Horror klientów banków. Nieostrożni zostali bez środków do życia

CERT Orange Polska zidentyfikował nową falę ataków phishingowych, które zagrażają klientom polskich banków. Oszuści podszywają się pod znane instytucje finansowe, próbując wyłudzić dane logowania do kont bankowych, co prowadzi do ich opróżnienia. To nie pierwszy tego typu atak, ale ten jest bardzo rozległy.

Przestępcy rozsyłają wiadomości SMS, które mogą wyglądać jak oficjalne komunikaty od banków. W treści takich wiadomości znajduje się informacja o rzekomym wygaśnięciu ważności konta lub dostępu do aplikacji mobilnej. Celem jest wywołanie paniki, skłaniając ofiarę do natychmiastowego działania bez zastanowienia.

W wiadomościach pojawiają się nazwy banków, takich jak Alior, BNP, Santander czy Pekao, jednak specjaliści zwracają uwagę, że klienci innych banków również powinni zachować szczególną ostrożność.

CERT Orange Polska ujawnił przykłady wiadomości, które zostały przechwycone:

• „[ALIOR BANK] Twoje Alior-Mobile kontó wygaśa dnia 17\09\2024, uk oncz weryfikację aby uniknąć źáblokowania konta. Link z instrukcja weryfikacji: hxxps://alior.016945[.]com”
• „BNP Twoja rejestracja mobilna wygasa16.09.24. odblokuj tutaj hxxps://bnp.044008[.]com”
• „[SANTANDER] Twoje Santánder-Mobile kontó wygasa dnía, 16\09\2024, Ukóncz weryfíkacje aby uníknac zàblokowaníá konta. Link z instrukcjá wéryfíkacji: SnataBiombile[.]com”
• „PEKAO Rejestracja Peopay-Mobile wygasa 13.10.24. zapobiec blokowaniu: hxxps://peopeka024[.]com/l/logowanie/e”

Oszuści wykorzystują różne techniki, aby zwiększyć szanse powodzenia swoich ataków:

1. Wprowadzają poczucie pilności, grożąc zablokowaniem konta.
2. Używają nietypowych znaków, takich jak „ogonki” w literach, by ominąć filtry.
3. Zawierają linki do stron imitujących oficjalne witryny banków, co ma na celu zmylenie użytkowników.

Eksperci zalecają

• Zachowanie czujności wobec niespodziewanych wiadomości od banków.
• Unikanie klikania w linki zawarte w podejrzanych SMS-ach.
• Kontaktowanie się z bankiem wyłącznie poprzez oficjalne kanały komunikacyjne.
• Regularne sprawdzanie stanu konta w celu wykrycia nieautoryzowanych transakcji.

CERT Orange Polska podkreśla, że choć obecny system filtrujący zadziałał, zawsze istnieje ryzyko, że kolejne próby oszustw mogą nie zostać wychwycone. Dlatego użytkownicy powinni być świadomi zagrożeń i podejmować kroki, aby chronić swoje dane.

Jak odróżnić prawdziwe wiadomości od fałszywych?

Phishingowe wiadomości często na pierwszy rzut oka mogą przypominać prawdziwe komunikaty bankowe. Istnieje jednak kilka cech, które mogą pomóc w ich rozpoznaniu:

• Sprawdzenie nadawcy: Fałszywe wiadomości często pochodzą z nietypowych numerów lub adresów, które różnią się od oficjalnych kanałów komunikacyjnych banku. Nawet jeśli nazwa banku pojawia się w wiadomości, warto zwrócić uwagę na szczegóły numeru.
• Język i styl: Fałszywe wiadomości często zawierają błędy językowe, literówki lub nietypowe znaki. Banki dbają o poprawność językową swoich komunikatów, więc jakiekolwiek błędy mogą być sygnałem, że wiadomość jest oszustwem.
• Poczucie pilności: Oszuści często stosują strategię wywoływania paniki, sugerując, że konieczne jest natychmiastowe działanie. Banki zazwyczaj dają więcej czasu na odpowiedź i nie używają tak naglących sformułowań.
• Nie klikanie w linki: Nawet jeśli wiadomość wydaje się wiarygodna, najlepiej unikać klikania w zawarte w niej linki. Zamiast tego warto samodzielnie wpisać adres banku w przeglądarce.
• Weryfikacja u źródła: W przypadku jakichkolwiek wątpliwości najlepiej odwiedzić oficjalną stronę banku lub skontaktować się z nim bezpośrednio.

