Operation Master: fałszywe faktury po kradzieży danych

Operation Master to operacja opisana przez zespół SOCRadar Threat Research Unit, w której skradzione dane klientów posłużyły do masowego rozsyłania fałszywych faktur e-mailem i SMS-em, głównie do odbiorców w Brazylii. Według panelu oszustów przywołanego przez Cyber Security News do 16 września zarejestrowano 2 468 335 e-maili i 1 487 294 SMS-y. Jeśli dostaniesz żądanie płatności z linkiem, nawet z prawidłowo wyglądającymi danymi klienta, nie płać z wiadomości — sprawdź należność osobno u dostawcy.

Jak wygląda fałszywa faktura z Operation Master

SOCRadar opisuje platformę, która korzystała z wcześniej skradzionych baz klientów i danych rozliczeniowych. Panel pozwalał zmieniać wygląd wiadomości pod różnych dostawców usług, wysyłać je przez e-mail i SMS oraz tworzyć spersonalizowane linki. Cyber Security News podaje, że część fałszywych stron płatności pokazywała prawdziwe dane klientów i naśladowała rzeczywiste dokumenty rozliczeniowe.

Zweryfikowane źródła nie publikują pełnego tekstu wiadomości kierowanej do odbiorcy. Przykład, a nie cytat z kampanii: „Masz zaległą fakturę. Termin płatności mija dziś. Opłać należność tutaj: [link]”.

Wiadomość może więc wyglądać wiarygodnie nie dlatego, że pochodzi od prawdziwego dostawcy, lecz dlatego, że przestępcy wcześniej zdobyli dane potrzebne do personalizacji.

Co zdradza tę kampanię

Sygnałem ostrzegawczym jest żądanie zapłaty przez link z niespodziewanej wiadomości, szczególnie gdy presja czasu ma zastąpić normalną weryfikację rachunku. W Operation Master ten sam scenariusz był obsługiwany przez kilka kanałów, więc zgodny e-mail i SMS nie są niezależnym potwierdzeniem. Prawidłowe imię, dane klienta albo znajomy wygląd faktury również nie dowodzą autentyczności, jeśli informacje pochodzą z wykradzionej bazy. Podobną presję zapłaty z linku pokazuje PHISHLY w materiale o fałszywej płatności przez iDEAL.

Co zrobić

Tylko dostałem wiadomość: nie klikaj linku i nie odpowiadaj. Otwórz samodzielnie oficjalną stronę lub aplikację dostawcy albo użyj wcześniej znanego numeru kontaktowego i sprawdź, czy należność rzeczywiście istnieje. Podejrzany SMS w Polsce przekaż w niezmienionej formie na numer 8080. Podejrzaną stronę, e-mail lub incydent możesz zgłosić przez incydent.cert.pl.

Kliknąłem albo podałem dane: zamknij stronę i zapisz adres oraz przybliżony czas zdarzenia. Jeśli podałeś hasło, zmień je z zaufanego urządzenia i zakończ aktywne sesje. W firmie zgłoś zdarzenie zespołowi IT lub bezpieczeństwa, aby mógł sprawdzić konto i urządzenie. Jeżeli podałeś dane karty lub bankowości, skontaktuj się z bankiem przez aplikację banku lub numer z karty.

Zapłaciłem albo podałem kod: natychmiast skontaktuj się z bankiem przez oficjalną aplikację, stronę lub numer z karty i zgłoś oszustwo. Zapytaj o możliwość zatrzymania lub reklamacji transakcji oraz zabezpieczenie użytej metody płatności. Jeżeli doszło do utraty pieniędzy, zgłoś sprawę Policji i zachowaj wiadomość, adres strony oraz potwierdzenie operacji.

Czego nie robić

Nie ufaj fakturze tylko dlatego, że zawiera poprawne dane. Nie dzwoń na numer z podejrzanej wiadomości i nie korzystaj z jej przycisku „zapłać”, aby „sprawdzić”, dokąd prowadzi. Nie wykonuj symbolicznej płatności testowej i nie przekazuj kodów autoryzacyjnych osobie, która kontaktuje się w sprawie rachunku.

Jak działa ta technika?

To phishing płatniczy rozsyłany także przez SMS: skradzione dane zwiększają wiarygodność żądania, a link prowadzi do podstawionej płatności. Mechanizm podszywania się i bezpieczną weryfikację opisujemy szerzej w Bazie wiedzy.

W Bazie wiedzy: co to jest phishing i jak działa.