do kolejnych ataków, a większość firm ma działające kopie zapasowe.
