CERT Orange Polska alerta de phishing contra clientes de PKO BP

CERT Orange Polska ha detectado una campaña de phishing dirigida a clientes de PKO Bank Polski. Los estafadores envían correos que conducen a una página que suplanta el panel bancario iPKO biznes, donde intentan hacerse con el usuario, la contraseña y el segundo factor de autenticación.

El mensaje imita la correspondencia bancaria habitual, pero la dirección del remitente lo delata: node-jegw56-core(@)ispgateway(.)de. En algunos casos los atacantes adjuntan además un PDF cuyo nombre sugiere la necesidad de actualizar datos. Según CERT Orange Polska, ese archivo no contiene malware: es un documento auténtico que se usa en la relación con clientes empresariales.

Redirección en varios pasos

Al pulsar el enlace, la víctima no llega de inmediato al falso sitio bancario. Primero aterriza en una página intermedia cuya dirección está escrita en formato IPv6 asignado a IPv4 (IPv4-mapped), un modo de ocultar una dirección IPv4 corriente que puede dificultar el análisis automático y hacer que algunos usuarios no perciban la amenaza. Solo después se la redirige a biznes.rzad-pl(.)net, una web que imita el acceso a iPKO biznes. Los delincuentes incluso añadieron al pie un aviso contra mensajes falsos de ciberdelincuentes.

El ataque no termina al introducir la contraseña. La víctima ve durante mucho tiempo un indicador de progreso que sugiere más fases de inicio de sesión. Mientras tanto, el atacante puede intentar entrar en la cuenta real y lograr que se apruebe una operación en la aplicación o se facilite un código SMS, según cómo esté configurada la autenticación del banco.

Los analistas registraron también una variante sin adjunto, en la que el correo guía al destinatario paso a paso para enviar supuestos documentos pendientes. Quien cree estar confirmando su identidad puede entregar el código del segundo factor y facilitar el acceso a su cuenta.

Qué hacer

Los analistas subrayan que este tipo de phishing no se limita a PKO BP y puede aprovechar la imagen de otras entidades financieras. Quien haya introducido sus credenciales en una página sospechosa debe contactar de inmediato con su banco.