ZeroTokens: ponad 45 tys. wiadomości w kampanii phishingowej

TL;DR

25 sierpnia 2026 roku Abnormal AI opublikował analizę platformy nazwanej ZeroTokens. Badacze powiązali z obserwowaną kampanią ponad 45 tys. wiadomości wysłanych do ponad 24 tys. odbiorców w ponad 700 organizacjach. W najbardziej intensywnym dniu wysłano ponad 24 tys. wiadomości.

Kampania wykorzystywała przynętę związaną z aktualizacją formularza podatkowego W-8BEN, dziesięć domen nadawczych i dziewięć nadużytych kont SendGrid. Wiadomości przechodziły kontrole SPF, DKIM i DMARC. Sama platforma była skonfigurowana dla 53 marek instytucji finansowych w 14 lokalizacjach językowo-regionalnych oraz 36 marek wydawców kart.

To przede wszystkim świeży przypadek pokazujący, jak dużo wiarygodności można zbudować przy użyciu legalnej infrastruktury wysyłkowej i dobrze dobranego kontekstu biznesowego. Szczegółowy mechanizm phishingu sterowanego przez operatora opisaliśmy wcześniej w materiale o JWR. Tutaj skupiamy się na tym, co konkretnie wykryto w kampanii ZeroTokens i jakie wnioski wynikają z jej skali oraz sposobu dostarczenia wiadomości.

Ponad 45 tys. wiadomości w obserwowanej kampanii

Abnormal wykorzystał wyszukiwanie dokładnych wzorców wiadomości i zidentyfikował ponad 45 tys. wiadomości wysłanych do ponad 24 tys. odbiorców w ponad 700 organizacjach. Ponad 24 tys. wiadomości przypadło na jeden dzień szczytowej aktywności.

Badacze podają też, że 82,5% dotkniętych organizacji było powiązanych z domeną .au. To ważne ograniczenie interpretacji danych. Skala kampanii była duża, ale źródło nie daje podstaw do stwierdzenia, że taki sam poziom aktywności występował w Polsce.

ZeroTokens był skonfigurowany szerzej niż sama obserwowana kampania. Abnormal znalazł projekty dla 53 marek instytucji finansowych w 14 lokalizacjach językowo-regionalnych, obejmujących banki i firmy maklerskie z wielu państw. Osobno platforma zawierała 36 kluczy marek wydawców kart używanych w prostszym szablonie do zbierania danych kart.

Nie należy jednak zamieniać tych liczb w stwierdzenie, że wszystkie 53 instytucje zostały zaatakowane w opisanej kampanii. To liczba marek obsługiwanych przez konfigurację platformy, a nie potwierdzona lista wszystkich ofiar.

Przynęta W-8BEN nie wyglądała jak typowy pilny phishing

Wiadomości dotyczyły przeglądu lub aktualizacji formularza W-8BEN, używanego między innymi przez osoby spoza USA posiadające amerykańskie aktywa finansowe. Zamiast skrajnej presji czasu kampania stosowała spokojniejszy język związany z obowiązkami dokumentacyjnymi i możliwymi ograniczeniami funkcji konta w przyszłości.

To ma znaczenie z perspektywy security awareness. Użytkownicy często uczą się szukać krzykliwego wezwania do natychmiastowego działania, groźby blokady konta lub błędów językowych. Kampania ZeroTokens pokazuje inny wariant: komunikat może wyglądać jak rutynowa czynność administracyjna związana z prawdziwym procesem finansowym.

Dla osoby posiadającej rachunek maklerski lub inwestycje w USA temat W-8BEN może być całkowicie wiarygodny. Obrona nie powinna więc opierać się wyłącznie na ocenie, czy temat wiadomości jest możliwy. Bezpieczniejszym odruchem jest wejście do banku lub brokera samodzielnie przez zapisaną aplikację albo znany adres, zamiast kontynuowania procesu z linku w wiadomości.

