CERT Orange Polska、PKO BP顧客狙うフィッシングに警告

Orange Polskaの対応チームCERT Orange Polskaは、PKO Bank Polskiの顧客を狙ったフィッシングキャンペーンを確認したと明らかにした。詐欺師は、iPKO biznesを装った偽サイトへ誘導するメールを送り、ログインID、パスワード、そして2要素目の認証情報を奪おうとしている。

巧妙な誘導の手口

偽メールは通常の銀行からの連絡に似せて作られているが、送信元アドレスは node-jegw56-core@ispgateway.de で不審だ。一部には、情報更新の必要性をうかがわせる名前のPDFが添付される。CERTによると、この添付ファイルにマルウェアは含まれておらず、法人顧客とのやり取りで使われる本物の文書だという。

メール内のリンクを押しても、すぐ偽の銀行サイトには移動しない。まずIPv4射影IPv6形式で書かれたアドレスの中継ページを経由する。通常のIPv4アドレスを隠す方法で、自動解析を難しくし、利用者が危険に気づきにくくなる。その後、iPKO biznesのパネルを装った biznes.rzad-pl.net へ転送される。偽サイトの下部には、サイバー犯罪者からの偽メールに注意するよう促す文言まで加えられていた。

パスワード入力後、被害者には長く回転する進行表示が出て、「次の手順」が続いているかのように見せかける。その間に攻撃者が本物の口座へログインを試み、銀行の認証設定に応じて、アプリでの承認やSMSコードの入力を引き出そうとする可能性がある。

添付なしの亜種と対処

CERTは同じ攻撃の別バージョンも確認した。添付ファイルはなく、不足書類の送付という名目で手順を順に案内する。本人確認の手続きだと信じた人が、実際には2要素目の認証コードを犯罪者に渡し、口座の乗っ取りを助けてしまう恐れがある。

アナリストは、この種のフィッシングはPKO BPに限らず、他の金融機関の名前も悪用され得ると指摘する。不審なサイトにログイン情報を入力した場合は、直ちに取引銀行へ連絡するよう呼びかけている。