CERT Orange Polska предупредил о фишинге против клиентов PKO BP

CERT Orange Polska выявил фишинговую кампанию, нацеленную на клиентов PKO Bank Polski. Мошенники рассылают письма со ссылкой на сайт, который выдаёт себя за iPKO biznes. Их цель — завладеть логином, паролем и вторым фактором авторизации.

Как устроена атака

Поддельное письмо оформлено как обычная банковская переписка, но выдаёт себя адресом отправителя: node-jegw56-core(@)ispgateway(.)de. В ряде случаев к нему прикладывают PDF-файл, название которого намекает на необходимость обновить данные. По информации CERT Orange Polska, вложение не содержит вредоносного ПО: это подлинный документ, который используется в общении с корпоративными клиентами.

Ссылка из письма ведёт не сразу на фальшивый банковский сайт. Сначала пользователь попадает на промежуточную страницу, адрес которой записан в формате IPv4-mapped IPv6. Так скрывается обычный IPv4-адрес, что может затруднять автоматический анализ и мешает части пользователей заметить угрозу. Лишь затем происходит перенаправление на домен biznes.rzad-pl(.)net, имитирующий панель iPKO biznes. Внизу страницы злоумышленники даже разместили предупреждение о поддельных сообщениях от киберпреступников.

Охота за вторым фактором

Атака не заканчивается на пароле. После его ввода жертва видит долго вращающийся индикатор выполнения, имитирующий «следующие этапы» входа. Тем временем злоумышленник может попытаться войти в настоящий аккаунт и добиться подтверждения операции в приложении или ввода SMS-кода — в зависимости от настроек аутентификации в банке.

Аналитики зафиксировали и вариант без вложения: текст письма шаг за шагом подводит получателя к якобы необходимой досылке недостающих документов. Человек, уверенный, что подтверждает личность, может фактически передать мошеннику код второго фактора и облегчить захват счёта.

CERT Orange Polska подчёркивает, что подобный фишинг не обязательно ограничивается PKO BP и может использовать имена других финансовых учреждений. Тем, кто ввёл данные для входа на подозрительном сайте, следует немедленно связаться со своим банком.