Archiwa: Phishing - Strona 18 z 137

Ghost Stadium: tysiące fałszywych domen FIFA atakują kibiców mundialu 2026

Wprowadzenie do problemu

Rosnące zainteresowanie Mistrzostwami Świata FIFA 2026 przyciąga nie tylko kibiców, ale również cyberprzestępców. W centrum uwagi znalazła się operacja określana jako „Ghost Stadium”, której celem są osoby szukające biletów, transmisji, oficjalnych gadżetów i innych usług związanych z turniejem.

To przykład kampanii, w której przestępcy wykorzystują rozpoznawalną markę oraz emocje towarzyszące wielkiemu wydarzeniu sportowemu. Dzięki temu budują wiarygodne strony, wiadomości i oferty, których głównym celem jest wyłudzenie pieniędzy, danych logowania lub zainfekowanie urządzenia ofiary.

W skrócie

Operacja Ghost Stadium obejmuje tysiące fałszywych domen podszywających się pod FIFA i usługi związane z mundialem 2026.
Kampania służy do phishingu, sprzedaży nieistniejących biletów, fałszywych sklepów, oszukańczych transmisji i dystrybucji malware.
W atakach wykorzystywane są infostealery, w tym Vidar i Lumma, zdolne do kradzieży haseł, cookies i tokenów sesyjnych.
Zagrożenie dotyczy zarówno kibiców, jak i organizacji oraz partnerów biznesowych powiązanych z wydarzeniem.

Kontekst i historia

Duże imprezy sportowe od lat stanowią dogodny pretekst do prowadzenia kampanii phishingowych i oszustw internetowych. Im większa skala wydarzenia, tym łatwiej wykorzystać presję czasu, ograniczoną dostępność biletów oraz silne emocje fanów. Mundial 2026 jest pod tym względem szczególnie atrakcyjny, ponieważ ma charakter globalny i odbywa się w trzech krajach.

Według ujawnionych analiz od sierpnia poprzedniego roku zarejestrowano ponad 4300 podejrzanych domen naśladujących oficjalną obecność FIFA w sieci. Taka skala wskazuje, że nie mamy do czynienia z pojedynczą falą oszustw, lecz z długofalową i zorganizowaną operacją przygotowywaną z dużym wyprzedzeniem.

Dodatkowym czynnikiem ryzyka jest szerszy ekosystem nadużyć związanych z turniejem. Obejmuje on nie tylko podszywanie się pod FIFA, ale również pod sponsorów, partnerów handlowych, platformy streamingowe i kanały sprzedaży biletów, co znacząco zwiększa powierzchnię ataku.

Analiza techniczna

Od strony technicznej Ghost Stadium bazuje na połączeniu kilku dobrze znanych metod: typosquattingu, podszywania się pod markę oraz dystrybucji złośliwego oprogramowania. Atakujący rejestrują domeny podobne do legalnych adresów, a następnie tworzą witryny łudząco przypominające oficjalne serwisy pod względem wyglądu, języka, formularzy logowania i procesu zakupu.

W praktyce kampania działa wielotorowo. Jeden scenariusz polega na phishingu poświadczeń, gdzie użytkownik proszony jest o zalogowanie do rzekomego konta lub potwierdzenie danych w procesie zakupu. Inny model obejmuje sprzedaż fałszywych biletów, często wspieraną komunikatami o ograniczonej liczbie miejsc i kończącej się promocji.

Osobną kategorię stanowią fikcyjne sklepy z gadżetami, które przyjmują płatność za towary, które nigdy nie zostaną dostarczone. Przestępcy uruchamiają także fałszywe serwisy streamingowe, wymagające założenia konta, podania danych karty lub instalacji dodatkowego oprogramowania. W części przypadków użytkownik jest kierowany do podejrzanych platform bukmacherskich i kasyn, które również mogą służyć wyłudzaniu danych finansowych.

Najgroźniejszym elementem tej operacji pozostaje jednak malware. Badacze wiążą kampanię z rodzinami infostealerów Vidar i Lumma. Tego typu złośliwe oprogramowanie jest zaprojektowane do wykradania zapisanych haseł, cookies, tokenów sesyjnych, danych z przeglądarek, a nawet informacji o portfelach kryptowalutowych. W praktyce oznacza to, że jedno wejście na zainfekowaną stronę może doprowadzić do przejęcia wielu kont jednocześnie.

Istotnym aspektem jest również monetyzacja. Przejęte dane uwierzytelniające mogą być sprzedawane na forach przestępczych, wykorzystywane do dalszych ataków lub łączone z innymi wyciekami danych. To sprawia, że skutki incydentu nie kończą się na jednorazowej stracie pieniędzy, lecz mogą mieć charakter długoterminowy.

