"Ograniczyliśmy dostęp do konta PayPal". Nasz czytelnik ostrzega przed oszustwem

Pojawiła się nowa kampania phishingowa, w której oszuści wykorzystują wizerunek systemu płatności PayPal. Przestępcy wysyłają wiadomości na skrzynki mailowe Polaków i próbują wykraść dane kart płatniczych. O sprawie poinformował nas jeden z czytelników.

PayPal to jeden z najpopularniejszych rodzajów płatności znany na całym świecie. Aż dziwne, że cyberprzestępcy tak rzadko wykorzystują jego wizerunek w celu oszustwa. Tym razem jednak tak się stało, chociaż cały atak nie został przygotowany zbyt ambitnie. Osoba obyta z podstawowymi zasadami bezpieczeństwa w sieci od razu rozpozna taki fałszywy e-mail. Zalecamy ostrzec bliskich i znajomych, którzy mają mniejsze doświadczenie w sieci.

Tytuł e-maila brzmi: "Przywróć swoje konto", a więc cyberprzestępcy polują na aktywnych użytkowników serwisu PayPal. Kilka szczegółów od razu rzuca się w oko. Przede wszystkim brak polskich znaków, fatalna estetyka oraz, co kluczowe, adres nadawcy nie mający nic wspólnego z PayPalem. Nie będziemy go ujawniać, aby nie zaszkodzić serwisowi, ale domenę zarejestrowano na Ukrainie.

W dalszej treści maila przeczytamy, że: "Zauwazylismy pewna niebezpieczna aktywnosc na Twoim koncie. Sprawdz informacje o Twoim koncie, które pomoga nam rozwiazac problem i zachowac Twoje zabezpiecz konto, postepujac zgodnie z instrukcjami w linku ponizej". Brak polskich znaków w tym poprzednich zdania była celowa, aby zachować oryginalną treść e-maila. Oszuści chcą, abyśmy kliknęli w hiperłącze prowadzące do spreparowanej przez nich strony internetowej. I co ciekawe, natrafimy tu na dwa interesujące etapy oszustwa.

Trafiamy na witrynę "theplaytherapist(.)com", a konkretniej na podstronę przygotowaną do wyłudzania danych. Na początku jesteśmy proszeni o podanie adres e-mail oraz hasła, na jakie zarejestrowaliśmy konto PayPal. Niezależnie od tego co wpiszemy (tyko format e-mail jest wymagany), możemy przejść do kolejnego etapu. Prawdopodobnie oszust próbuje wyłudzać te dane, aby następnie spróbować zalogować się do kont ofiary w innych serwisach korzystając z tej samej kombinacji.

Po wpisaniu adresu e-mail i hasła przechodzimy do drugiego etapu oszustwa. Tutaj jesteśmy proszeni o podanie pełnych danych osobistych oraz danych naszej karty płatniczej. Oczywiście nie należy tego robić i jeżeli nie jesteśmy pewni swojego bezpieczeństwa, najlepiej nie podawać takich informacji w żadnym z serwisów czy aplikacji. Nigdy nie mamy gwarancji, że te dane nie zostaną wykradzione.

Chociaż twórca ataku nie wykazał się zbytnio pod względem estetycznym, to cały proces pozyskiwania danych jest bardzo intrygujący. Wiadomość e-mail dotarła do naszego czytelnika z domeny ukraińskiego serwisu komputerowego. Raczej nie jest jego pracownikiem, ale być może udało mu się zdobyć dostęp do serwera pocztowego tej firmy.

Taką hipotezę podpiera fakt, że spreparowana do wyłudzania danych witryna została osadzona jako podstrona prawdziwego bloga terapeuty rodzinnego. Strona wykorzystuje certyfikat HTTPS i wygląda na całkowicie bezpieczną. Wygląda na to, że i tutaj doszło do włamania na serwery, a cyberprzestępca dodał podstronę witryny, której jak dotąd jej twórcy nie zauważyli. Prawdopodobnie postępuje w ten sposób, aby zatrzeć po sobie ślady.