Jeszcze bardziej bezczelny phishing „na kuriera”

Motyw dopłaty za niedostarczoną paczkę to klasyczny modus operandi ataków phishingowych. W ostatnich dniach trafiła do CERT Orange Polska seria domen, które – jak pokazują nasze systemy – były odwiedzane z adresacji sieci stacjonarnej. Oznacza to, że wektorem ataku były wiadomości mail. Dalsza analiza domen, wykazała, że to szersza kampania, na kilka krajów Europy. My jednak zajmiemy się odłamem na Polskę, opartym o stronę hxxps://pl.support-dhl[.]info (TLD .info i dywiz – nie kropka – między support i dhl).

Po kliknięciu w link ofiara trafia na taką witrynę:

Motyw znany warto zwrócić uwagę na nazwy dni i miesięcy po angielsku. Jeśli jesteśmy pewni, że nie czekaliśmy na żadną paczkę, już w tym momencie powinniśmy zorientować się, że to phishing. Co jednak jeśli wybierzemy „zaplanuj nową dostawę”?

Numer rzekomej paczki jest taki sam, jak na pierwszym ekranie. Notabene, jeśli nie mamy pewności, czy ktoś nam czegoś nie wysłał, można po prostu wejść na stronę kuriera (tę prawdziwą) i wpisać ten numer listu przewozowego. Nawet jeśli faktycznie będzie pod nim paczka, będzie miała status już doręczonej (no i nie do nas).

Warto też zwrócić uwagę na dość podstawowe zwroty, użyte w opisie. Mogą one dowodzić, iż dla oszusta język polski nie jest językiem ojczystym.

Zatem wpisaliśmy dane. Co dalej?

Odebrać osobiście niestety nie możemy? Przypadek? Nie sądzimy, acz ze strony wynika po prostu, że paczka jest za duża, by odebrać ją w punkcie. Brzmi dziwnie? Niby tak, ale jeśli ktoś doszedł już tutaj, raczej nie zwróci uwagi na taką drobnostkę. Tym bardziej, że ta dopłata to jedyne 11,3 PLN (widać, że i do phishingów dotarła inflacja – do tej pory fałszywe kwoty nie przekraczały 10 złotych).

Dane osobowe podaliśmy, jeszcze tylko rzecz jasna nr karty. Jak widać wpisanie zbyt dużej liczby znaków w dowolnym polu wywołuje monit. Numer Mastercarda jest oczywiście testowy, ku naszemu zaskoczeniu strona go przyjęła (zazwyczaj odrzucają). Czyli co, wszystko? Cóż – niekoniecznie…

„Ze względów bezpieczeństwa potwierdź saldo na karcie”? Jeśli ktoś doszedł do tego momentu, to pytanie naprawdę powinno rozpalić w jego umyśle coś takiego:

Tak. Oszuści są na tyle bezczelni, że proszą o podanie stanu konta, by nie marnować czasu na obrabianie „płotek”! Gdy już potwierdzimy, pojawia się taki ekran:

I to już koniec. Nic się nie przetwarza. Choć w zasadzie tak, przetwarza się. Jeśli wpisaliśmy prawdziwe dane karty to podczas, gdy my czekamy, złodziej nas okrada.

Nie dajcie się złapać. Nasze dane wskazują, że skala ataku może być spora, a opisywana domena to tylko jedna z wielu używanych w tym ataku.