Wprowadzenie do problemu / definicja
ZeroTokens to zaawansowana platforma phishingowa zaprojektowana z myślą o interaktywnych kampaniach wymierzonych w klientów instytucji finansowych. Jej najważniejszą cechą jest działanie w czasie zbliżonym do rzeczywistego: operator obserwuje zachowanie ofiary niemal na żywo i na tej podstawie decyduje, jakie kolejne ekrany, formularze lub żądania danych zostaną wyświetlone.
Takie podejście odróżnia ZeroTokens od klasycznych, statycznych stron wyłudzających dane. Zamiast jednorazowego formularza logowania ofiara trafia do wieloetapowego scenariusza, w którym przestępca może aktywnie sterować przebiegiem oszustwa i dostosowywać je do aktualnej fazy logowania lub autoryzacji.
W skrócie
ZeroTokens umożliwia podszywanie się pod wiele marek finansowych i zbieranie szerokiego zakresu danych: od loginów i haseł, przez dane osobowe, aż po kody jednorazowe i informacje o kartach płatniczych. Kluczowe znaczenie ma tu udział operatora, który widzi wpisywane dane niemal natychmiast i może reagować na bieżąco.
- atak nie ma charakteru statycznego, lecz jest nadzorowany przez człowieka,
- platforma wspiera wieloetapowe wyłudzanie danych i potwierdzeń MFA,
- zebrane informacje mogą być wykorzystywane od razu w prawdziwej sesji logowania,
- model działania zwiększa skuteczność przejęć kont bankowych i maklerskich.
Kontekst / historia
Ekosystem phishing-as-a-service od kilku lat przechodzi wyraźną transformację. W przeszłości dominowały proste kopie stron logowania, których celem było pozyskanie nazwy użytkownika i hasła. Współczesne kampanie są znacznie bardziej złożone i coraz częściej koncentrują się na obchodzeniu wieloskładnikowego uwierzytelniania, przejmowaniu sesji oraz wyłudzaniu danych niezbędnych do zatwierdzania operacji wysokiego ryzyka.
ZeroTokens wpisuje się w ten trend, ale wyróżnia się sposobem realizacji ataku. Zamiast polegać wyłącznie na klasycznym modelu Adversary-in-the-Middle, platforma rozdziela działania na dwa równoległe procesy. Ofiara komunikuje się z fałszywą stroną kontrolowaną przez przestępcę, podczas gdy operator oddzielnie wykorzystuje zebrane dane w legalnej usłudze finansowej. To pozwala elastycznie zarządzać atakiem bez konieczności utrzymywania pełnego reverse proxy dla całej sesji.
Analiza techniczna
Architektura ZeroTokens opiera się na wieloetapowym przepływie danych. Fałszywa strona odtwarza wygląd prawdziwej instytucji, łącznie z brandingiem, komunikatami pomocniczymi i dodatkowymi elementami budującymi wiarygodność. Po wpisaniu podstawowych danych logowania użytkownik może być kierowany do kolejnych ekranów z dodatkowymi żądaniami.
W praktyce atak może obejmować pozyskanie takich informacji jak identyfikator klienta, hasło, dane dokumentów tożsamości, dane karty płatniczej, kod SMS OTP, potwierdzenie w aplikacji mobilnej czy dodatkowe hasła transakcyjne. Kluczową rolę odgrywa tu stały kanał komunikacyjny pomiędzy przeglądarką ofiary a panelem operatora.
Dzięki temu operator ma wgląd w aktualny stan sesji i może natychmiast sterować dalszym przebiegiem kampanii. Może wyświetlić dodatkowy formularz, ponowić próbę pobrania kodu, zasymulować błąd techniczny albo zakończyć oszustwo przekierowaniem ofiary na prawdziwy serwis. To znacząco zwiększa elastyczność ataku i poprawia skuteczność w sytuacjach, w których liczy się czas, na przykład przy jednorazowych kodach autoryzacyjnych.
Z technicznego punktu widzenia ZeroTokens różni się od typowych kampanii reverse proxy. W klasycznym AiTM głównym celem jest przechwycenie ruchu i tokenów sesyjnych między ofiarą a legalną usługą. Tutaj ciężar operacji przesuwa się w stronę manualnej koordynacji działań, szybkiego wykorzystania wyłudzonych informacji oraz dopasowanej socjotechniki. To model bardziej operacyjny niż czysto pośredniczący.
Konsekwencje / ryzyko
Najpoważniejszym skutkiem wykorzystania ZeroTokens jest możliwość skutecznego przejęcia konta mimo obecności dodatkowych mechanizmów uwierzytelniania. Jeżeli ochrona opiera się głównie na haśle i kodzie SMS lub zatwierdzeniu push, interaktywny phishing może okazać się wystarczający do uzyskania pełnego dostępu do rachunku.
- przejęcie rachunków bankowych i inwestycyjnych,
- realizacja nieautoryzowanych transakcji,
- zmiana danych odbiorców płatności,
- kradzież tożsamości i dalsze nadużycia fraudowe,
- wykorzystanie danych kart płatniczych,
- ponowne użycie wyłudzonych informacji w kolejnych kampaniach.
Dla zespołów bezpieczeństwa istotnym problemem jest również trudność wykrycia takiej aktywności. Ręczne sterowanie kampanią utrudnia identyfikację jednego, powtarzalnego wzorca technicznego. Dodatkowo końcowe przekierowanie użytkownika na prawdziwy serwis może opóźniać zgłoszenie incydentu i utrudniać powiązanie zdarzeń z phishingiem.
Rekomendacje
Organizacje powinny przyjąć, że tradycyjne szkolenia antyphishingowe i MFA oparte na SMS nie zapewniają już wystarczającej ochrony przed interaktywnymi kampaniami tego typu. Potrzebne jest podejście wielowarstwowe, obejmujące zarówno uwierzytelnianie, jak i detekcję oraz ograniczanie skutków przejęcia konta.
- wdrażać phishing-resistant MFA, w tym FIDO2, passkeys i klucze sprzętowe,
- ograniczać użycie SMS OTP tam, gdzie to możliwe,
- stosować polityki warunkowego dostępu oparte na ryzyku, stanie urządzenia i reputacji sesji,
- monitorować nietypowe sekwencje logowania oraz ponawiane próby MFA,
- analizować anomalie związane z urządzeniem, lokalizacją i zachowaniem sesji,
- szkolić użytkowników w zakresie fałszywych próśb o kody, potwierdzenia push i dane dokumentów,
- wprowadzać dodatkowe zabezpieczenia dla operacji wysokiego ryzyka i zmian danych wrażliwych.
W instytucjach finansowych szczególnie ważne jest łączenie sygnałów z obszaru IAM, antyfraudu i monitoringu transakcyjnego. Samo wykrycie nietypowego logowania może nie wystarczyć, jeśli atakujący działa szybko i równolegle wykorzystuje wyłudzone dane do wykonania operacji finansowej.
Podsumowanie
ZeroTokens pokazuje, że phishing coraz częściej przyjmuje formę interaktywnych operacji sterowanych niemal na żywo przez człowieka. Taki model znacząco zwiększa skuteczność przejęć kont, ponieważ łączy socjotechnikę, bieżącą obserwację ofiary i natychmiastowe wykorzystanie pozyskanych danych.
Dla organizacji to kolejny sygnał, że ochrona dostępu musi opierać się na metodach odpornych na phishing oraz na rozbudowanej detekcji nadużyć. W przeciwnym razie nawet wieloskładnikowe uwierzytelnianie może okazać się niewystarczające wobec kampanii prowadzonych w czasie rzeczywistym.