Ostrzeżenie dla wszystkich pacjentów. Fala fałszywych maili z logiem NFZ

Eksperci z CERT Orange zidentyfikowali nową, niebezpieczną kampanię phishingową wymierzoną w polskich pacjentów. Przestępcy bezwzględnie wykorzystują wizerunek Narodowego Funduszu Zdrowia (NFZ), rozsyłając fałszywe wiadomości e-mail dotyczące rzekomej aktualizacji systemu oraz przysługującego zwrotu kosztów leczenia. Celem tego cyberataku jest kradzież pełnych danych kart płatniczych niewinnych osób

Mechanizm oszustwa: Jak działają cyberprzestępcy?

Oszuści przygotowali niezwykle dopracowane i profesjonalnie wyglądające wiadomości, które imitują oficjalne komunikaty. Po kliknięciu w zawarty w mailu link, użytkownik jest przekierowywany na stronę łudząco podobną do prawdziwego serwisu NFZ. Witryna została uzupełniona o elementy budujące technologiczną wiarygodność, takie jak komunikaty o plikach cookies czy ustawienia zgód prywatności, co ma na celu uśpienie czujności ofiary.

Kluczowym elementem ataku jest wywarcie presji i nakłonienie odbiorcy do szybkiego działania pod pretekstem „weryfikacji”. W rzeczywistości cały ten dwuetapowy proces służy wyłącznie do przejęcia numeru karty, daty jej ważności oraz tajnego kodu CVV. Skala procederu wymusiła publikację pilnego ostrzeżenia przez operatorów bezpieczeństwa.

Analiza fałszywej domeny

Najważniejszym sygnałem ostrzegawczym, który pozwala zdemaskować oszustów, jest adres URL strony widoczny w pasku przeglądarki. W wykrytym przypadku pojawia się tam podejrzana, rozbudowana domena: auto-renwal-id564375-nfz-pl[.]verbiertenverboten[.]de.

Należy pamiętać, że polskie instytucje publiczne, na czele z NFZ, nie korzystają z niemieckich rozszerzeń (.de) ani z rozbudowanych subdomen na prywatnych serwerach.

• Oficjalny kanał NFZ: Domena to zawsze nfz.gov.pl. Wszelkie zwroty finansowe są realizowane automatycznie w formie przelewu na zadeklarowany wcześniej w systemach urzędowych numer konta bankowego. Do autoryzacji w oficjalnych serwisach używa się numeru PESEL lub bezpiecznego logowania przez IKP. Na rządowych stronach nigdy nie ma próśb o dane finansowe.

• Fałszywa strona (Phishing): Adres URL zawiera końcówkę .de, .com lub długie, nienaturalne ciągi cyfr i słów. Warunkiem otrzymania rzekomych pieniędzy jest „weryfikacja” karty płatniczej poprzez podanie jej pełnego numeru, daty ważności i kodu CVV. Na stronie widoczne są formularze płatności oraz komunikaty zmuszające do pośpiechu.

Należy pamiętać również, że oficjalne instytucje państwowe, w tym NFZ, nigdy nie proszą o podanie kodu CVV ani pełnych danych karty w celu wypłaty jakichkolwiek środków.