Przestępcy coraz częściej próbują ominąć techniczne zabezpieczenia i zamiast atakować sam system, skupiają się na jego użytkowniku. W opublikowanym właśnie raporcie dotyczącym bezpieczeństwa polskiej cyberprzestrzeni opisano kampanie, w których do przejęcia konta nie jest potrzebne łamanie szyfrowania ani wykorzystywanie skomplikowanej podatności.
Wystarczy odpowiednio przygotowana wiadomość i przekonanie użytkownika, że kontaktuje się z prawdziwą pomocą techniczną. Jeśli poda wymagane informacje, sam może przekazać atakującemu wszystko, czego ten potrzebuje do uzyskania dostępu do konta.
Atakujący szukają innych sposobów dotarcia do użytkowników
Przez lata jednym z podstawowych narzędzi wykorzystywanych do podobnych ataków była poczta elektroniczna. Organizacje coraz lepiej zabezpieczają jednak skrzynki, filtrują podejrzane wiadomości i szkolą pracowników, dlatego cyberprzestępcy zaczęli częściej korzystać z innych kanałów komunikacji.
CSIRT GOV zwraca uwagę na rosnącą liczbę kampanii prowadzonych za pomocą popularnych komunikatorów. Wśród obserwowanych celów znalazły się między innymi konta użytkowników Signal i WhatsApp.
Szczegółowo opisany przez zespół scenariusz dotyczy Signal. Atakujący zdobywa numer telefonu lub nazwę użytkownika, a następnie kontaktuje się z ofiarą z konta podszywającego się pod pomoc techniczną.
Fałszywa pomoc techniczna prosi o kody
Wiadomość może informować o rzekomej podejrzanej aktywności, próbie przejęcia konta albo konieczności jego dodatkowej weryfikacji.
Następnie użytkownik jest proszony o przekazanie kodu weryfikacyjnego oraz PIN-u. Jeśli poda te dane, przestępca może wykorzystać je do zalogowania się na konto.
Szyfrowanie end-to-end nie chroni przed takim atakiem, ponieważ cyberprzestępca nie próbuje odszyfrować rozmów ani złamać zabezpieczeń komunikatora. Zamiast tego nakłania właściciela konta do dobrowolnego przekazania danych potrzebnych do jego przejęcia.
CSIRT GOV przypomina, że prawdziwa pomoc techniczna Signal nie prosi użytkowników za pośrednictwem wiadomości, rozmowy telefonicznej ani SMS-a o PIN, kod aktywacyjny czy inne dane uwierzytelniające.
Odzyskanie konta może nie zakończyć problemu
Przejęcie profilu nie zawsze jest końcowym celem atakujących. CSIRT GOV zaobserwował również bardziej dyskretny sposób działania.
Po zdobyciu dostępu przestępca może dodać do grup użytkownika kolejne konto pozostające pod swoją kontrolą. Nawet jeśli właściciel później odzyska swój profil, podstawione konto może nadal znajdować się na przykład w grupie pracowniczej i otrzymywać publikowane tam wiadomości.
Przejęte konto może też posłużyć do atakowania kolejnych osób. Wiadomość wysłana z profilu znanego współpracownika lub znajomego może wzbudzić znacznie mniej podejrzeń niż kontakt z całkowicie obcego konta.
ABW: liczba incydentów w Polsce rośnie
Opisane ataki są częścią znacznie szerszego problemu. Według opublikowanego przez CSIRT GOV Agencji Bezpieczeństwa Wewnętrznego „Raportu o stanie bezpieczeństwa cyberprzestrzeni RP w 2025 roku” liczba zarejestrowanych incydentów wzrosła w ubiegłym roku o ponad jedną czwartą.
ABW zwraca uwagę między innymi na nasilające się kampanie phishingowe i socjotechniczne, rosnącą aktywność grup powiązanych z Rosją i Białorusią oraz coraz szersze wykorzystywanie sztucznej inteligencji przez atakujących.
W przypadku komunikatorów podstawowa zasada pozostaje jednak bardzo prosta: kodu aktywacyjnego, PIN-u ani innych danych potrzebnych do zalogowania nie należy przekazywać osobie, która prosi o nie w wiadomości – nawet jeśli przedstawia się jako pomoc techniczna.
Źródło: https://www.abw.gov.pl/pl/aktualnosci/2841%2CRaport-o-stanie-bezpieczenstwa-cyberprzestrzeni-RP-w-2025-roku.html
Komentarze zostaną wczytane po zbliżeniu do tej sekcji.