Phishing podszywający się pod Orange Polska

Obserwujemy kampanię phishingową podszywającą się pod Orange Polska. Cyberprzestępcy przesyłają fałszywe wiadomości e-mail (poniżej obraz przykładowej fałszywej wiadomości), w których informują o rzekomym nieopłaconym rachunku za telefon.

Na pierwszy rzut oka wiadomość może wydawać się próbą wyłudzenia i nakłonienia do przelania pieniędzy na wskazany rachunek bankowy. Faktycznym celem oszustów jest jednak nakłonienie ofiary do kliknięcia w link pod przyciskiem „Pobierz fakturę”, który prowadzi do Dropboxa, gdzie hostowany jest malware.

Malware to AsyncRAT łączący się pod adres dcxwq1[.]duckdns[.]org na porcie 4449

Niezapłacony rachunek za telefon

From: Jan Kowalski invoice@orange.pl
Sent: Friday, July 12, 2024 10:30 AM
To: –edit–
Subject: Niezapłacony rachunek za telefon

Szanowny Kliencie,

Mamy nadzieję, że ten list zastanie Cię w dobrym zdrowiu. Informujemy, że faktura nie została opłacona. Aby uniknąć przerw w świadczeniu usług, prosimy o jak najszybsze uregulowanie należności.

Wszystkie istotne szczegóły dotyczące faktury znajdziesz w dokumencie dostępnym pod poniższym linkiem: Pobierz fakturę.

Szczegóły faktury:

Numer faktury: PL0949024234xxx
Kwota do zapłaty: 1800,23 PLN
Termin płatności: 12.07.2024

Akceptowane metody płatności: Przelew bankowy, Karta kredytowa, PayPal
Aby zapewnić ciągłość usług, prosimy o sprawdzenie szczegółów faktury i dokonanie płatności w najbliższym czasie. Po potwierdzeniu płatności, Twoje usługi telefoniczne będą kontynuowane bez przerwy.

Dane kontaktowe:

W przypadku pytań lub potrzeby dalszej pomocy, prosimy o kontakt z naszym zespołem obsługi klienta. Jesteśmy dostępni, aby pomóc w wszelkich kwestiach związanych z fakturą lub usługami telefonicznymi.

Kontakt z obsługą klienta:

Telefon: +48 510 100 100
E-mail: support@orange.pl
Godziny pracy: od poniedziałku do piątku, od 8:00 do 20:00 (CET)
Dane firmy:

Orange Polska S.A. ul. Jagiellońska 34 96-100 Skierniewice Polska

Dane bankowe do płatności:

Nazwa banku: mBank
IBAN: PL89 1140 2004 0000 –edit–
BIC/SWIFT: BREXPLPWMBK
Dziękujemy za Twoją szybką reakcję na tę sprawę i cieszymy się, że możemy zapewnić ciągłość Twoich usług telefonicznych.

Dziękujemy za współpracę.

Z poważaniem,

Jan Kowalski
Dyrektor Generalny
Orange Polska S.A.
ul. Jagiellońska 34
96-100 Skierniewice
Polska
Telefon: +48 510 100 100
E-mail: support@orange.pl

Uważny czytelnik zauważy, że w polu „from” podany jest adres invoice@orange.pl co może sugerować, że został on wysłany przez Orange Polska. Jak to możliwe, że taka wiadomość została skutecznie dostarczona pomimo skonfigurowanych mechanizmów bezpieczeństwa? Prawdopodobnie przez błędy w konfiguracji serwera poczty przychodzącej. Podobny przypadek, jak i sposób jak działa SPF opisywaliśmy już w 2018 roku.

Bardzo podoba nam się rozpoczęcie tej wiadomości, również mamy nadzieje, że to ostrzeżenie zastanie Was w dobrym zdrowiu.