Phishing napad zlorablja OTP banko in URSIV: tarča so poslovni uporabniki

Lažna sporočila OTP banke in URSIV-a: napadalci ciljajo na spletno bančništvo

Nova phishing kampanja zlorablja podobo OTP banke in URSIV-a. Napadalci uporabnike usmerjajo na lažno spletno stran, zbirajo podatke za dostop do spletne banke in napad pogosto nadaljujejo s telefonskim klicem.

Urad Vlade Republike Slovenije za informacijsko varnost opozarja na novo phishing kampanjo, ki zlorablja podobo OTP banke in URSIV-a ter je posebej nevarna za podjetja, organizacije in poslovne uporabnike spletnega bančništva.

Ključni poudarki

Napadalci pošiljajo lažna elektronska sporočila, ki se predstavljajo kot obvestila OTP banke.
Kampanja cilja predvsem poslovne uporabnike spletnega bančništva.
Povezava v sporočilu vodi na lažno spletno stran, ki zlorablja podobo OTP banke in URSIV-a.
Cilj napada je pridobiti podatke za dostop do spletne banke in priprava nadaljnje finančne zlorabe.
Napadu lahko sledi telefonski klic osebe, ki se predstavlja kot bančni uslužbenec.
Podjetja naj opozorilo čim prej posredujejo računovodstvu, vodstvu in uporabnikom poslovne spletne banke.

Lažna varnostna obnova računa kot vaba

Napadalci uporabnikom pošiljajo elektronska sporočila, ki se predstavljajo kot obvestila OTP banke in prejemnike pozivajo k domnevni nujni varnostni obnovi oziroma aktivaciji računa. Takšna sporočila pogosto ustvarjajo občutek nujnosti, grožnjo omejitve dostopa ali vtis, da mora uporabnik takoj ukrepati, če želi ohraniti dostop do spletne banke. Prav občutek časovnega pritiska je eden najpogostejših znakov, da gre za phishing napad oziroma poskus zlorabe zaupanja. Ker kampanja cilja predvsem poslovne uporabnike spletnega bančništva, so možne posledice uspešnega napada bistveno večje kot pri običajnih potrošniških prevarah. Podjetja naj takšna opozorila obravnavajo kot del širše zaščite pred spletnimi prevarami.

Ne klikajte povezav v nepričakovanih bančnih sporočilih.
Pred prijavo vedno ročno preverite naslov spletne strani.
V podjetjih opozorilo čim prej posredujte računovodstvu, vodstvu in uporabnikom spletne banke.

Lažna spletna stran zbira podatke za dostop do spletne banke

Po kliku na povezavo se uporabniku odpre lažna spletna stran, ki zlorablja grafično podobo OTP banke in se lažno predstavlja kot stran, povezana z URSIV-om. Uporabnik je nato pozvan k vnosu elektronskega naslova in telefonske številke, napad pa se lahko nadaljuje z dodatnimi koraki za pridobivanje podatkov. Namen takšnega postopka je pridobiti informacije, ki napadalcem omogočajo dostop do spletne banke ali pripravo nadaljnje zlorabe. Pri naprednejših kampanjah kraja podatkov ni omejena samo na uporabniško ime in geslo, temveč lahko vključuje tudi potrditvene kode, podatke o napravi ali potrjevanje transakcij. Zato morajo organizacije posebno pozornost nameniti vsem postopkom, pri katerih uporabnik prek povezave iz e-pošte vnaša podatke za spletno banko podjetja.

Lažna stran lahko vizualno zelo prepričljivo posnema legitimno bančno okolje.
Zahteva po vnosu telefonske številke je lahko priprava na nadaljnji telefonski napad.
Vnos podatkov prek povezave iz e-pošte je pri bančnih storitvah posebej tvegan.

Telefonski klic poveča verjetnost uspešne prevare

Posebnost kampanje je možnost nadaljnjega telefonskega klica osebe, ki se predstavlja kot uslužbenec banke. Ker lažna spletna stran uporabniku predhodno sporoči, da ga bo kontaktiral predstavnik banke, žrtev tak klic pričakuje in ga zato težje prepozna kot prevaro. Napadalci lahko uporabljajo slovenske telefonske številke ali celo ponaredijo prikaz številke, tako da se na zaslonu izpiše prava številka banke. Gre za kombinacijo phishinga in socialnega inženiringa, kjer tehnična lažna stran napadalcem pomaga ustvariti verodostojen scenarij. Takšni napadi so podobni drugim primerom, kjer se napadalci poslužujejo lažnih bančnih klicev za pridobivanje občutljivih podatkov.

