Co znajdziesz w tym artykule?
Wprowadzenie do problemu / definicja
Phishing wymierzony w sektor ubezpieczeniowy przestaje być prostą metodą wyłudzania loginów i haseł. Coraz częściej przybiera formę aktywnej sesji pośredniczącej, w której ofiara wpisuje dane na fałszywej stronie, a operator kampanii natychmiast wykorzystuje je do logowania do prawdziwego portalu ubezpieczyciela.
Taki model znacząco zwiększa skuteczność ataku, ponieważ skraca czas między kradzieżą danych a ich użyciem praktycznie do zera. W efekcie cyberprzestępcy mogą przejąć konto jeszcze w trakcie jednej sesji, zanim użytkownik zorientuje się, że padł ofiarą oszustwa.
W skrócie
- Badacze opisali kampanię phishingową wymierzoną jednocześnie w wiele marek ubezpieczeniowych.
- Głównym wektorem dostarczenia były sponsorowane reklamy w wyszukiwarkach.
- Atakujący stosowali przejęcie konta w czasie rzeczywistym, w tym obsługę kodów OTP podczas aktywnej sesji.
- W kampanii pojawił się wyspecjalizowany zestaw phishingowy InsureOTP Kit z monitoringiem ofiar na żywo i zapleczem administracyjnym.
Kontekst / historia
Przez lata phishing finansowy opierał się na prostym schemacie: ofiara podawała dane logowania, a przestępcy wykorzystywali je później, często z opóźnieniem. Model ten nadal funkcjonuje, jednak rozwój usług cyfrowych w branży ubezpieczeniowej stworzył nową i bardzo atrakcyjną powierzchnię ataku.
Dziś klienci realizują online zakup i odnowienie polis, zgłaszanie szkód, aktualizację danych czy obsługę płatności. Przejęcie takiego konta może oznaczać dostęp nie tylko do danych finansowych, ale również do dokumentów tożsamości, danych polisowych i informacji osobowych, które mogą zostać wykorzystane w kolejnych oszustwach.
Analizowana operacja nie była ograniczona do jednego rynku ani jednej firmy. Wspólna infrastruktura i możliwość szybkiego dostosowywania warstwy wizualnej do lokalnych marek wskazują na skalowalny model działania, który może być łatwo replikowany w różnych regionach.
Analiza techniczna
Atak rozpoczynał się od sponsorowanych reklam wyświetlanych użytkownikom szukającym ofert, porównania cen lub odnowienia ubezpieczenia. Zamiast klasycznego e-maila czy wiadomości SMS cyberprzestępcy wykorzystywali płatne pozycjonowanie, aby podsunąć ofierze pozornie wiarygodny punkt wejścia.
Po kliknięciu użytkownik trafiał na stronę phishingową imitującą legalny portal. Serwisy te odtwarzały branding, interfejs oraz proces logowania lub pozyskiwania oferty w sposób na tyle przekonujący, że ofiara mogła nie zauważyć oszustwa.
Istotnym elementem kampanii była elastyczna infrastruktura. Operatorzy korzystali nie tylko z klasycznego hostingu przestępczego, ale także z usług chmurowych, kreatorów stron i darmowych platform hostingowych. Dzięki temu mogli szybko rotować domeny, wdrażać nowe wersje kampanii i utrudniać działania ochronne oparte wyłącznie na blokowaniu pojedynczych adresów.
Najważniejsza zmiana dotyczyła mechanizmu przejęcia konta. Fałszywa strona nie pełniła roli zwykłego formularza do zbierania danych, lecz działała jako aktywny pośrednik pomiędzy ofiarą a prawdziwym portalem. Gdy użytkownik wpisywał login, hasło lub inne informacje, były one natychmiast używane po stronie legalnego serwisu. Jeśli wymagany był kod jednorazowy, ofiara była proszona o jego podanie pod pretekstem standardowej weryfikacji, a kod trafiał do operatora, który wykorzystywał go przed wygaśnięciem.
W praktyce oznacza to phishing typu adversary-in-the-middle lub zbliżony model sesyjnego pośrednictwa. Cały proces uwierzytelniania odbywa się synchronicznie, co pozwala obejść część mechanizmów MFA opartych na kodach OTP.
Badacze wskazali również na zestaw narzędzi nazwany InsureOTP Kit. Rozwiązanie to oferowało funkcje wykraczające poza klasyczne kity phishingowe, w tym:
- monitorowanie ofiar w czasie rzeczywistym,
- panele administracyjne i workflow obsługi operatorów,
- śledzenie sesji i obsługę OTP na żywo,
- integracje z botami Telegram,
- komunikację z backendem API i natychmiastową eksfiltrację danych.
