Nowa fala phishingu omija zabezpieczenia dzięki Amazon SES. Jak rozpoznać fałszywe wiadomości?

W pierwszym kwartale 2026 roku phishing ponownie stał się najczęstszym wektorem początkowego dostępu do sieci firmowych – wynika z danych Cisco Talos. Jednocześnie badacze z Kaspersky odnotowali wyraźny wzrost kampanii wykorzystujących Amazon Simple Email Service (SES), legalną usługę masowej wysyłki wiadomości. Dzięki niej fałszywe maile nie tylko wyglądają profesjonalnie, ale też bez przeszkód przechodzą testy SPF, DKIM i DMARC, które normalnie pomagają odfiltrować oszustwa.

Jak przestępcy dostają się do Amazon SES

Kluczem do nadużyć są wykradzione dane uwierzytelniające do AWS Identity and Access Management (IAM). Kaspersky wskazuje, że głównym źródłem wycieków są publicznie dostępne repozytoria GitHub, pliki .ENV, obrazy Docker, kopie zapasowe oraz źle skonfigurowane zasobniki S3. Atakujący używają zautomatyzowanych botów opartych na narzędziu TruffleHog, które skanuje internet w poszukiwaniu pozostawionych sekretów. Po znalezieniu klucza sprawdzają jego uprawnienia i limity wysyłki, a następnie rozpoczynają masową dystrybucję wiadomości.

„Po zweryfikowaniu uprawnień klucza i limitów wysyłania e-maili atakujący są gotowi do rozsyłania ogromnej liczby wiadomości phishingowych” – tłumaczą analitycy Kaspersky.

Co istotne, przestępcy nie muszą już samodzielnie konfigurować własnych serwerów SMTP ani obchodzić filtrów reputacyjnych. Korzystają z zaufanej infrastruktury Amazona, co drastycznie utrudnia blokowanie takich wiadomości – zablokowanie adresów IP Amazon SES oznaczałoby odrzucanie również legalnej poczty wysyłanej przez tysiące firm.

Dlaczego tradycyjne zabezpieczenia zawodzą

Standardowe mechanizmy ochrony poczty – SPF, DKIM i DMARC – weryfikują, czy nadawca jest uprawniony do użycia danej domeny. Wiadomość wysłana przez Amazon SES z poprawnie skonfigurowaną domeną (np. podszywającą się pod znaną markę) przechodzi te testy bez zarzutu. W efekcie trafia do skrzynki odbiorczej, omijając filtry antyspamowe. Kaspersky podkreśla, że jakość phishingu jest wysoka – wiadomości zawierają niestandardowe szablony HTML imitujące prawdziwe serwisy, a także realistyczne przepływy logowania.

Wśród zaobserwowanych ataków znalazły się fałszywe powiadomienia o dokumentach do podpisu, udające DocuSign, które prowadziły na strony phishingowe hostowane w AWS. Pojawiły się również bardziej zaawansowane próby business email compromise (BEC): przestępcy fabrykowali całe wątki mailowe, by uwiarygodnić fałszywe faktury i nakłonić działy finansowe do przelewu. W takich przypadkach sama autentyczność techniczna wiadomości nie wystarcza – decyduje czujność odbiorcy.

Jak się bronić przed phishingiem z Amazon SES

Firmy korzystające z AWS powinny natychmiast wdrożyć zasadę najmniejszych uprawnień (least privilege) dla kluczy IAM, regularnie je rotować i obowiązkowo włączyć uwierzytelnianie wieloskładnikowe. Kaspersky zaleca również stosowanie ograniczeń dostępu opartych na adresach IP oraz szyfrowanie. Amazon w oświadczeniu dla BleepingComputer przypomniał o własnych wytycznych dotyczących ochrony przed nieautoryzowanym dostępem i zachęcił do zgłaszania podejrzanej aktywności do zespołu AWS Trust & Safety.

Dla zwykłych użytkowników najważniejsza pozostaje ostrożność. Nawet jeśli wiadomość przechodzi kontrolę techniczną i wygląda na autentyczną, warto sprawdzić jej kontekst. Nie należy klikać w linki z niespodziewanych powiadomień o dokumentach, fakturach czy resetowaniu hasła. Zamiast tego lepiej samodzielnie wejść na stronę usługi przez przeglądarkę. W przypadku podejrzeń warto zgłosić wiadomość do administratora poczty lub CERT Polska. Rosnąca skala nadużyć pokazuje, że zaufanie do samej infrastruktury nadawcy już nie wystarcza – konieczne jest krytyczne spojrzenie na każdą otrzymaną wiadomość.