Dziewięć nadużytych kont SendGrid i poprawne SPF, DKIM oraz DMARC

Kampania wykorzystywała dziesięć domen nadawczych oraz dziewięć nadużytych kont SendGrid. Abnormal ustalił, że wiadomości miały podpis DKIM SendGrid i przechodziły SPF, DKIM oraz DMARC.

Nie oznacza to błędu tych mechanizmów. SPF, DKIM i DMARC odpowiadają za techniczne uwierzytelnienie źródła lub domeny wiadomości w określonym zakresie. Nie potwierdzają uczciwej intencji nadawcy. Jeżeli przestępca nadużywa prawidłowo skonfigurowanej usługi wysyłkowej, kontrole mogą zakończyć się poprawnym wynikiem, a treść nadal może prowadzić do phishingu.

Ten problem opisujemy szerzej w analizie phishingu, który przechodzi DMARC. W przypadku ZeroTokens ważny jest konkretny przykład: legalna infrastruktura pocztowa zwiększa techniczną wiarygodność dostarczenia, ale nie zmienia celu wiadomości.

Abnormal zauważył również, że dziesięć użytych domen było zarejestrowanych od pięciu do jedenastu miesięcy wcześniej, a żadna nie publikowała rekordu MX. To kolejny sygnał, że infrastruktura mogła być przygotowywana z wyprzedzeniem do wysyłki, bez potrzeby odbierania poczty na tych domenach.

Jakie dane próbował zbierać ZeroTokens

Fałszywe strony odtwarzały wygląd instytucji finansowych i mogły pokazywać do ośmiu ekranów odpowiadających kolejnym etapom weryfikacji. W obserwowanym przebiegu pojawiały się prośby o:

• login i hasło do usługi finansowej;
• dane prawa jazdy i karty;
• sześciocyfrowy kod SMS;
• zatwierdzenie w aplikacji;
• dodatkowe hasło używane przy operacjach na rachunku maklerskim.

Zakres danych jest ważniejszy niż samo hasło. Jeżeli użytkownik przejdzie przez kilka ekranów, incydent może obejmować jednocześnie dane logowania, dane dokumentu, kartę oraz informacje używane przy dodatkowym uwierzytelnianiu.

Po zgłoszeniu takiego zdarzenia organizacja nie powinna ograniczać reakcji do zmiany hasła. Trzeba ustalić, jakie dokładnie informacje użytkownik wpisał lub zatwierdził, a następnie dobrać działania: reset danych logowania, unieważnienie aktywnych sesji, kontakt z instytucją finansową, zastrzeżenie karty lub dokumentu i kontrolę kolejnych prób oszustwa.

ZeroTokens nie jest klasycznym reverse proxy AiTM

Abnormal opisuje dwa równoległe procesy. Fałszywa strona komunikuje się z infrastrukturą ZeroTokens, a operator może oddzielnie używać zdobytych informacji w prawdziwym serwisie finansowym. Platforma nie pośredniczy bezpośrednio w sesji klienta z bankiem.

To odróżnia ten przypadek od typowego reverse proxy Adversary-in-the-Middle. Nie będziemy tutaj ponownie rozwijać całego mechanizmu sterowania ekranami na żywo, ponieważ tę intencję wyczerpuje już nasz materiał Phishing sterowany na żywo. Jak JWR prowadzi ofiarę przez fałszywą płatność.

W kontekście ZeroTokens wystarczy zapamiętać jedną rzecz: jeżeli fałszywy proces potrafi logicznie reagować na kolejne kroki użytkownika, nie jest to dowód, że strona komunikuje się z prawdziwym bankiem. Człowiek po drugiej stronie może dopasowywać dalszy przebieg oszustwa.

Czego badanie nie potwierdza

Przy świeżych analizach zagrożeń łatwo zamienić obserwacje badaczy w zbyt daleko idące wnioski. W przypadku ZeroTokens warto zachować cztery granice.