Konsekwencje i ryzyko

Dla użytkowników najbardziej oczywistym skutkiem jest utrata środków finansowych, danych osobowych oraz dostępu do kont. W przypadku oszustw biletowych ofiara może zorientować się dopiero w ostatniej chwili, że kupione wejściówki nie istnieją. W scenariuszu phishingowym przejęte konto może zostać wykorzystane do dalszych nadużyć, w tym zmiany danych profilu, kradzieży rezerwacji lub prowadzenia kolejnych oszustw.

Jeśli na urządzeniu ofiary zostanie uruchomiony infostealer, skala szkód rośnie znacząco. Przestępcy mogą uzyskać dostęp do poczty elektronicznej, kont zakupowych, mediów społecznościowych, a nawet bankowości internetowej. Przejęcie sesji i cookies dodatkowo utrudnia obronę, ponieważ pozwala ominąć część klasycznych mechanizmów logowania.

Ryzyko dotyczy również organizacji. Fałszywe domeny zwiększają obciążenie zespołów bezpieczeństwa, działów wsparcia i mechanizmów przeciwdziałania fraudom. Dla sponsorów i partnerów problemem jest także możliwość podszywania się pod ich markę w wiadomościach e-mail, co może prowadzić do kampanii BEC, spear phishingu oraz utraty zaufania klientów.

Kampanie powiązane z globalnymi wydarzeniami mają bardzo wysoką skuteczność socjotechniczną. Emocje, presja czasu i obawa przed utratą okazji powodują, że użytkownicy chętniej klikają reklamy, ufają niezweryfikowanym ofertom i wpisują dane logowania poza oficjalnym kanałem.

Rekomendacje

Po stronie organizacji kluczowe jest aktywne monitorowanie domen podszywających się pod markę oraz szybkie reagowanie na wykryte nadużycia. Niezbędne staje się również wzmacnianie zabezpieczeń poczty poprzez SPF, DKIM i DMARC oraz wdrażanie mechanizmów wykrywania lookalike domains i kampanii phishingowych.

Zespoły bezpieczeństwa powinny przygotować dedykowane reguły detekcyjne dla ruchu do nowo zarejestrowanych domen związanych z mundialem, biletami, streamingiem i merchandisingiem. W środowiskach firmowych warto dodatkowo monitorować oznaki aktywności infostealerów, w tym kradzież cookies, tokenów sesyjnych i nietypowe logowania z przejętych sesji.

Użytkownicy powinni korzystać wyłącznie z oficjalnych kanałów sprzedaży i logowania oraz samodzielnie wpisywać adresy stron zamiast klikać w linki z reklam, mediów społecznościowych czy wiadomości e-mail. Bardzo ważne jest stosowanie menedżera haseł, który pomaga rozpoznać fałszywe witryny, oraz uwierzytelniania wieloskładnikowego, ograniczającego skuteczność części prób przejęcia kont.

Sprawdzaj dokładnie adres strony przed logowaniem lub płatnością.
Nie kupuj biletów i gadżetów z niezweryfikowanych źródeł.
Nie instaluj aplikacji ani dodatków wymaganych przez podejrzane serwisy streamingowe.
Używaj unikalnych haseł i MFA dla poczty oraz kont zakupowych.
W razie podejrzenia kompromitacji natychmiast zmień hasła i unieważnij aktywne sesje.

Podsumowanie

Ghost Stadium pokazuje, jak skutecznie cyberprzestępcy potrafią wykorzystać globalne wydarzenie sportowe do prowadzenia szeroko zakrojonych kampanii fraudowych i malware. Połączenie fałszywych domen, phishingu, oszustw zakupowych oraz infostealerów tworzy spójny i bardzo dochodowy model ataku.

Dla kibiców oznacza to realne ryzyko utraty pieniędzy i danych, a dla organizacji konieczność stałego monitorowania zagrożeń oraz wzmacniania zabezpieczeń poczty, domen i endpointów. W miarę zbliżania się mundialu 2026 podobnych operacji najprawdopodobniej będzie przybywać, dlatego ostrożność użytkowników i szybka reakcja zespołów bezpieczeństwa pozostają kluczowe.

Źródła

Cyberatak na LA Metro powiązany z irańskimi aktorami państwowymi. Rosnące ryzyko dla transportu i systemów OT

Wprowadzenie do problemu / definicja

Cyberatak wymierzony w LA Metro pokazuje, że operatorzy transportu publicznego pozostają atrakcyjnym celem dla zaawansowanych grup sponsorowanych przez państwa. Tego typu incydenty wykraczają poza klasyczne naruszenie środowiska IT, ponieważ mogą obejmować również systemy operacyjne i nadzorcze wspierające funkcjonowanie infrastruktury miejskiej.