Zaawansowane techniki oszustów

Techniki rozwijają się z roku na rok, a 2023 przyniósł kilka nowych, niestety skutecznych metod stosowanych przez cyberprzestępców.

AI-Powered Phishing

Wzrost zastosowania sztucznej inteligencji przez oszustów pozwala na tworzenie niezwykle spersonalizowanych wiadomości. Dzięki analizie danych z social mediów, ataki te stają się coraz bardziej realistyczne i trudniejsze do rozpoznania. Cyberprzestępcy naśladują styl i ton komunikacji zaufanych osób lub instytucji, co czyni phishing bardziej przekonującym

Deepfake Phishing

Zastosowanie technologii deepfake do tworzenia fałszywych nagrań wideo lub audio to jeden z najnowszych trendów. Oszuści mogą podszywać się pod znane osoby, prosząc o wrażliwe dane lub przekonując do kliknięcia w szkodliwe linki

Phishing z kodami QR

Popularność kodów QR znacząco wzrosła, co sprawiło, że cyberprzestępcy zaczęli wykorzystywać je do phishingu. Kody te przekierowują ofiary na fałszywe strony, co utrudnia wykrycie oszustwa, zwłaszcza że często atak przenosi się na inne urządzenie, np. telefon.

Mobile Phishing

Ataki ukierunkowane na urządzenia mobilne są coraz częstsze. Małe ekrany urządzeń mobilnych są wykorzystywane przez oszustów do ukrywania prawdziwych adresów URL lub zniekształcania interfejsów, co utrudnia użytkownikom rozpoznanie zagrożenia

Whaling

Ataki te są ukierunkowane na osoby pełniące ważne funkcje w organizacjach, takie jak dyrektorzy czy prezesi. Ich celem jest uzyskanie dostępu do dużych ilości danych lub wymuszenie przelewów finansowych

Bypass MFA

Przestępcy opracowują techniki omijania wieloskładnikowego uwierzytelniania (MFA). Obejmuje to m.in. przechwytywanie kodów autoryzacyjnych w czasie rzeczywistym, co pozwala na uzyskanie dostępu do kont mimo zabezpieczeń.

Każda z tych metod pokazuje, że phishing stale ewoluuje, a cyberprzestępcy coraz bardziej wykorzystują zaawansowane technologie. Kluczowa pozostaje świadomość użytkowników oraz regularne szkolenia z zakresu cyberbezpieczeństwa, aby skutecznie przeciwdziałać tego typu zagrożeniom.

Coraz większa liczba oszustw

Phishing pozostaje jednym z najczęściej stosowanych przez cyberprzestępców sposobów na wyłudzenie danych, a jego skala w Polsce rośnie. Według raportu CERT Polska, w 2022 roku zgłoszono ponad 322 tysiące incydentów związanych z cyberbezpieczeństwem, z czego przetworzono ponad 39 tysięcy przypadków – co oznacza wzrost o 34% w porównaniu z rokiem poprzednim. Najczęstszym zgłoszonym incydentem były właśnie próby phishingu, stanowiące 64% wszystkich przypadków.

Wraz z rosnącą popularnością bankowości internetowej i mobilnej, cyberprzestępcy zintensyfikowali swoje działania, próbując wyłudzić dane od użytkowników, zwłaszcza tych mniej zaznajomionych z zagrożeniami w sieci. Oprócz tradycyjnych wiadomości e-mail i SMS, coraz częściej pojawiają się bardziej zaawansowane metody, takie jak vishing (phishing telefoniczny) czy smishing (phishing przez SMS). Straty ofiar tego typu ataków mogą być ogromne, a banki odnotowują coraz więcej przypadków kradzieży dużych sum pieniędzy w wyniku oszustw phishingowych.