Wprowadzenie do problemu / definicja
Nowa kampania phishingowa wymierzona w sektor bankowy pokazuje, że cyberprzestępcy coraz częściej łączą podszywanie się pod znane marki z technikami utrudniającymi wykrycie i wyłączenie złośliwej infrastruktury. W opisywanym modelu ofiara przy pierwszej wizycie widzi spreparowaną stronę logowania, natomiast przy kolejnych wejściach z tego samego adresu IP pojawia się komunikat sugerujący, że konto hostingowe zostało zawieszone.
Taka metoda nie służy wyłącznie zwiększeniu wiarygodności oszustwa. Jej głównym celem jest zmylenie analityków bezpieczeństwa, operatorów systemów zgłaszania nadużyć oraz dostawców usług takedown, którzy podczas ponownej weryfikacji mogą uznać, że domena została już wyłączona.
W skrócie
- Kampania jest aktywna od maja 2026 roku, a część domen zarejestrowano jeszcze pod koniec 2025 roku.
- Atak opiera się na ponad 300 fałszywych domenach, z których 248 podszywało się pod 189 instytucji finansowych w USA.
- Głównym celem są klienci bankowości biznesowej oraz portali treasury, a nie użytkownicy detaliczni.
- Infrastruktura zapamiętuje adres IP odwiedzającego i zmienia zawartość strony przy kolejnych odsłonach.
- Technika ta może obniżać skuteczność automatycznego monitoringu i procesów wyłączania złośliwych domen.
Kontekst / historia
Z ustaleń badaczy wynika, że kampania rozpoczęła się w maju 2026 roku, choć pierwsze elementy infrastruktury pojawiły się wcześniej. Największą aktywność odnotowano między lipcem a wrześniem 2026 roku. Na dzień 25 października 2026 roku aktywne pozostawały witryny podszywające się pod 183 organizacje, a w tygodniu poprzedzającym tę datę wykryto 49 nowych domen.
Na uwagę zasługuje również sposób nazewnictwa domen. Atakujący wykorzystywali słowa kojarzone z bezpieczeństwem, autoryzacją, ochroną dostępu, anulowaniem operacji czy danymi logowania, zestawiając je z nazwami banków. W nowszych domenach pojawiały się także odniesienia do pomocy technicznej, czatu wsparcia, portali treasury oraz pojęcia „primary device”, co mogło zwiększać skuteczność wobec klientów korporacyjnych.
Analiza techniczna
Najważniejszym elementem kampanii jest warunkowe serwowanie treści zależne od historii wizyt. Zestaw phishingowy zapisuje adres IP użytkownika. Przy pierwszym wejściu prezentowana jest fałszywa strona logowania z brandingiem banku i formularzem żądającym identyfikatora użytkownika oraz hasła. W części przypadków dodawano również element reCAPTCHA, aby wzmocnić wrażenie legalności serwisu.
Podczas kolejnej wizyty z tego samego adresu IP strona nie wyświetla już formularza logowania. Zamiast niego pojawia się komunikat przypominający standardową informację hostingową o zawieszonym koncie. To właśnie ten mechanizm pozwala operatorom kampanii utrudniać analizę i opóźniać reakcję obrońców.
Znaczenie tej techniki jest praktyczne. Ofiara najczęściej otwiera link tylko raz, natomiast analitycy SOC, zespoły reagowania na incydenty czy operatorzy takedown zwykle wracają do domeny wielokrotnie. Jeśli przy kolejnym sprawdzeniu widzą stronę o rzekomym zawieszeniu konta, mogą błędnie przyjąć, że problem został rozwiązany, mimo że infrastruktura nadal działa wobec nowych odwiedzających.
Dodatkowym utrudnieniem było stosowanie warstwy pośredniej maskującej rzeczywiste serwery źródłowe. Ogranicza to możliwość szybkiego ustalenia dostawcy hostingu odpowiedzialnego za treść i spowalnia działania operacyjne. Badacze zauważyli też, że część domen zwracała inne fałszywe komunikaty lub przekierowywała użytkownika do popularnej wyszukiwarki, co dodatkowo utrudnia automatyczną klasyfikację.
