Wszyscy otrzymujemy paczki, czasami nawet zbyt wiele, aby je śledzić. Wraz z rosnącą liczbą dostawców usług kurierskich łatwo jest stracić kontrolę nad przesyłkami. I właśnie na to liczą oszuści.
Prostą sztuczką stosowaną przez oszustów jest wysyłanie losowych wiadomości e-mail — taktykę tę można nazwać strategią „catch-all”. Większość tych wiadomości zostanie prawdopodobnie wychwycona przez filtry antyspamowe, a wielu odbiorców zignoruje je. Jednak kilka osób może nadal kliknąć link, który prowadzi do złośliwej strony. Przyjrzyjmy się, jak działa to oszustwo i jak wygląda, ponieważ w przeciwieństwie do klasycznych złośliwych wiadomości e-mail pełnych jasnych, migających ostrzeżeń i liczników czasu, to oszustwo jest znacznie bardziej subtelne. Nadal jednak istnieją pewne wskazówki, które pozwalają je rozpoznać:
- Nieprofesjonalny układ i brakujące szczegóły przesyłki — projekt wiadomości e-mail jest niechlujny i brakuje w nim kluczowych informacji, takich jak prawdziwy adres odbioru i numer konta klienta — nie tego można oczekiwać od firmy DHL.
- Podejrzana wiadomość e-mail i linki — podany jest tylko adres e-mail (brak prawdziwego adresu), a link do śledzenia przesyłki może przekierować Cię do strony phishingowej.
- Pilny, wywierający presję język — wiadomość e-mail ma na celu skłonienie Cię do szybkiego kliknięcia — to klasyczna taktyka stosowana przez oszustów w celu wyłudzenia informacji.
Być może uważasz, że wiadomość e-mail wygląda podobnie do wielu innych, które widziałeś wcześniej, prawda? To prawda — na pierwszy rzut oka nie wyróżnia się on szczególnie. I właśnie dlatego ten przykład jest tak interesujący: zachowuje równowagę między wyglądem legalnej wiadomości a ukrywaniem typowych sygnałów ostrzegawczych, które często pojawiają się w fałszywych wiadomościach e-mail.
Szybki sposób na sprawdzenie, czy wiadomość e-mail jest fałszywa? Spójrz na adres nadawcy. Czy naprawdę pochodzi ona od DHL, czy też jest to coś dziwnego, na przykład info@ioxr.art?
Gdy przyjrzymy się bliżej treści wiadomości, zauważymy przycisk, który wyraźnie zachęca użytkownika do kliknięcia i kontynuowania. Jest on zaprojektowany tak, aby wyglądało, jakby przekierowywał odbiorcę na oficjalną stronę śledzenia przesyłek DHL. Przyjrzyjmy się jednak bliżej kodowi tego przycisku, aby sprawdzić, dokąd faktycznie prowadzi.
Link prowadzi do strony hostowanej w systemie IPFS — systemie, który utrudnia usuwanie treści, co sprawia, że oszuści bardzo go lubią.
Chociaż utrudnia to usuwanie złośliwych treści z sieci, budzi to również podejrzenia — nie jest to miejsce, do którego powinna kierować Cię legalna wiadomość e-mail od DHL.
Gdzie więc prowadzi ten link? Ponieważ IPFS jest kompatybilny z nowoczesnymi przeglądarkami, otwiera się strona docelowa — i staje się jasne, że nie jest to strona DHL. Strona jest na tyle ogólna, że wiele osób może jej nie kwestionować. Nie wyświetla zbyt wielu informacji, ale personalizuje oszustwo, wypełniając pole logowania adresem e-mail odbiorcy. To subtelny, ale sprytny zabieg — dodaje wystarczającą dozę wiarygodności, aby przekonać niektórych użytkowników do kontynuowania.
Witryna blokuje nawet kliknięcie prawym przyciskiem myszy, aby uniemożliwić sprawdzenie kodu — jest to powszechna sztuczka stosowana przez oszustów w celu ukrycia swoich prawdziwych zamiarów.
Poza tym strona docelowa nie wyróżnia się niczym szczególnym. Na przykład linki wyboru języka na dole strony nie działają — kliknięcie ich nie powoduje żadnej reakcji. Jednak większość użytkowników nie będzie się tym przejmować, więc linki te służą wyłącznie celom wizualnym: sprawiają, że strona wygląda na bardziej wiarygodną i nie budzi podejrzeń.
Przyjrzyjmy się teraz zawartości strony i zbadajmy potencjalnie złośliwy kod.
