Phishing na Facebooka i banki – jak oszuści podszywają się pod zaufane usługi
Nowa kampania phishingowa wykorzystuje legalne narzędzia, takie jak Google AppSheet i Netlify, do przejmowania kont Facebook. Równocześnie CERT Polska ostrzega przed fałszywymi wiadomościami podszywającymi się pod bank Erste. Sprawdź, jak się bronić.
Oszuści nieustannie udoskonalają metody wyłudzania danych, sięgając po narzędzia, które na co dzień uznajemy za bezpieczne. Najnowsze kampanie phishingowe uderzają w użytkowników Facebooka oraz klientów banków, wykorzystując zarówno legalne platformy, jak i zmiany biznesowe firm. Badacze z Guardio opisali szeroko zakrojoną akcję przejmowania kont Facebook, a CERT Polska ostrzega przed wiadomościami podszywającymi się pod bank Erste (dawniej Santander).
Zaufane narzędzia w rękach przestępców
Badacze z Guardio na łamach Sekuraka opisali kampanię phishingową, w której atakujący wykorzystali Google AppSheet, Netlify, Vercel, Google Drive i Telegram. Pierwsze wiadomości były wysyłane z adresu noreply@appsheet.com, a poprawnie skonfigurowane SPF, DKIM i DMARC sprawiały, że trafiały do skrzynki odbiorczej, a nie do spamu. Nazwa nadawcy była podmieniana na „Meta Support”, co zwiększało wiarygodność.
Atakujący nie ograniczali się do jednego schematu. W ramach kampanii wyodrębniono cztery warianty socjotechniczne, każdy o innym przebiegu i celu.
Od fałszywego ostrzeżenia do przejęcia konta
1. Groźba naruszenia polityki i fałszywy formularz
W pierwszym wariancie ofiary otrzymywały wiadomość o naruszeniu praw autorskich lub wyłączeniu konta. Link prowadził do strony hostowanej na Netlify, gdzie wyłudzano login, hasło, datę urodzenia, numer telefonu i zdjęcie dokumentu tożsamości. Dla każdej ofiary generowano unikalną subdomenę, co utrudniało blokowanie całej domeny. Dane były przesyłane do bota Telegram, a w nowszej wersji wykorzystywano Netlify Functions.
2. Fałszywa weryfikacja profilu
Drugi wariant zamiast straszenia kusił nagrodą – znaczkiem weryfikacji profilu lub innymi benefitami. Mail brzmiał jak zaproszenie, a strona phishingowa hostowana na Vercel zawierała captchę, po której zbierano dane kontaktowe, login, hasło i kody 2FA. Atakujący stosowali niewidoczne spacje Unicode i łamali słowa, by utrudnić wykrycie przez filtry.
3. PDF z Google Drive i WebSocket
Trzeci wariant był wyrafinowany: mail zawierał link do pliku PDF na Google Drive. Grafika stworzona w Canvie imitowała komunikat Meta. Po kliknięciu ofiara trafiała na stronę komunikującą się przez WebSocket, co pozwalało atakującym sterować przebiegiem ataku w czasie rzeczywistym – żądać ponownego wpisania hasła, dodatkowych kodów 2FA, a nawet wykonania zrzutu ekranu przeglądarki.
4. Fałszywe oferty pracy
Ostatni wariant polegał na podszywaniu się pod rekruterów znanych firm (Meta, WhatsApp, Apple). Mail nie prowadził od razu do strony phishingowej, ale zachęcał do interakcji poza platformą. To stopniowe budowanie zaufania miało na celu wyłudzenie danych w dalszych krokach.
Badacze oszacowali, że w całej kampanii przejęto co najmniej 30 tysięcy kont Facebook.
Phishing na bank – zmiana nazwy jako pretekst
Równolegle CERT Polska ostrzega przed kampanią, w której oszuści podszywają się pod bank Erste (przedtem Santander). Wykorzystują niedawną zmianę nazwy i pod groźbą ograniczenia dostępu do konta wyłudzają login i hasło do bankowości internetowej. Strona phishingowa ma szatę graficzną zbliżoną do oficjalnej, a link w wiadomości SMS lub mailu prowadzi do formularza. To klasyczny przykład socjotechniki bazującej na aktualnym wydarzeniu.
Jak się chronić?
Przede wszystkim należy zachować czujność przy każdym komunikacie wymagającym podania danych logowania lub kliknięcia w link. Oto kilka praktycznych zasad:
- Sprawdzaj adres nadawcy – nawet jeśli widnieje nazwa banku lub Meta, przyjrzyj się dokładnie domenie (np. appsheet.com nie ma nic wspólnego z Facebookiem).
- Nie klikaj w linki z wiadomości – wejdź na stronę banku lub platformy ręcznie, wpisując adres w przeglądarkę.
- Włącz uwierzytelnianie dwuskładnikowe (2FA) – najlepiej oparte na aplikacji, nie na SMS-ie.
- Zgłaszaj podejrzane wiadomości – możesz to zrobić na stronie incydent.cert.pl lub w aplikacji mObywatel (usługa „Bezpiecznie w sieci”).
- Aktualizuj oprogramowanie – zarówno system, jak i przeglądarka, aby wykorzystywać najnowsze mechanizmy ochrony.
Techniki opisane przez Guardio pokazują, że oszuści potrafią doskonale maskować swoje działania, wykorzystując legalne usługi. Dlatego kluczowa jest edukacja i systematyczne podnoszenie świadomości zagrożeń.
W przypadku otrzymania podejrzanej wiadomości, zanim podasz jakiekolwiek dane, zweryfikuj sprawę na oficjalnej infolinii lub w aplikacji banku. Nie ufaj komunikatom, które wywierają presję czasu – to typowa cecha phishingu.
