CERT Orange Polska alerte sur un phishing visant PKO BP

Le CERT Orange Polska a détecté une campagne d'hameçonnage (phishing) visant les clients de PKO Bank Polski. Les escrocs envoient des courriels qui mènent vers une page imitant le portail bancaire iPKO biznes, où ils tentent de récupérer l'identifiant, le mot de passe et le second facteur d'authentification.

Le message est conçu pour ressembler à un courrier bancaire ordinaire, mais l'adresse de l'expéditeur le trahit : node-jegw56-core(@)ispgateway(.)de. Parfois, les pirates joignent aussi un PDF dont le nom laisse croire à une mise à jour des données. Selon le CERT Orange Polska, ce fichier ne contient aucun logiciel malveillant : il s'agit d'un véritable document utilisé dans les échanges avec les clients professionnels.

Une redirection en plusieurs étapes

Le clic sur le lien n'envoie pas directement vers la fausse banque. La victime arrive d'abord sur une page intermédiaire dont l'adresse est écrite au format IPv6 « IPv4-mapped », une manière de dissimuler une adresse IPv4 classique qui peut gêner l'analyse automatique et empêcher certains internautes de repérer le danger. Ce n'est qu'ensuite qu'elle est redirigée vers biznes.rzad-pl(.)net, un site qui copie la connexion à iPKO biznes. Les fraudeurs ont même ajouté en bas de page un avertissement contre les faux messages de cybercriminels.

L'attaque ne s'arrête pas à la saisie du mot de passe. La victime voit un indicateur de progression tourner longuement, censé évoquer de nouvelles étapes de connexion. Pendant ce temps, l'attaquant peut tenter d'accéder au vrai compte et pousser la victime à valider une opération dans l'application ou à saisir un code SMS, selon la configuration de l'authentification.

Les analystes ont aussi relevé une variante sans pièce jointe, où le courriel guide le destinataire pas à pas pour un prétendu envoi de documents manquants. Croyant confirmer son identité, la personne peut transmettre le code du second facteur et faciliter la prise de contrôle du compte.

Que faire

Les analystes soulignent que ce type de phishing ne se limite pas à PKO BP et peut exploiter l'image d'autres établissements financiers. Toute personne ayant saisi ses identifiants sur une page suspecte doit contacter sans délai sa banque.