Na poziomie interfejsu przestępcy zadbali o drobne, ale istotne szczegóły. Tytuł karty przeglądarki nawiązywał do znanych ekranów weryfikacyjnych, a skrypty utrudniały korzystanie z narzędzi deweloperskich. Nie są to zaawansowane zabezpieczenia, jednak skutecznie podnoszą koszt prostej analizy manualnej.
Konsekwencje / ryzyko
Największe zagrożenie nie wynika wyłącznie z samego wyłudzania poświadczeń, lecz z wydłużonego czasu życia kampanii. Jeśli mechanizmy weryfikacyjne lub zespoły bezpieczeństwa błędnie uznają domenę za nieaktywną, złośliwa infrastruktura może funkcjonować dłużej niż w klasycznych kampaniach phishingowych. To zwiększa liczbę potencjalnych ofiar i wydłuża okno ekspozycji.
Szczególnie niebezpieczne jest ukierunkowanie na bankowość biznesową i systemy treasury. Przejęcie takich danych dostępowych może otworzyć drogę do oszustw płatniczych, wglądu w informacje o rachunkach firmowych, przejęcia korespondencji finansowej oraz zakłócenia procesów autoryzacyjnych. Dla przedsiębiorstw może to oznaczać nie tylko straty finansowe, lecz także problemy operacyjne i regulacyjne.
Ryzyko dotyczy także telemetrii i monitoringu. Publiczne skanery, feedy reputacyjne oraz systemy automatycznej analizy adresów URL mogą nie pokazywać pełnej skali zagrożenia, jeśli nie odtwarzają scenariusza pierwszej wizyty albo nie korzystają z nowych adresów IP. W praktyce oznacza to, że liczba aktywnych domen i wskaźników kompromitacji może być niedoszacowana.
Rekomendacje
Organizacje finansowe oraz ich klienci korporacyjni powinni traktować ten przypadek jako przykład phishingu odpornego na proste procedury weryfikacyjne. Skuteczna obrona wymaga połączenia analizy technicznej, monitoringu infrastruktury i edukacji użytkowników.
- Weryfikować podejrzane domeny z wielu punktów wyjścia sieciowego, najlepiej z rotacją adresów IP oraz czystymi sesjami przeglądarki.
- Rozszerzyć procesy takedown i threat huntingu o korelację wzorców nazewnictwa domen, szablonów HTML, skryptów JavaScript, certyfikatów TLS, rekordów DNS i wspólnych elementów hostingu.
- Zwiększyć monitoring brand abuse pod kątem fraz związanych z bezpieczeństwem, blokadą konta, autoryzacją urządzenia, wsparciem technicznym i treasury.
- Preferować silne metody uwierzytelniania odporne na phishing, szczególnie tam, gdzie dostęp do usług finansowych ma krytyczne znaczenie.
- Utrwalać wśród użytkowników biznesowych zasadę, że do bankowości nie należy przechodzić z linków otrzymanych e-mailem lub komunikatorem.
Podsumowanie
Opisana kampania pokazuje, że phishing ewoluuje w kierunku operacji utrudniających nie tylko wykrycie przez ofiarę, ale również analizę przez zespoły bezpieczeństwa. Mechanizm wyświetlania strony „zawieszonego konta” podczas kolejnych wizyt obniża skuteczność tradycyjnych procedur potwierdzania incydentu i może wydłużać czas działania złośliwej infrastruktury.
Dla sektora finansowego oznacza to konieczność szerszego spojrzenia na phishing jako problem obejmujący nie tylko użytkownika końcowego, ale też monitoring domen, walidację zgłoszeń, procesy takedown i odporność narzędzi analitycznych. Kampanie tego typu będą prawdopodobnie coraz częściej łączyć socjotechnikę z mechanizmami antyanalitycznymi.
Źródła
- SecurityWeek – Bank Phishing Sites Show Fake ‘Suspended’ Pages to Evade Takedowns – https://www.securityweek.com/bank-phishing-sites-show-fake-suspended-pages-to-evade-takedowns/
- Kela – research cited in SecurityWeek coverage – https://www.kelacyber.com/