Diesel Vortex phishing — fałszywe logowanie w logistyce

Diesel Vortex phishing to kampania, która od września 2025 do lutego 2026 atakowała firmy transportowe, spedycyjne i logistyczne w USA oraz Europie. Napastnicy podszywali się pod używane w branży portale i przechwytywali loginy, hasła oraz kody uwierzytelniania wieloskładnikowego (MFA). Badacze opisali 52 domeny phishingowe i 1649 unikalnych przejętych poświadczeń. Infrastruktura operacji została zakłócona w lutym 2026; nie ma wiarygodnego potwierdzenia późniejszej fali pod nazwą Diesel Vortex. Jeśli podobny e-mail trafi do firmy w Polsce, nie loguj się przez jego link; otwórz używany portal z zapisanej zakładki albo znanego adresu.

Jak wyglądała wiadomość Diesel Vortex

Badacze Have I Been Squatted i Ctrl-Alt-Intel pokazali e-mail podszywający się pod TIMOCOM. Fragment wiadomości brzmiał:

“Thank you for using TIMOCOM. For your security please use the link below to verify your account details…”

Dalsza część sugerowała, że ktoś nieuprawniony mógł uzyskać dostęp do konta. Link prowadził do klonu strony logowania. Kampania obejmowała też inne platformy używane przez brokerów frachtowych, przewoźników i operatorów łańcucha dostaw.

Co zdradzało tę kampanię

• E-mail żądał „weryfikacji” istniejącego konta przez link w wiadomości.
• Nadawca lub temat mógł używać cyrylickich znaków podobnych do liter łacińskich, aby utrudnić filtrowanie.
• Widoczna domena .com nie była właściwym adresem używanej usługi. Pełnoekranowa ramka ładowała stronę phishingową z drugiej domeny.
• Klon portalu prosił o login, hasło, a w części wariantów także kod MFA; operator mógł sterować kolejnymi krokami w czasie rzeczywistym.

Podobny pretekst „weryfikacji konta”, ale w innym kanale i innym zdarzeniu, pojawił się w SMS-ach OLX Verify.

Jak taki phishing może wyglądać w Polsce?

W polskiej firmie transportowej ten sam scenariusz mógłby zacząć się od e-maila o rzekomej weryfikacji konta do giełdy transportowej, systemu flotowego albo portalu karty paliwowej.

Jeśli tylko dostałeś wiadomość

Przekaż e-mail administratorowi poczty albo zespołowi IT lub bezpieczeństwa, aby mogli sprawdzić nadawcę i zablokować domenę. Podejrzany adres strony zgłoś także przez formularz CERT Polska.

Jeśli kliknąłeś lub podałeś dane

Jeśli kliknąłeś link z e-maila o weryfikacji konta i otworzyłeś klon portalu logistycznego, ale nie wpisałeś danych, zamknij tę stronę. Skopiuj adres z historii przeglądarki bez ponownego wchodzenia i przekaż go zespołowi IT lub bezpieczeństwa.

Jeśli wpisałeś login lub hasło, samodzielnie otwórz prawdziwy portal, zmień hasło i zakończ aktywne sesje, jeśli usługa na to pozwala. Administrator konta powinien sprawdzić historię logowań i zmiany metod uwierzytelniania.

Jeśli podałeś kod MFA

Natychmiast zakończ aktywne sesje w prawdziwej usłudze, zmień hasło i zresetuj metodę MFA. Powiedz administratorowi konta i zespołowi IT, że kod został wpisany na fałszywej stronie; Diesel Vortex przechwytywał takie kody w czasie rzeczywistym.

Czego nie robić

Nie traktuj końcówki .com ani znajomego wyglądu formularza jako dowodu autentyczności. Nie używaj tego samego linku do zmiany hasła i nie wpisuj kolejnego kodu MFA, gdy strona po „weryfikacji” prosi o następne potwierdzenie.

Jak działa ta technika?

To spear phishing: wiadomość wykorzystuje branżowy kontekst i klon logowania, aby skłonić konkretną grupę pracowników do podania danych. Diesel Vortex dodatkowo ukrywał właściwą stronę phishingową w pełnoekranowej ramce, więc pasek adresu mógł pokazywać tylko domenę pośrednią.