Ostateczne powiadomienie – oszustwo z pełną weryfikacją

Cyberprzestępcy nieustannie opracowują nowe sposoby manipulowania użytkownikami, aby nakłonić ich do ujawnienia danych osobowych lub naruszenia bezpieczeństwa urządzeń. Jednym z takich oszustw, znanym jako oszustwo „Final Notice – Complete Verification”, jest kampania phishingowa wykorzystująca strach i poczucie pilności. Te zwodnicze e-maile rzekomo zawierają ostatnie ostrzeżenie dotyczące weryfikacji konta, aby skłonić odbiorców do ujawnienia poufnych danych logowania. Należy pamiętać, że te wiadomości oszukańcze nie są powiązane z żadnymi legalnymi firmami, organizacjami ani dostawcami usług.

Zwodnicza wiadomość

Fałszywe e-maile zazwyczaj zawierają alarmujący temat, taki jak „Ostateczne powiadomienie – Wymagana pełna weryfikacja”. Fałszywie twierdzą, że starsze wersje kont użytkowników zostaną natychmiast zamknięte, a weryfikacja musi zostać ukończona w ciągu 24 godzin, aby zapobiec zawieszeniu lub ograniczeniu. To poczucie pilności to celowa taktyka psychologiczna, mająca na celu przełamanie racjonalnego myślenia i skłonienie do szybkich, bezkrytycznych działań.

W wiadomości znajduje się przycisk lub link „Zakończ weryfikację”, który przekierowuje użytkowników na fałszywą stronę logowania do poczty internetowej. Ta fałszywa strona ma sprawiać wrażenie legalnej, wykorzystując elementy brandingu, logo i układy graficzne podobne do tych, które oferują prawdziwi dostawcy poczty internetowej. Nieświadomi odbiorcy, którzy podają swoje dane uwierzytelniające, nieświadomie przekazują je oszustom.

Skutki kradzieży danych uwierzytelniających

Gdy cyberprzestępcy uzyskają dostęp do zainfekowanego konta e-mail, często wykorzystują je do kilku złośliwych celów. Mogą wysyłać wiadomości phishingowe lub oszukańcze do kontaktów ofiary, rozprzestrzeniając złośliwe oprogramowanie lub żądając przelewów pieniężnych pod fałszywym pretekstem. Atakujący mogą również przeszukiwać zawartość skrzynki odbiorczej w celu wydobycia poufnych danych, takich jak dane płatności, identyfikatory osobiste czy załączone dokumenty.

Skradzione dane logowania mogą zostać wykorzystane do uzyskania dostępu do innych usług online powiązanych z tym adresem e-mail — w tym kont bankowych, mediów społecznościowych, e-commerce i gier. Może to prowadzić do kradzieży tożsamości, nieautoryzowanych transakcji lub szerszych naruszeń danych.

Jak działają oszustwa phishingowe

Kampania „Final Notice – Complete Verification” opiera się na znanym schemacie, typowym dla wielu prób phishingu. Cyberprzestępcy wykorzystują socjotechnikę opartą na strachu i przekonujące imitacje legalnej korespondencji, aby osiągnąć swoje cele. Poniżej przedstawiono typowe cechy, które pomagają zidentyfikować takie oszustwa:

Typowe cechy wiadomości e-mail typu phishing:

• Twierdzenia o pilności lub groźby (np. „Zawieszenie konta za 24 godziny”).
• Błędy gramatyczne, niezręczne sformułowania lub ogólne powitania, takie jak „Szanowny użytkowniku”.

E-maile często rozprzestrzeniają złośliwe oprogramowanie

Phishing nie ogranicza się do kradzieży danych uwierzytelniających; wiele kampanii rozprzestrzenia również złośliwe oprogramowanie za pośrednictwem zainfekowanych załączników lub złośliwych linków. Cyberprzestępcy często umieszczają w tych wiadomościach szkodliwe pliki, takie jak pliki wykonywalne, skrypty, dokumenty pakietu Office, pliki PDF lub skompresowane archiwa (ZIP, RAR). Po otwarciu lub włączeniu makr, załączniki te mogą wywołać instalację złośliwego oprogramowania, co z kolei może zagrozić systemowi.

W niektórych przypadkach linki zawarte w takich e-mailach prowadzą do zainfekowanych stron internetowych, które próbują automatycznie pobrać złośliwe oprogramowanie lub nakłonić użytkowników do jego samodzielnej instalacji. Do infekcji dochodzi zazwyczaj tylko wtedy, gdy odbiorca wejdzie w interakcję ze złośliwym elementem – klikając link lub otwierając plik.

Typowe oznaki wiadomości e-mail zawierających złośliwe oprogramowanie:

• Niechciane załączniki od nieznanych nadawców.
• Nieoczekiwane prośby o pobranie lub zainstalowanie aktualizacji oprogramowania.
• Monituje o wyłączenie funkcji zabezpieczeń lub włączenie makr w celu przeglądania treści.

Jak zachować ochronę

Najlepszą obroną przed phishingiem i zagrożeniami rozsyłanymi za pośrednictwem poczty elektronicznej jest czujność. Zawsze sprawdzaj adres nadawcy, najeżdżaj kursorem na linki przed kliknięciem, aby sprawdzić ich prawdziwy adres docelowy, i weryfikuj podejrzane wiadomości bezpośrednio w organizacji za pośrednictwem oficjalnych kanałów. Unikaj podawania danych osobowych w formularzach internetowych, do których dostęp uzyskuje się za pośrednictwem niechcianych wiadomości e-mail.

Jeśli otrzymasz e-mail z informacją „Ostateczne powiadomienie – Zakończona weryfikacja”, nie klikaj żadnych linków, nie otwieraj załączników ani nie podawaj danych logowania. Natychmiast usuń wiadomość, a jeśli podałeś swoje dane, zmień hasło i włącz uwierzytelnianie dwuskładnikowe na wszystkich kontach, których dotyczy problem.

Zachowanie ostrożności, sceptycyzmu i wiedzy to nadal najskuteczniejsze sposoby ochrony przed współczesnymi oszustwami phishingowymi.