„Chcielibyśmy cię poinformować, że nieraz systematycznie naruszałeś warunki specjalne tyczące się odrębnych serwisów” - zaczyna się e-mail do użytkownika poczty elektronicznej jednego z największych portali. W kolejnym zdaniu napięcie rośnie: „Konto zostanie skasowane bez ostrzeżenia”. Dalej od rzekomego administratora systemu pocztowego dowiadujemy się o utracie dostępu także do usług płatnych i nieodwracalnej utracie wszystkich danych. E-mail kończy się informacją o możliwości złożenia odwołania - linkiem.

Jeśli wystraszony użytkownik kliknie, trafi na stronę łudząco podobną do oryginalnej, gdzie wyświetli mu się wyskakujące okienko. To metoda „przeglądarka w przeglądarce”, jak informuje CERT Polska, czyli Zespół Reagowania na Incydenty Bezpieczeństwa Komputerowego działający w ramach Naukowej i Akademickiej Sieci Komputerowej NASK (inaczej: CSIRT NASK).

Za atakami stoją hakerzy z Białorusi? 

Tym sposobem na wyłudzanie danych internautów posługuje się teraz Grupa UNC1151, zwana też Ghostwriter od kryptonimu jej najsłynniejszej operacji mającej na celu destabilizację sytuacji politycznej w naszym regionie Europy - obejmującej tzw. aferę e-mailową w Polsce. Jest ona prawdopodobnie powiązana z rządem Białorusi, na co wskazują analizy Google’a i zajmującej się cyberbezpieczeństwem firmy Mandiant.

Janusz Cieszyński, pełnomocnik rządu ds. cyberbezpieczeństwa, na spotkaniu z dziennikarzami we wtorek mówił, że także w obecnej kampanii celem cyberprzestępców mogą być osoby z dostępem do wrażliwych informacji. Nie ujawnił jednak szczegółów.

Technika wyjątkowo niebezpieczna i łatwa do przeoczenia

Metoda przeglądarki w przeglądarce początkowo była wykorzystywana głównie w atakach skierowanych przeciwko mieszkańcom Ukrainy, jednak obecnie CSIRT NASK obserwuje ją także w Polsce. Jak ostrzegają specjaliści, technika ta jest wyjątkowo niebezpieczna i łatwa do przeoczenia. „Polega ona na wyświetleniu w ramach odwiedzanej strony pozornie nowego okna przeglądarki, zawierającego fałszywy panel logowania. Okno to, będąc elementem strony, jest na tyle dobrze wykonane, że ofiara może mieć trudność z odróżnieniem spreparowanego okna od faktycznego nowego okna aplikacji” - wyjaśnia CSIRT NASK. W celu zwiększenia zaangażowania internauty i uśpienia jego czujności proces „logowania” jest podzielony na dwa etapy.

Wcześniej - w ubiegłym roku i na początku bieżącego - atakujący wykorzystywali przejęte polskie witryny internetowe, umieszczając w ich adresach przekierowania na stronę phishingową. Jak wskazuje CERT Polska, „mogło to pomóc w ominięciu filtrów antyspamowych”.

W ciągu ostatniego roku założono prawie sto domen dających się powiązać z grupą Ghostwriter, przeznaczonych do ataków na osoby polskojęzyczne - informują eksperci NASK. Domeny są tworzone w taki sposób, aby pasowały do treści wiadomości. Ich rozszerzenia stale się zmieniają - obecnie najczęściej wykorzystywanym jest .top, jak w adresie konto.weryfikacja-uzytkownika.top, z przytoczonego na wstępie przykładu.

Ewoluuje też język, jakim posługują się cyberprzestępcy. Jak podkreśla CERT Polska, wiadomości phishingowe początkowo zawierały błędy językowe, ale z czasem były coraz lepiej przygotowane.

Od początku tego roku w kraju prawie 130 tys. cyberzagrożeń

Ostatnie ataki grupy UNC1151 wpisują się w serię jej działań wymierzonych w polskich internautów, jakie prowadzi od ponad roku. I nie jest w tym odosobniona. Z ostatnich danych CERT Polska wynika, że od początku tego roku do 14 lipca zgłoszono w kraju prawie 130 tys. cyberzagrożeń, tj. potencjalnych przyczyn wystąpienia incydentu (w tym podejrzanych e-maili). To więcej niż w całym ubiegłym roku.

Liczba samych incydentów zbliża się zaś do 21 tys. i jest prawie dwukrotnie większa niż w analogicznym okresie ub.r. Incydentami są zdarzenia, które mają lub mogą mieć niekorzystny wpływ na cyberbezpieczeństwo, jak przechwycenie haseł do serwisów internetowych czy wykradzenie danych firmy dla okupu lub sparaliżowania jej działalności.

Cyberataki prorosyjskich grup hakerskich we wtorek ponownie potępiła Unia Europejska. „Podkreślamy nasze stałe wsparcie na rzecz wzmocnienia globalnej cyberodporności oraz poprawy gotowości na zagrożenia cybernetyczne” - czytamy w deklaracji Rady UE. Wzywa ona państwa, z których prowadzone są takie kampanie, by pociągnęły sprawców do odpowiedzialności.