W piątek rano, podobnie jak tysiące innych użytkowników, otrzymałem e-mail, który na pierwszy rzut oka wydawał się całkowicie legalny i pochodził od Active 24, czołowego gracza w dziedzinie hostingu i rejestracji domen w Czechach. Wiadomość została dostarczona na oficjalny adres e-mail naszej firmy, z informacją, że rozszerzenie nazwy domeny textfactory.cz nie zostało opłacone i że płatność musi zostać dokonana w ciągu 24 godzin, w przeciwnym razie domena zostanie zawieszona. Jak widać w galerii, e-mail faktycznie pokrywał się z oficjalnymi e-mailami wysyłanymi przez dostawców, więc go sprawdziłem i zalogowałem się do systemu.
Ważne jest, aby zauważyć, że system akceptował każde hasło i nazwę, które wpisałeś, i natychmiast przekierował Cię do wprowadzenia danych karty płatniczej. Cała strona wyglądała niezwykle wiarygodnie, a jedyną podejrzaną rzeczą był adres URL, który widzisz dopiero po kliknięciu, czego ludzie zazwyczaj nie robią. Na szczęście w tym momencie zdałem sobie sprawę, że Text Factory, podobnie jak zdecydowana większość domen, jest zarejestrowana u innego dostawcy, więc przyjrzałem się e-mailowi i adresowi URL bardziej szczegółowo i w tym momencie było jasne, że był to jeden z najbardziej wyrafinowanych ataków phishingowych, jaki kiedykolwiek miał miejsce w Czechach.
Fotogaleria
Rzeczywiście, zarówno poczta, jak i strona internetowa wyglądały niezwykle wiarygodnie i wcale nie było łatwo dowiedzieć się, że było to oszustwo. Celem ataku byli klienci Active 24 i wysłano tysiące takich e-maili. Country Manager Active 24 na Czechy, pani Martina Pohořelická, rozmawiała wyłącznie z nami na temat ataku i wyjaśniła, jak doszło do piątkowego ataku na ich klientów. Jej oświadczenie można znaleźć poniżej:
- O godzinie 10:27 zaobserwowaliśmy atak phishingowy (dostarczono tysiące fałszywych e-maili) na naszych klientów, który dość wiarygodnie imitował interfejs panelu administracyjnego ACTIVE 24 i miał na celu oszukańcze nakłonienie użytkowników do wprowadzenia danych karty płatniczej do fałszywego formularza (pod pretekstem pilnej zapłaty za nazwę domeny).
- O godzinie 10:38 w ciągu dziesięciu minut zablokowaliśmy wiadomości e-mail z adresu @st-email.com i sprawdziliśmy, czy nie doszło do dalszych prób wyłudzenia informacji z tych samych adresów IP. Fakt ten nie potwierdził się, więc nie musieliśmy podejmować żadnych dalszych działań. Na naszej stronie zamieściliśmy również ostrzeżenie dotyczące wiadomości phishingowych. Facebookty, zaloguj się page do panelu administracyjnego i homepage.
- 12:12 skontaktowaliśmy się następnie z rejestratorem w Rosji, gdzie obsługiwana była fałszywa witryna, i poprosiliśmy go o jej zablokowanie.
- 12:23 Linki w e-mailu przestały działać (a tym samym zbieranie danych z kart kredytowych oszukanych użytkowników) - 404 Nie znaleziono.
Dlatego też firma Active 24 zareagowała stosunkowo szybko i rozwiązała sytuację już w trakcie dostarczania pierwszych e-maili. Można jednak zauważyć, że ataki phishingowe stały się w ostatnim czasie coraz bardziej wyrafinowane i nie są już jedynie e-mailami z prośbą o uiszczenie cła importowego za paczkę z poczty lub firmy kurierskiej, które każdy otrzymuje na co dzień. Bądź więc bardzo ostrożny i zwracaj szczególną uwagę na e-maile od znanych firm, z których usług faktycznie korzystasz.
Wyrafinowany atak wygląda nieco inaczej, tylko niejaki JELIMAN mógł się na to natknąć.
nie wszyscy są tak doskonali jak Pan, Panie Stránský…. musisz zaakceptować fakt, że żyjesz na planecie, na której żyją też zwyczajni ludzie…. inaczej nie wyróżniałbyś się tak bardzo
Śmiem twierdzić, że w tym przypadku phishing nie jest trudny do rozpoznania. Nawet sam tytuł nie brzmi zbyt czesko - Metoda płatności nie powiodła się. W kolejnym zdaniu również występuje błędne użycie języka czeskiego – po adresowaniu pisze się małą literę, tutaj użyto dużej litery. Polecam ustawić wyświetlanie całego nagłówka wiadomości e-mail, w którym widoczny będzie m.in. adres nadawcy. Podejrzane jest także odmienne oznakowanie tej samej marki – firmy zazwyczaj dbają o to, aby ich nazwa była wyraźnie rozpoznawalna, tutaj nadawcą jest Active(spacja)24, natomiast podpis to Active24 (bez spacji). Link pod napisem „Kliknij tutaj” jest również wyjątkowo podejrzany, zazwyczaj widać przycisk w kolorze marki (w tym przypadku wybrałbym czerwony) i napis „zaloguj się do konta”, „dokonaj płatności ręcznie "itd.
Swoją drogą Active 24 nie ma najtańszych domen, dlatego cena odnowienia wynosząca 170 CZK jest podejrzanie niska. Według aktualnego cennika Active 24 cena rozszerzenia domeny cz wynosi 325 CZK z VAT, czyli prawie dwukrotnie więcej niż wymagana cena. Jest ona nawet niższa od ceny za pierwszy rok (241 CZK), która zwykle jest niższa od ceny przedłużenia. Nie sądzę, żeby wydało się to podejrzane właścicielom jednej lub dwóch domen.
Więc przepraszam, ale mam dziesiątki domen i nie mam pojęcia, czy gdzieś płacę 170 CZK czy 240 CZK... Myślę, że dla zdecydowanej większości ludzi jest to nie do poznania. Fakt, że płatność się nie powiodła, to klasyczna informacja, która pochodzi np. z FB itp.
Nie przeczę, że na e-mail nie ma komunikatów o nieudanej płatności, sam spotykam się z takimi komunikatami kilka razy w miesiącu, zwracam jedynie uwagę na nic nieznaczącą etykietę „Niepowodzenie metody płatności”. Więcej w języku czeskim, np. „Płatność nie powiodła się”, „Płatność nie powiodła się”, .. W mailu należy wpisać status płatności, a nie metodę. Metodą płatności może być karta, przelew, gotówka, nerka, .. , przy statusie „zapłacono”, „niezapłacono”, „anulowano” , .. .
Rozumiem, że pewnie nie zauważycie cen przy takiej ilości domen, dlatego piszę o zwykłych ludziach, którzy nie posiadają dużej ilości domen i dla których zapewne jest przeznaczony ten artykuł. Niemniej jednak powinieneś mieć przynajmniej ogólny przegląd cen domen. Gdybyś otrzymał e-mail z informacją o nieudanej płatności za 5 czeskich domen na wymaganą kwotę 2585 CZK, czy zapłaciłbyś ją? Bez podstawowego przeglądu zapewne tak i według aktualnego cennika Active 24 stracilibyście około 900 CZK. Sam mam przynajmniej ogólne pojęcie o tym, jak drogie są podstawowe domeny u kilku dostawców, co pomaga mi nie tylko w przypadku oszustw typu phishing, ale także w rejestracji i odnawianiu domen.