Nowa fala phishingu z załącznikami SVG. Jak nie dać się oszukać?
Oszuści wysyłają e-maile z plikami SVG, które po otwarciu przekierowują na fałszywe strony logowania. Wyjaśniamy, jak działa to zagrożenie i jak się przed nim chronić.
Od kilku dni w skrzynkach pocztowych użytkowników pojawia się nowa fala e-maili phishingowych. Tym razem oszuści nie umieszczają linków w treści wiadomości ani nie dołączają typowych załączników, takich jak PDF czy DOCX. Zamiast tego wysyłają pliki w formacie SVG (Scalable Vector Graphic). Jak ostrzegają eksperci z SANS ISC, to prosta, ale skuteczna metoda na ominięcie podstawowych filtrów bezpieczeństwa.
Czym jest SVG i dlaczego jest wykorzystywany w atakach?
SVG to format grafiki wektorowej, który jest powszechnie używany na stronach internetowych do wyświetlania ikon i ilustracji. Jego zaletą jest możliwość osadzania kodu JavaScript. Właśnie tę funkcję wykorzystują cyberprzestępcy. W obecnej kampanii pliki SVG nie zawierają żadnych elementów graficznych – są jedynie nośnikiem skryptu, który po otwarciu w przeglądarce automatycznie przekierowuje ofiarę na fałszywą stronę logowania.
Mechanizm działania jest stosunkowo prosty. W pliku SVG znajduje się zakodowany adres URL, który jest odtwarzany za pomocą funkcji XOR i Base64. Po uruchomieniu skryptu przeglądarka wysyła użytkownika na stronę phishingową, która może wyglądać jak panel logowania do banku, poczty e-mail lub popularnego serwisu społecznościowego. Co istotne, atakujący wykorzystują domeny z tanią końcówką .cfd, która jest coraz częściej używana w tego typu oszustwach.
Dlaczego ta metoda jest groźna?
Phishing z załącznikami SVG jest trudniejszy do wykrycia niż tradycyjne ataki. Wiele systemów bezpieczeństwa skanuje wiadomości w poszukiwaniu linków lub podejrzanych załączników, ale pliki SVG często traktowane są jako bezpieczne obrazy. Dopiero po otwarciu w przeglądarce ujawnia się ich prawdziwe przeznaczenie. Jak zauważają badacze, skrypty w SVG używają oficjalnego typu MIME dla ECMAScript, co może dodatkowo utrudniać wykrycie przez programy antywirusowe.
Warto podkreślić, że ta technika nie jest nowa – podobne kampanie były już opisywane w przeszłości. Jednak obecna fala wyróżnia się skalą i prostotą. Oszuści nie muszą tworzyć skomplikowanych stron ani zaawansowanego kodu. Wystarczy jeden plik SVG, by przejąć dane logowania ofiary.
Jak się chronić przed phishingiem z SVG?
Najważniejszą zasadą jest ostrożność przy otwieraniu załączników, zwłaszcza jeśli wiadomość pochodzi z nieznanego źródła. Pliki SVG nie są standardowym formatem używanym w korespondencji biznesowej ani prywatnej. Jeśli otrzymasz e-mail z takim załącznikiem, a nie spodziewasz się go od konkretnego nadawcy, nie otwieraj go.
Dodatkowo warto sprawdzić rozszerzenie pliku przed kliknięciem. W systemie Windows pliki SVG są domyślnie otwierane w przeglądarce, co ułatwia atakującym zadanie. Można zmienić to ustawienie, przypisując plikom SVG inny program, np. edytor tekstu, który nie wykona kodu JavaScript.
Dla firm i administratorów kluczowe jest blokowanie załączników SVG na poziomie serwera pocztowego. Wiele nowoczesnych rozwiązań do ochrony przed phishingiem pozwala na filtrowanie wiadomości według typu pliku. Warto też edukować użytkowników, by nie otwierali podejrzanych załączników i zgłaszali takie incydenty do działu IT.
Co robić, jeśli padłeś ofiarą ataku?
Jeśli po otwarciu pliku SVG zostałeś przekierowany na stronę logowania i wprowadziłeś swoje dane, jak najszybciej zmień hasło do konta, którego dotyczy atak. Włącz uwierzytelnianie wieloskładnikowe (MFA), jeśli jeszcze go nie używasz. W przypadku kont bankowych skontaktuj się z bankiem i zgłoś incydent. Warto również sprawdzić, czy na komputerze nie pojawiły się podejrzane procesy lub pliki – choć w tej kampanii głównym celem jest kradzież danych logowania, a nie instalacja złośliwego oprogramowania.
Phishing z załącznikami SVG to kolejny przykład, jak cyberprzestępcy dostosowują swoje metody do zmieniających się warunków. Nie daj się zaskoczyć – zachowaj czujność i stosuj podstawowe zasady bezpieczeństwa.
