Wykryto konflikt adresów IP na Twoim koncie – oszustwo e-mailowe

Badacze bezpieczeństwa zidentyfikowali powtarzającą się kampanię phishingową, która ostrzega odbiorców o rzekomym „konflikcie adresu IP” na ich koncie pocztowym. Wiadomości te udają pilne powiadomienia o bezpieczeństwie, twierdząc, że konto zostanie ograniczone lub zamknięte, jeśli użytkownik nie zweryfikuje tego natychmiast. W rzeczywistości e-maile te stanowią pułapkę socjotechniczną: ich jedynym celem jest zbieranie danych logowania, a w niektórych przypadkach rozprzestrzenianie złośliwego oprogramowania. Wiadomości te nie są wysyłane przez żadną legalną firmę, dostawcę usług ani organizację.

Co twierdzą wiadomości

Wiadomości e-mail zazwyczaj informują o wykryciu wielu adresów IP lub połączeń w skrzynce odbiorczej i o tym, że w celu ochrony usługi i innych użytkowników dostawca ograniczy dostęp, dopóki właściciel nie zweryfikuje konta. Do wiadomości dołączony jest duży, wyraźny przycisk wezwania do działania (np. „Zweryfikuj konto”), zachęcający do szybkiego kliknięcia. Język, formatowanie i oprawa graficzna mogą wydawać się przekonujące – niektóre kampanie są starannie komponowane, aby naśladować powiadomienia prawdziwych dostawców – więc odbiorcy, którzy podejmą działanie bez weryfikacji źródła, mogą łatwo wpaść w pułapkę.

Jak działa phishing

Kliknięcie przycisku weryfikacji przekierowuje ofiarę na sfałszowaną stronę logowania, która wygląda jak prawdziwy formularz logowania do poczty e-mail. Każda nazwa użytkownika i hasło wprowadzone na tej stronie są przechwytywane przez atakującego i przekazywane mu. Po kradzieży danych uwierzytelniających atakujący mogą zalogować się na konto i wykorzystać je na wiele złośliwych sposobów: wykraść prywatne informacje, zresetować hasła do innych usług, podszywać się pod użytkownika w celu oszukania kontaktów lub wysyłać kolejne wiadomości phishingowe/złośliwe oprogramowanie do książki adresowej ofiary.

Do najczęściej zbieranych danych należą:

• Loginy i hasła do kont.
• Dane osobowe (imię i nazwisko, data urodzenia, dane kontaktowe).
• Dane finansowe i szczegóły transakcji.
• Wszelkie dane przechowywane lub dostępne za pośrednictwem zainfekowanej skrzynki pocztowej (faktury, e-maile dotyczące resetowania konta, linki do innych kont).

Scenariusze ryzyka i nadużyć

Zhakowane konto e-mail to droga do szerszych szkód. Atakujący mogą gromadzić dokumenty osobiste i korespondencję, które ujawniają konta bankowe, sklepowe lub w mediach społecznościowych. Mogą wykorzystywać podszywające się konta do proszenia znajomych o pożyczki lub darowizny, rozpowszechniania innych oszustw, rozpowszechniania złośliwego oprogramowania lub dokonywania oszukańczych zakupów, w których dostępne są zapisane dane płatnicze. Przejęcie usług finansowych może prowadzić bezpośrednio do nieautoryzowanych transakcji i strat finansowych. Kradzież tożsamości i długotrwałe naruszenie prywatności to częste konsekwencje takich naruszeń.

Wektory dla spamu

Kampanie te nie ograniczają się do kradzieży danych uwierzytelniających — niektóre wiadomości e-mail zawierają złośliwe załączniki lub linki, które rozprzestrzeniają złośliwe oprogramowanie (malspam). Zagrożenia pojawiają się w wielu typach plików: programach wykonywalnych, skompresowanych archiwach (ZIP/RAR), dokumentach pakietu Office (często opartych na makrach), plikach PDF, plikach JavaScript lub osadzonych ładunkach w plikach typu notatka. W niektórych przypadkach samo otwarcie pliku wystarczy, aby rozpocząć infekcję; w innych użytkownik musi włączyć makra lub kliknąć osadzone linki, aby uruchomić droppera.

Jak rozpoznać podróbkę

• Nieoczekiwana pilność lub groźba natychmiastowego zawieszenia.
• Ogólne pozdrowienia i niespójne lub dziwne adresy nadawcy.
• Linki prowadzące do nieznanych domen lub adresów URL, które nie odpowiadają domniemanemu dostawcy.
• Prośby o ponowne wprowadzenie danych uwierzytelniających należy składać za pośrednictwem łącza przesłanego w wiadomości e-mail, a nie za pośrednictwem oficjalnej strony internetowej lub aplikacji.
• Źle dobrana marka, nietypowe załączniki lub monity o włączenie makr lub pobranie plików.

Uwagi końcowe

Ostrzeżenia o „konflikcie adresów IP” to oszustwa socjotechniczne, wykorzystujące strach i poczucie pilności. Ponieważ atakujący coraz częściej tworzą przekonujące, dobrze sformatowane fałszywe wiadomości, należy zakładać, że każde niechciane powiadomienie o bezpieczeństwie jest podejrzane, dopóki nie zostanie zweryfikowane oficjalnymi kanałami. Nie należy korzystać z linków e-mail do logowania się lub podawania poufnych informacji; zamiast tego należy odwiedzić prawdziwą stronę internetową bezpośrednio, włączyć uwierzytelnianie wieloskładnikowe (MFA) i natychmiast zgłaszać wszelkie podejrzane działania.