Dodatkowo analiza publicznie dostępnych zasobów backendowych, takich jak archiwa, komponenty paneli, bazy SQLite czy artefakty operacyjne, pozwoliła badaczom lepiej zrozumieć sposób wdrażania kampanii, zarządzania ofiarami i skalowania całej infrastruktury.
Konsekwencje / ryzyko
Największym zagrożeniem jest natychmiastowe wykorzystanie wyłudzonych danych. W tradycyjnym modelu organizacja mogła mieć czas na wykrycie incydentu przed użyciem poświadczeń. W tym przypadku przejęcie konta może nastąpić w tej samej sesji.
Dla branży ubezpieczeniowej skutki obejmują nieautoryzowany dostęp do danych osobowych i dokumentów, nadużycia związane z polisami, oszustwa tożsamościowe, modyfikację danych klienta oraz wtórne kampanie socjotechniczne bazujące na skradzionych informacjach.
Ryzyko ma również wymiar operacyjny i biznesowy. Obejmuje koszty obsługi incydentu, straty reputacyjne, potencjalne problemy regulacyjne oraz zwiększone wydatki na monitoring zagrożeń zewnętrznych i ochronę marki.
Z perspektywy obrony problemem jest także to, że pojedyncze wskaźniki kompromitacji, takie jak domena czy URL, nie są już wystarczające. Infrastruktura jest tania, łatwa do odtworzenia i często osadzona na legalnych platformach, co wymusza analizę zachowań przeciwnika, nadużyć reklamowych i anomalii w procesach uwierzytelniania.
Rekomendacje
Organizacje z sektora ubezpieczeniowego powinny rozszerzyć monitoring o sponsorowane reklamy wykorzystujące nazwę marki, produktów oraz frazy związane z wyceną i odnowieniem polis. Kluczowe jest szybkie wykrywanie nadużyć i sprawna współpraca z platformami reklamowymi w celu usuwania złośliwych kampanii.
Niezbędne jest również monitorowanie nowo rejestrowanych domen podobnych do marki oraz stron phishingowych hostowanych na popularnych platformach chmurowych. Same blokady domen nie rozwiązują problemu, ale nadal pomagają skracać czas życia kampanii.
Po stronie uwierzytelniania warto zakładać, że OTP oparte na SMS lub kodach jednorazowych może zostać przechwycone podczas phishingu w czasie rzeczywistym. Tam, gdzie to możliwe, należy preferować mechanizmy odporne na phishing, takie jak FIDO2, WebAuthn oraz klucze sprzętowe.
Zespoły SOC i fraud powinny wspólnie analizować sygnały mogące wskazywać na przejęcie sesji, takie jak:
- nietypowe logowania tuż po wejściu użytkownika na stronę marketingową,
- anomalie w sekwencjach MFA,
- zwiększona liczba nieudanych prób OTP,
- krótki odstęp czasu między wpisaniem danych a autoryzacją.
Nie mniej ważna pozostaje edukacja użytkowników. Klienci powinni wiedzieć, że wysoka pozycja reklamy w wyszukiwarce nie gwarantuje autentyczności serwisu, a ponowna prośba o wpisanie kodu jednorazowego może oznaczać aktywną próbę przejęcia konta.
Podsumowanie
Opisana kampania pokazuje, że phishing w sektorze ubezpieczeniowym wszedł w nową fazę. Celem przestępców nie jest już wyłącznie pozyskanie danych do późniejszego użycia, ale natychmiastowe przejęcie konta podczas aktywnej sesji ofiary.
Połączenie reklam sponsorowanych, realistycznych stron podszywających się pod marki, infrastruktury osadzonej na legalnych usługach oraz wyspecjalizowanych kitów takich jak InsureOTP Kit tworzy model ataku o wysokiej skuteczności. Skuteczna obrona wymaga dziś połączenia monitoringu marki, analizy infrastruktury przeciwnika, wykrywania nadużyć reklamowych oraz wdrażania uwierzytelniania odpornego na phishing.
Źródła
- The Hacker News — CTM360 Research Reveals How Insurance Phishing Has Evolved Into Real-Time Account Hijacking — https://thehackernews.com/2026/07/ctm360-research-reveals-how-insurance.html
- CTM360 — InsureTrap: Fake Insurance Phishing & Account Hijacking — https://www.ctm360.com/reports/insuretrap-fake-insurance-phishing-account-hijacking