CERT Orange Polska warnt vor Phishing gegen PKO-BP-Kunden

CERT Orange Polska hat eine Phishing-Kampagne entdeckt, die sich gegen Kunden der PKO Bank Polski richtet. Die Betrüger verschicken E-Mails, die auf eine Seite führen, die das Banking-Portal iPKO biznes imitiert. Dort wollen sie Login, Passwort und den zweiten Authentifizierungsfaktor abgreifen.

Die Nachricht ist wie gewöhnliche Bankpost gestaltet, doch die Absenderadresse verrät sie: node-jegw56-core(@)ispgateway(.)de. Teils hängen die Täter zusätzlich eine PDF-Datei an, deren Name zur Aktualisierung von Daten auffordert. Laut CERT Orange Polska enthält sie keine Schadsoftware, sondern ist ein echtes Dokument, das im Kontakt mit Firmenkunden verwendet wird.

Mehrstufige Weiterleitung

Der Klick auf den Link führt nicht sofort zur gefälschten Bankseite. Zuerst landet der Empfänger auf einer Zwischenseite, deren Adresse im IPv4-mapped-IPv6-Format notiert ist. Damit wird eine gewöhnliche IPv4-Adresse verschleiert, was automatische Analysen erschweren kann und dafür sorgt, dass manche Nutzer die Gefahr nicht erkennen. Erst danach folgt die Weiterleitung auf biznes.rzad-pl(.)net, eine Seite, die das iPKO-biznes-Login nachahmt. Die Betrüger haben unten sogar einen Hinweis eingefügt, der vor gefälschten Nachrichten von Cyberkriminellen warnt.

Mit der Eingabe des Passworts ist der Angriff nicht beendet. Das Opfer sieht lange einen rotierenden Fortschrittsbalken, der weitere Anmeldeschritte vortäuscht. Währenddessen kann der Angreifer versuchen, sich beim echten Konto anzumelden und das Opfer dazu zu bringen, eine Aktion in der App zu bestätigen oder einen SMS-Code einzugeben, je nach Konfiguration der Authentifizierung.

Die Analysten fanden außerdem eine Variante ohne Anhang. Hier führt die E-Mail den Empfänger Schritt für Schritt durch das angebliche Nachreichen fehlender Dokumente. Wer glaubt, seine Identität zu bestätigen, gibt dem Täter womöglich den Code des zweiten Faktors preis und erleichtert so die Kontoübernahme.

Was Betroffene tun sollten

Die Analysten betonen, dass solches Phishing nicht auf PKO BP beschränkt sein muss und auch das Erscheinungsbild anderer Finanzinstitute nutzen kann. Wer Zugangsdaten auf einer verdächtigen Seite eingegeben hat, sollte sich umgehend an seine Bank wenden.