Podszywanie się pod dane kancelarii i radców prawnych

Pilne ostrzeżenie dotyczące niezwykle wyrafinowanej kampanii phishingowej, która celuje wizerunkowo w polskie kancelarie adwokackie i radcowskie. Oszuści zaczęli masowo tworzyć fałszywe strony internetowe, które podszywają się pod legalnie działających prawników.

Szybki test, który możecie wykonać sami, aby sprawdzić czy Wasze dane także zostały użyte do prób wyłudzenia:

W przeglądarce internetowej, w polu wyszukiwania lub adresu www wpisujecie frazę bez nawiasów: (WASZ NIP jednym ciągiem) google storage i klikacie Szukaj lub ENTER
Jeżeli pojawi się wynik poszukiwań z linkiem zbudowanym w postaci: https:// + [WASZ NIP] + prawnicy.storage.googleapis.com/kancelaria-adwokacka + [nazwa Waszej kancelarii] to należy niezwłocznie to zgłosić do odpowiednich instytucji.

Z naszych spostrzeżeń wynika, iż większość dotyczy NIP’ów osób korzystających z publicznych zbiorów zapisów w bazach JDG.

Opis mechanizmu i rozpoznawanie ataku:

Atak opiera się na mechanizmie Cloud Abuse (podszycia się pod zaufaną infrastrukturę chmurową) oraz na elementach vishingu (wyłudzania danych przez telefon):

Wykorzystywana jest zaufana domena (np. Google, Microsoft, AWS). Oszuści nie rejestrują nowych, podejrzanych domen. Oni hostują złośliwe witryny bezpośrednio na serwerach gigantów technologicznych. Przykładowy adres wygląda zatem następująco: https://[losowy-ciag-znakow]://googleapis.com[nazwa-kancelarii].html.
Pułapka weryfikacyjna powyższego adresu polega na tym, że domena główna należy do Google (googleapis.com) i filtry antyspamowe przepuszczają taki link w wiadomości email oraz przeglądarki wyświetlają zieloną kłódkę bezpieczeństwa (raportując prawidłowy certyfikat SSL). W końcowym efekcie ofiara ma złudne poczucie bezpieczeństwa.
Kolejnym krokiem oszukańczego mechanizmu jest podmiana danych kontaktowych. Cyberprzestępcy kopiują treść oryginalnych stron internetowych lub tworzą bardzo wiarygodne wizytówki danej kancelarii i jednocześnie podmieniają numery telefonów oraz adresy e-mail na własne.
Cel ataku jest taki, że klient, który trafi na taką stronę (np. z pozycjonowanych linków lub fałszywych profili w social media), dzwoni do oszustów, myśląc, że rozmawia z Waszą kancelarią. W ten sposób przestępcy wyłudzają zaliczki, numery PESEL, dane dostępowe do bankowości czy poufne dokumenty procesowe.

Jak to rozpoznać?
Kluczowy jest adres URL. Każda strona rzekomej kancelarii, która w pasku przeglądarki kończy się domeną dostawcy chmurowego (np. *.googleapis.com, *.windows.net, *.amazonaws.com), zamiast własną domeną .pl lub .com.pl, jest na 100% próbą oszustwa.

Prawidłowa ścieżka przeciwdziałania (Co zrobić w przypadku wykrycia?):

Jeśli zauważycie, że ktoś podszywa się pod Waszą kancelarię lub Waszych znajomych, należy niezwłocznie wdrożyć poniższą procedurę:

Zgłoszenie do CERT Polska (Krajowy zespół reagowania):
- Należy natychmiast wysłać zgłoszenie incydentu przez oficjalny formularz: cert.pl lub przesłać link SMS-em na darmowy numer 8080.
- Skutek: Domena zostanie wpisana na ogólnokrajową listę ostrzeżeń, a polscy dostawcy internetu zaczną blokować do niej dostęp.
Zgłoszenie do dostawcy chmury (Take-down notice):
- W przypadku infrastruktury Google (jak w najnowszych atakach), nadużycie należy zgłosić przez dedykowany formularz: Google Cloud Abuse Report wybierając kategorię Phishing/Malware. Legalni dostawcy IT usuwają takie pliki ze swoich serwerów zazwyczaj w ciągu kilku godzin od zgłoszenia.
Zgłoszenie do Google Safe Browsing:
- Warto zgłosić oszustwo na stronie: Google Report Phishing, aby przeglądarki (Chrome, Firefox, Safari) wyświetlały użytkownikom czerwony ekran ostrzegawczy przed wejściem na stronę.
Komunikacja kryzysowa i kroki prawne:
- Warto opublikować krótkie ostrzeżenie na swojej oficjalnej stronie www i w mediach społecznościowych, informując klientów o jedynych, prawidłowych numerach kontaktowych.
- Zabezpieczcie dowody (zrzuty ekranu, kod źródłowy strony, podmienione numery telefonów) i rozważcie złożenie zawiadomienia o popełnieniu przestępstwa z art. 190a § 2 k.k. (podszywanie się pod inną osobę w celu wyrządzenia jej szkody majątkowej lub osobistej – tzw. phishing/identity theft).

Zachęcamy do monitorowania widoczności Waszych nazwisk oraz nazw kancelarii w sieci pod kątem nietypowych adresów URL.