CERT Orange Polska يحذّر من حملة تصيّد تستهدف عملاء PKO BP

رصد فريق CERT Orange Polska حملة تصيّد إلكتروني تستهدف عملاء بنك PKO Bank Polski. يرسل المحتالون رسائل بريد إلكتروني تقود إلى موقع ينتحل صفة iPKO biznes، بهدف الاستيلاء على اسم المستخدم وكلمة المرور وعامل التحقق الثاني.

كيف يعمل الهجوم

تبدو الرسالة المزيّفة كمراسلة مصرفية عادية، لكن عنوان المرسل يكشفها: node-jegw56-core(@)ispgateway(.)de. وفي بعض الحالات يرفق المحتالون ملف PDF يوحي اسمه بضرورة تحديث البيانات. وبحسب الفريق، لا يحتوي المرفق على برمجيات خبيثة، فهو مستند حقيقي يُستخدم في التعامل مع عملاء الشركات.

لا يقود الرابط في البريد مباشرة إلى موقع البنك المزيّف. فالمستخدم يصل أولًا إلى صفحة وسيطة كُتب عنوانها بصيغة IPv4-mapped IPv6، وهي طريقة تخفي عنوان IPv4 المعتاد، وقد تصعّب التحليل الآلي وتمنع بعض المستخدمين من ملاحظة الخطر. بعد ذلك تتم إعادة التوجيه إلى النطاق biznes.rzad-pl(.)net الذي يحاكي لوحة iPKO biznes. وأضاف المحتالون في أسفل الصفحة تنبيهًا يحذّر من الرسائل المزيّفة الصادرة عن مجرمي الإنترنت.

استهداف العامل الثاني

لا ينتهي الهجوم عند كلمة المرور. فبعد إدخالها يرى الضحية مؤشر تقدّم يدور طويلًا يوحي بوجود «مراحل لاحقة» لتسجيل الدخول. وخلال ذلك قد يحاول المهاجم الدخول إلى الحساب الحقيقي ودفع الضحية إلى الموافقة على العملية في التطبيق أو إدخال رمز SMS، بحسب إعدادات المصادقة في البنك.

كما سجّل المحللون نسخة أخرى من الحملة بلا مرفق، إذ يقود نص الرسالة المستلم خطوة بخطوة إلى إرسال مستندات ناقصة مزعومة. وقد يسلّم من يعتقد أنه يؤكد هويته رمز العامل الثاني للمحتال، ما يسهّل الاستيلاء على حسابه.

ويؤكد CERT Orange Polska أن هذا النوع من التصيّد قد لا يقتصر على PKO BP، وقد يستغل هوية مؤسسات مالية أخرى. وعلى من أدخل بيانات الدخول في موقع مشبوه التواصل فورًا مع مصرفه.