Uwaga na fałszywe SMS‑y od InPostu. Oszuści nakłaniają do instalacji trojana bankowego
Polacy lubią korzystać z usług firmy kurierskiej InPost, a szczególnie do gustu przypadły nam Paczkomaty. To wiąże się jednak z problemami. Cyberprzestępcy coraz częściej wykorzystują firmę do przeprowadzania ataków phishingowych.
Eksperci z zespołu CERT Orange Polska już wczoraj ostrzegali przed potencjalnie nadchodzącymi atakami phishingowymi. Wykryli bowiem serię rejestracji nowych domen, które sugerowały, że zostaną wykorzystane w oszustwie. Zawierały typowe dla takich przypadków frazy, czyli "inpost" "paczkomat" "play.google". Początkowo witryny nie zawierały jeszcze żadnej treści, ale wkrótce miało się to zmienić.
I stało się dokładnie to, co eksperci przewidywali. Na stronach pojawiła się zawartość znana nam już z poprzednich ataków. To może sugerować, że mamy do czynienia z tą samą grupą przestępczą. Wówczas cyberprzestępcy wysyłali SMSy przez bramkę internetową, podszywając się pod InPost. Celem ataku było zmuszenie ofiary do zainstalowania fałszywej aplikacji firmy kurierskiej, poprzez link do podrobionej witryny Sklepu Play Google'a. Zrzuty ekranu dostarczył wówczas serwis Niebezpiecznik.
Pod fałszywą aplikacją kryje się złośliwe oprogramowanie typu Cerberus. To trojan bankowy, czyli malware, którego zadaniem jest zdobycie dostępu do bankowości online ofiary. Oprogramowanie może zaatakować klienta każdego z banków w Polsce i większości na świecie. Stosuje nakładkę na aplikacje, przez co ofiara może nawet nie zdawać sobie sprawy, że właśnie oddaje swoje informacje cyberprzestępcom. Dzięki Cerberusowi zdobywają dostęp do każdego elementu smartfona, co pozwala im również na uzyskanie kodów potwierdzających operacje bankowe. W efekcie, "czyszczą" konto w kilka minut.
Cyberprzestępcy nie odpuszczają – oszustwo "na InPost" nadal trwa
Całe szczęście, zespoły takie jak CERT Orange, CERT Polska czy CERT T-Mobile, a także przeglądarki Google Chrome czy Firefox szybko reagują na takie oszustwa. Zarówno dostawcy internetu, jak i twórcy przeglądarek dbają o to, aby ich użytkownicy nie dali się nabrać na tego typu przekręty. Aktualnie dostęp do wymienionych przez CERT Orange jest praktycznie zablokowany. Nie oznacza to jednak, że zagrożenie minęło. Oszuści wkrótce spróbują stworzyć kolejne witryny i wysyłać SMS-y na polskie numery komórkowe, sugerując, że powinniśmy pobrać aplikację do śledzenia przesyłki czy tym podobne.
Przykładowe domeny zablokowane przez zespól CERT Orange Polska:
- hxxp://www(.)inpost(.)paczkomaty(.)me/
- hxxp://www(.)inpost(.)wygeneruj(.)net/
- hxxp://www(.)inpost(.)paczkomaty(.)link/