Na pierwszy rzut oka większość kodu jest poświęcona stylom CSS — co jest niezwykłe, ponieważ zazwyczaj są one ładowane z plików zewnętrznych. Osadzenie tak dużej ilości kodu CSS bezpośrednio na stronie jest dziwnym wyborem i już budzi pewne podejrzenia. Jednak poza formatowaniem istnieje kilka wskaźników, które zdecydowanie sugerują, że jest to strona phishingowa.
1. Adres URL wskazuje na IPFS (ipfs.io)
Prawdziwe portale logowania (np. Microsoft, Google itp.) używają oficjalnych domen (takich jak microsoft.com, google.com, outlook.com). ipfs.io to zdecentralizowany system przechowywania plików — żadna legalna organizacja nie będzie tam hostować stron logowania.
2. Niska jakość HTML/CSS i uszkodzone elementy
Kod jest źle sformatowany, ma uszkodzone style wbudowane i nadmierną liczbę obrazów zakodowanych w base64. Prawdziwe korporacyjne strony internetowe są starannie zakodowane, w pełni dopracowane i wykorzystują odpowiednie zarządzanie zasobami (np. nie zawierają ogromnych wbudowanych plików blob).
3. Formularz przechwytuje adres e-mail i hasło bez zabezpieczenia
Pola formularza (adres e-mail, hasło) nie są przesyłane w żadne oczywiste miejsce. Prawdziwe formularze logowania wysyłają dane uwierzytelniające w bezpieczny sposób (HTTPS POST) do legalnych serwerów. Formularze phishingowe albo zbierają informacje w sposób niewidoczny, albo przesyłają je do ukrytych złośliwych punktów końcowych.
4. Mieszanka linków językowych bez funkcjonalności
Istnieją fałszywe „linki językowe” (arabski, czeski, duński itp.), które wszystkie prowadzą do tej samej uszkodzonej strony IPFS. W prawdziwych witrynach selektory języka faktycznie zmieniają treść w sposób dynamiczny.
Rozpowszechnienie tego oszustwa jest dość równomierne na całym świecie:
Jak wspomniano wcześniej, ze względu na ogólny charakter strony docelowej i szeroki zasięg wiadomości phishingowej, oszustwo to może być stosowane niemal identycznie na całym świecie. Zwiększa to szanse atakujących na sukces, umożliwiając im nakłonienie użytkowników w wielu regionach do przekazania swoich danych uwierzytelniających, które mogą następnie zostać wykorzystane do bardziej ukierunkowanych ataków o wysokiej wartości.
Zagrożenie stale rośnie. Spadki widoczne w danych zazwyczaj odpowiadają weekendom, co sugeruje, że najbardziej skutecznym dniem do przeprowadzenia ataku jest poniedziałek — kiedy ludzie wracają do pełnych skrzynek odbiorczych i wciąż dostosowują się do tygodnia pracy. Poza tym wzorcem zagrożenie pozostaje stałe i trwałe. Spodziewamy się, że to oszustwo lub jego odmiany będą nadal pojawiać się teraz i w dającej się przewidzieć przyszłości.
Jak więc chronić się przed tymi oszustwami?
- Zawsze sprawdzaj nagłówki wiadomości e-mail: Przyjrzyj się dokładnie adresowi e-mail nadawcy — czy pochodzi on z legalnej domeny, którą rozpoznajesz? Oficjalne firmy nigdy nie używają podejrzanych lub nieznanych domen.
- Sprawdź stronę docelową: Czy strona wygląda tak, jak się spodziewałeś? Jeśli coś wydaje się nie tak, to prawdopodobnie tak jest. Zachowaj szczególną ostrożność, jeśli zostaniesz przekierowany do nieznanego adresu URL.
- Oceń wygląd i formatowanie: Większość wiadomości phishingowych jest źle zaprojektowana. Zwróć uwagę na niespójne czcionki, niskiej jakości logo lub uszkodzone elementy, których profesjonalna firma nigdy by nie wysłała.
- Zwróć uwagę na presję czasu i manipulacyjny język: Oszuści często tworzą fałszywe poczucie pilności — twierdząc, że Twoja paczka zostanie zwrócona lub Twoje konto zostanie zablokowane, jeśli nie podejmiesz natychmiastowych działań. Poświęć chwilę na weryfikację przed kliknięciem.
Oszustwa e-mailowe nie znikną, ale czujność może zapewnić Ci bezpieczeństwo. Zanim klikniesz, weź głęboki oddech, sprawdź nadawcę, a w razie wątpliwości przejdź bezpośrednio do oficjalnej strony internetowej firmy.