Klicatelju nikoli ne posredujte gesel, potrditvenih kod ali podatkov za prijavo.
Tudi prikazana telefonska številka ni zanesljiv dokaz identitete klicatelja.
Pogovor prekinite in banko pokličite sami prek uradnih kontaktnih podatkov.

Zakaj so napadi z več koraki posebej nevarni?

Sodobne phishing kampanje pogosto niso več omejene na eno samo lažno sporočilo. Napadalci lahko najprej pošljejo e-pošto, nato uporabnika preusmerijo na lažno spletno stran, pozneje pa ga pokličejo po telefonu in dodatno utrdijo občutek, da gre za legitimen postopek. Takšna večstopenjska zloraba je nevarna, ker napadalci postopoma gradijo zaupanje in uporabnika vodijo skozi scenarij, ki je na prvi pogled videti usklajen. Pri tem lahko kombinirajo e-pošto, spletne obrazce, SMS-sporočila, aplikacije za komuniciranje in telefonske klice. Podobni vzorci se pojavljajo tudi pri smishing napadih, kjer napadalci zlorabljajo mobilna sporočila in druge komunikacijske kanale.

Večstopenjski napadi so prepričljivejši kot navadna lažna e-pošta.
Napadalci pogosto kombinirajo tehnične elemente in socialni inženiring.
Telefonski klic po oddani spletni prijavi žrtev lažje dojame kot pričakovani del postopka.

Kaj morajo storiti podjetja in uporabniki?

Banke in hranilnice uporabnikov ne pozivajo prek elektronske pošte ali SMS-sporočil, naj zaradi domnevnih varnostnih razlogov, grožnje blokade računa ali drugih nujnih okoliščin prek povezav v sporočilih vnesejo gesla, potrditvene kode ali druge občutljive podatke. Če uporabnik prejme takšno sporočilo, ga mora obravnavati kot sumljivo in informacije preveriti neposredno pri banki prek uradnih kontaktnih poti. Če so bili podatki že vneseni ali je uporabnik sledil navodilom osebe, ki se je predstavljala kot bančni uslužbenec, je treba nemudoma kontaktirati banko in preveriti morebitne nepooblaščene aktivnosti na računu. Sumljiva sporočila je smiselno posredovati tudi pristojni CSIRT skupini, kot sta SI-CERT ali SIGOV-CERT. Za organizacije je priporočljivo, da imajo pripravljena notranja navodila za prijavo spletne prevare in hitro obveščanje zaposlenih.

Sumljivo sporočilo posredujte notranji IT ali varnostni ekipi.
O morebitnem vnosu podatkov takoj obvestite banko.
Preverite zadnje transakcije, pooblastila in prijave v spletno banko.
Incident prijavite pristojni CSIRT skupini.

Zakaj je kampanja posebej nevarna za poslovne uporabnike?

Pri poslovnem spletnem bančništvu so zneski, pooblastila in operativna tveganja pogosto bistveno večji kot pri osebnih računih. Če napadalci uspešno pridobijo podatke za prijavo ali žrtev prepričajo v potrjevanje postopkov, lahko pride do nepooblaščenih plačil, sprememb prejemnikov ali zlorabe poslovnih procesov. Dodatno tveganje predstavlja dejstvo, da so v podjetjih pogosto vključeni različni oddelki, od računovodstva in financ do vodstva in zunanjih izvajalcev. To napadalcem omogoča, da zlorabijo notranje postopke, časovni pritisk in zaupanje med zaposlenimi. Zato morajo podjetja phishing obvestila obravnavati kot operativno varnostno tveganje, ne zgolj kot običajno neželeno elektronsko pošto.

Preverjanje bančnih zahtev naj poteka prek uradnih kanalov.
Uporabniki spletne banke naj imajo jasna interna navodila za sumljive primere.
Pomembna plačila naj vključujejo dodatno preverjanje, neodvisno od e-pošte ali telefonskega klica.

Zaključek

Nova phishing kampanja, ki zlorablja podobo OTP banke in URSIV-a, kaže, kako prepričljive postajajo spletne prevare, usmerjene v poslovne uporabnike. Napadalci ne računajo samo na lažno elektronsko sporočilo, temveč napad dopolnijo z lažno spletno stranjo in možnostjo telefonskega klica. Prav kombinacija e-pošte, spletne strani in glasu daje prevari dodatno verodostojnost. Najpomembnejši ukrep ostaja preprost: ne vnašajte bančnih podatkov prek povezav iz sporočil in ne potrjujte postopkov na zahtevo neznanega klicatelja. Ob najmanjšem dvomu kontaktirajte banko prek uradnih kontaktov in obvestite svojo varnostno oziroma IT-ekipo.