Po pierwsze, nie ma wiarygodnej atrybucji do konkretnej grupy lub państwa. Abnormal odnotował chińskojęzyczny interfejs konsoli, ale sam język interfejsu nie wystarcza do ustalenia pochodzenia operatorów.

Po drugie, badacze nie znaleźli w ZeroTokens funkcji wykonywania wypłat, przelewów, dodawania odbiorców czy składania zleceń giełdowych. Platforma służyła do zbierania informacji. Ewentualne późniejsze nadużycie rachunku odbywałoby się poza nią.

Po trzecie, obecność ekranów proszących o kod SMS lub zatwierdzenie w aplikacji nie oznacza, że ZeroTokens automatycznie przełamuje każdą metodę MFA. Źródło potwierdza próbę wyłudzania określonych czynników uwierzytelniania, nie uniwersalne obejście MFA.

Po czwarte, Abnormal ocenia z dużą pewnością, że ZeroTokens był prawdopodobnie narzędziem używanym wewnętrznie przez jedną operację, a nie usługą wynajmowaną jako Phishing-as-a-Service. To ocena badaczy oparta na budowie panelu i sposobie prowadzenia kampanii, a nie publicznie potwierdzona tożsamość operatora.

Co powinny z tego wyciągnąć firmy

ZeroTokens łączy kilka elementów, które warto odtworzyć w szkoleniach i procedurach reagowania: wiarygodny temat biznesowy, legalną platformę wysyłkową, poprawne uwierzytelnienie poczty oraz wieloetapową próbę pozyskania danych.

Dlatego użytkownik powinien umieć zatrzymać atak także wtedy, gdy wiadomość nie zawiera oczywistych błędów. Szczególnie przy sprawach finansowych warto wymagać prostego nawyku: nie kontynuować weryfikacji konta z linku otrzymanego w nieoczekiwanej wiadomości, tylko otworzyć oficjalną aplikację lub wpisać znany adres usługi samodzielnie.

Zespół bezpieczeństwa powinien z kolei traktować zgłoszenie takiego phishingu jako pytanie o pełny zakres ujawnionych informacji. Jeśli użytkownik podał kod SMS, zatwierdził powiadomienie w aplikacji albo przekazał dane karty, samo zablokowanie domeny phishingowej nie zamyka incydentu.

Dobrze zaprojektowany program awareness powinien ćwiczyć właśnie takie sytuacje: poprawnie uwierzytelnioną wiadomość, realistyczny kontekst biznesowy i prośbę, która staje się podejrzana dopiero po połączeniu kilku sygnałów. Takie scenariusze można odwzorować w ramach programu Security Awareness PHISHLY, zamiast ograniczać szkolenia do rozpoznawania literówek i podejrzanych domen.

Podsumowanie

ZeroTokens jest interesujący nie dlatego, że wprowadza całkowicie nowy mechanizm phishingu. Najbardziej użyteczny jest jako świeży, nazwany przypadek operacji finansowej o dużej skali, która wykorzystywała spokojną przynętę W-8BEN, nadużyte konta SendGrid i wiadomości przechodzące SPF, DKIM oraz DMARC.

Według Abnormal obserwowana kampania przekroczyła 45 tys. wiadomości i dotarła do ponad 24 tys. odbiorców w ponad 700 organizacjach. To konkretne dane z jednego badania, nie globalna statystyka phishingu. Pokazują jednak, że technicznie poprawnie dostarczona wiadomość i logicznie reagujący proces na stronie nie powinny być traktowane jako dowód autentyczności.

Jeżeli chcesz poznać dokładnie techniczny model phishingu sterowanego przez człowieka, zobacz osobną analizę JWR i sterowania fałszywą stroną na żywo. ZeroTokens pozostaje tutaj tym, czym powinien być ten tekst: krótką analizą konkretnej kampanii i jej świeżych wskaźników.