Co znajdziesz w tym artykule?
Wprowadzenie do problemu / definicja
Fałszywe witryny podszywające się pod legalne przedsiębiorstwa to jedna z najskuteczniejszych form oszustw wymierzonych w sektor B2B. W opisywanym schemacie cyberprzestępcy kopiowali strony znanych firm, modyfikowali dane kontaktowe i informacje rozliczeniowe, a następnie wykorzystywali przygotowaną infrastrukturę do przechwytywania komunikacji handlowej oraz wyłudzania zaliczek za towary, które nigdy nie miały zostać dostarczone.
To model ataku łączący elementy brand impersonation, phishingu biznesowego oraz fraudu płatniczego. Jego skuteczność wynika z tego, że ofiara często nie ma poczucia kontaktu z przestępcą, lecz z wiarygodnie wyglądającym partnerem handlowym.
W skrócie
Badacze ujawnili wieloletnią kampanię oszustw prowadzoną co najmniej od 2017 roku. Jej celem było pozyskiwanie przedpłat od zagranicznych kontrahentów poprzez niemal identyczne kopie stron dużych przedsiębiorstw, fałszywe oferty handlowe, podrobione umowy i faktury z podstawionymi danymi bankowymi.
- Kampania trwała około dziewięciu lat.
- Objęła wiele branż, w tym nawozy, petrochemię, hutnictwo, logistykę i finanse.
- Infrastruktura obejmowała blisko 100 fałszywych domen.
- Komunikacja była prowadzona w kilku językach, co wskazuje na międzynarodowy charakter operacji.
Kontekst / historia
Sam schemat podszywania się pod firmy nie jest nowy, jednak skala oraz długowieczność tej operacji wyróżniają ją na tle typowych incydentów BEC i spoofingu domen. Według ustaleń analityków kampania działała nieprzerwanie przez lata, stopniowo dostosowując taktyki do realiów międzynarodowego handlu.
Wczesne warianty oszustwa częściej wykorzystywały lokalne domeny, natomiast późniejsze odsłony opierały się również na rozszerzeniach globalnych, takich jak .com, .org i .net. Fałszywe serwisy publikowano w języku rosyjskim, angielskim, francuskim i arabskim, co pozwalało wiarygodnie prowadzić rozmowy z zagranicznymi partnerami biznesowymi.
W praktyce kampania była wymierzona przede wszystkim w organizacje uczestniczące w handlu międzynarodowym. W takich relacjach presja czasu, złożoność łańcucha dostaw i rozproszenie geograficzne często utrudniają szybką oraz rzetelną weryfikację kontrahenta.
Analiza techniczna
Technicznie operacja opierała się na kilku warstwach imitacji. Pierwszą była warstwa webowa, czyli wierne kopiowanie legalnych stron przedsiębiorstw. Przestępcy przejmowali układ strony, treści marketingowe, opisy działalności i elementy identyfikacji wizualnej, pozostawiając ofierze wrażenie kontaktu z autentyczną firmą.
Kluczowe zmiany dotyczyły danych kontaktowych oraz informacji płatniczych. To właśnie te elementy kierowały potencjalnych klientów do operatorów oszustwa i pozwalały przejąć negocjacje handlowe.
Drugą warstwę stanowiła manipulacja domenami. Fałszywe witryny korzystały z adresów podobnych wizualnie do prawdziwych domen firmowych, co znacząco zwiększało skuteczność ataku. W wielu przypadkach pobieżna kontrola adresu URL mogła nie wystarczyć do wykrycia oszustwa.
Trzecim elementem była infrastruktura techniczna. Badacze powiązali wiele domen z tymi samymi rekordami DNS, adresami IP i podobnymi danymi rejestracyjnymi, co sugeruje centralnie utrzymywaną kampanię, a nie przypadkowe incydenty realizowane przez niezależnych oszustów.
Czwarta warstwa obejmowała socjotechnikę oraz proces handlowy. Kontakt z ofiarą mógł zaczynać się od cold calli, wiadomości phishingowych albo przekierowania na podrobioną witrynę. Następnie ofiara otrzymywała kompletny zestaw dokumentów biznesowych, takich jak oferta handlowa, projekt umowy czy faktura z fałszywym numerem rachunku.
