CERT Orange Polska ostrzega przed phishingiem na klientów PKO BP

CERT Orange Polska wykrył kampanię phishingową skierowaną do klientów PKO Banku Polskiego. Oszuści rozsyłają e-maile, które prowadzą do strony podszywającej się pod iPKO biznes. Celem jest przejęcie loginu, hasła oraz drugiego składnika logowania.

Jak wygląda atak

Fałszywa wiadomość ma przypominać zwykłą korespondencję bankową, ale zdradza ją adres nadawcy: node-jegw56-core(@)ispgateway(.)de. W części przypadków do e-maila dołączono plik PDF, którego nazwa sugeruje konieczność aktualizacji danych. Według CERT Orange Polska załącznik nie zawiera złośliwego oprogramowania – to autentyczny dokument używany w kontaktach z klientami firmowymi.

Kliknięcie linku nie prowadzi od razu na fałszywą stronę banku. Najpierw odbiorca trafia na witrynę pośredniczącą, której adres ukryto jako IPv4-mapped IPv6. Taki zapis maskuje zwykły adres IPv4, może utrudniać automatyczną analizę i sprawia, że część użytkowników nie dostrzega zagrożenia. Dopiero potem następuje przekierowanie na domenę biznes.rzad-pl(.)net, imitującą panel iPKO biznes. Oszuści dodali na dole strony nawet komunikat ostrzegający przed fałszywymi wiadomościami od cyberprzestępców.

Wyłudzenie drugiego składnika

Atak nie kończy się na haśle. Po jego wpisaniu ofiara widzi długo obracający się wskaźnik postępu, który ma udawać kolejne etapy logowania. W tym czasie napastnik może próbować zalogować się na prawdziwe konto i doprowadzić do zatwierdzenia operacji w aplikacji lub podania kodu SMS – zależnie od konfiguracji uwierzytelniania w banku.

Analitycy odnotowali też wariant bez załącznika, w którym treść e-maila krok po kroku prowadzi do rzekomego dosłania brakujących dokumentów. Osoba przekonana, że potwierdza tożsamość, może w praktyce przekazać przestępcy kod drugiego składnika i ułatwić przejęcie rachunku.

CERT Orange Polska zaznacza, że podobny phishing nie musi dotyczyć wyłącznie PKO BP i może wykorzystywać wizerunek innych instytucji finansowych. Kto wpisał dane logowania na podejrzanej stronie, powinien niezwłocznie skontaktować się ze swoim bankiem.