Szczególnie niepokojący był poziom adaptacji operatorów kampanii. Gdy legalne firmy publikowały ostrzeżenia o oszustwach, sprawcy potrafili kopiować także te komunikaty na fałszywe strony, podmieniając jedynie odniesienia do prawdziwych domen na własne adresy. To pokazuje, że infrastruktura była aktywnie utrzymywana i stale aktualizowana.
Konsekwencje / ryzyko
Najbardziej bezpośrednim skutkiem są straty finansowe wynikające z przelewów realizowanych na rachunki kontrolowane przez oszustów. W modelu opartym na przedpłatach szkoda może być szczególnie dotkliwa, ponieważ ofiara często orientuje się z opóźnieniem, gdy dostawa nie następuje lub kontakt nagle się urywa.
Ryzyko nie ogranicza się jednak wyłącznie do kupujących. Firmy, pod które podszywają się przestępcy, muszą mierzyć się z problemami reputacyjnymi, reklamacjami od kontrahentów oraz koniecznością obsługi incydentów, których formalnie nie spowodowały. Dodatkowo takie działania zwiększają koszty compliance i komplikują relacje z partnerami zagranicznymi.
Z perspektywy cyberbezpieczeństwa to zagrożenie jest istotne dlatego, że nie wymaga klasycznego przełamania zabezpieczeń technicznych. Wystarczy przekonać ofiarę, że komunikuje się z właściwym podmiotem. Oznacza to, że standardowe narzędzia ochronne, takie jak ochrona endpointów czy wykrywanie złośliwego kodu, mogą nie wystarczyć bez silnych procedur weryfikacyjnych.
Rekomendacje
Organizacje działające w handlu międzynarodowym powinny traktować weryfikację kontrahenta i danych płatniczych jako integralny element programu bezpieczeństwa. Niezbędne jest niezależne potwierdzanie rachunków bankowych, danych kontaktowych i statusu podmiotów gospodarczych przy użyciu wiarygodnych źródeł zewnętrznych.
- Weryfikować domenę dostawcy, w tym datę rejestracji, historię zmian i zgodność z oficjalną marką.
- Potwierdzać każdą zmianę rachunku bankowego przez drugi, niezależny kanał komunikacji.
- Stosować procedurę call-back verification przed realizacją wysokokwotowych przelewów.
- Monitorować internet pod kątem domen podobnych do własnej marki.
- Rejestrować defensywne warianty domen i aktywnie zgłaszać nadużycia brandowe.
- Szkolić działy zakupów, sprzedaży, finansów i logistyki z zakresu fraudu B2B oraz podszywania się pod kontrahentów.
- Łączyć działania bezpieczeństwa z zespołami compliance, prawnymi i księgowymi.
- Analizować otrzymywane dokumenty handlowe pod kątem niespójności w metadanych, języku, podpisach i danych rozliczeniowych.
Po stronie firm narażonych na podszywanie się ważne jest również publikowanie jasnych procedur weryfikacji zamówień, utrzymywanie zaufanych kanałów komunikacji oraz szybkie zgłaszanie fałszywych domen do rejestratorów, dostawców hostingu i partnerów branżowych.
Podsumowanie
Opisana kampania pokazuje, że współczesne oszustwa cybernetyczne nie zawsze opierają się na malware lub eksploatacji podatności. Często skuteczniejsze okazuje się wierne odtworzenie tożsamości firmy, przejęcie procesu komunikacji biznesowej i wykorzystanie presji operacyjnej po stronie ofiary.
Dziewięcioletnia aktywność, wielojęzyczna infrastruktura i rozbudowany zestaw fałszywych dokumentów wskazują na dojrzały model przestępczy nastawiony na długofalowe wyłudzanie środków. Dla organizacji to wyraźny sygnał, że bezpieczeństwo domen, procesów zakupowych i rozliczeń powinno być traktowane na równi z klasyczną ochroną systemów IT.