W opisywanym przypadku incydent, początkowo przedstawiany jako działanie środowiska haktywistycznego, został powiązany z infrastrukturą oraz aktywnością kojarzoną z irańskimi operatorami państwowymi. To istotny sygnał ostrzegawczy dla organizacji łączących środowiska IT i OT, zwłaszcza w sektorze publicznym oraz usługach krytycznych.

W skrócie

Atak dotknął Los Angeles County Metropolitan Transportation Authority, powodując zakłócenia po stronie systemów wewnętrznych. Dostępne informacje wskazują jednak, że nie doszło do zatrzymania kursowania pociągów i autobusów.

Za incydent odpowiedzialność publicznie przypisała sobie grupa Ababil of Minab.
Późniejsza analiza wskazała na możliwe powiązania tej infrastruktury z aktywnością przypisywaną irańskim podmiotom państwowym.
Napastnicy mieli uzyskać dostęp do platformy wirtualizacyjnej, serwera Microsoft IIS oraz systemu OT związanego z monitoringiem ruchu pociągów.
Skala incydentu sugeruje połączenie działań destrukcyjnych, eksfiltracji danych i presji informacyjnej.

Kontekst / historia

Naruszenie wykryto w połowie marca 2026 roku. Incydent doprowadził do znaczących utrudnień w środowiskach wewnętrznych, a proces przywracania zasobów wymagał sprawdzenia setek serwerów pod kątem śladów kompromitacji.

Taki model reakcji zwykle wskazuje na obawy przed szerszym rozprzestrzenieniem się atakujących w infrastrukturze oraz ryzykiem utrzymania przez nich trwałego dostępu. W praktyce oznacza to konieczność prowadzenia żmudnej weryfikacji systemów, kont uprzywilejowanych, konfiguracji usług i integralności danych.

W kolejnych dniach do ataku przyznała się grupa Ababil of Minab, przedstawiana jako proirańskie ugrupowanie haktywistyczne. Jej komunikaty obejmowały twierdzenia o destrukcji danych oraz ich eksfiltracji, a publikowane materiały miały potwierdzać dostęp do zasobów wewnętrznych organizacji.

Niezależne analizy wskazały jednak, że grupa może nie być autonomicznym bytem haktywistycznym, lecz operacyjną przykrywką powiązaną z infrastrukturą używaną wcześniej przez podmioty związane z Iranem. Taki model działania wpisuje się w szerszy trend maskowania kampanii państwowych pod pozorem aktywizmu politycznego.

Analiza techniczna

Technicznie incydent odpowiada schematowi coraz częściej obserwowanemu w operacjach sponsorowanych przez państwa: kompromitacja środowiska korporacyjnego, eksfiltracja danych, działania destrukcyjne oraz element psychologiczny polegający na publicznym nagłośnieniu ataku.

Szczególnie istotne są trzy obszary dostępu wskazane w materiałach dotyczących incydentu. Pierwszym z nich jest platforma wirtualizacyjna. Naruszenie tej warstwy może zapewnić napastnikom możliwość jednoczesnego oddziaływania na wiele systemów, wykonywania kopii maszyn, modyfikowania konfiguracji sieciowej, wyłączania usług lub ukrywania obecności w sposób trudniejszy do wykrycia.

Drugim elementem jest dostęp do serwera Microsoft IIS. Tego typu system może służyć jako punkt wejścia do sieci, kanał utrzymania persystencji lub narzędzie do dalszej eskalacji uprawnień. W praktyce serwery webowe bywają wykorzystywane do wdrażania web shelli, przechwytywania danych aplikacyjnych lub lateral movement w kierunku bardziej wrażliwych segmentów infrastruktury.

Trzecim i najpoważniejszym obszarem jest system OT używany do monitorowania ruchu pociągów. Nawet jeśli nie doszło do bezpośredniego wpływu na bezpieczeństwo przewozów, sam dostęp do strefy OT znacząco podnosi wagę incydentu. Może to świadczyć o niewystarczającej separacji środowisk albo o skutecznym obejściu istniejących mechanizmów segmentacji.

W przypadku transportu publicznego ma to szczególne znaczenie, ponieważ systemy monitoringu, utrzymania ruchu i nadzoru operacyjnego charakteryzują się wysokimi wymaganiami dostępności oraz często ograniczoną możliwością szybkiego wdrażania poprawek bezpieczeństwa. Z tego powodu nawet krótkotrwała obecność atakującego w strefie OT może mieć długofalowe konsekwencje.

Deklaracje napastników o usunięciu dużych wolumenów danych i kradzieży ponad 1 TB informacji należy traktować ostrożnie, ale nie można ich bagatelizować. Nawet częściowe potwierdzenie takich działań oznaczałoby, że operacja miała charakter hybrydowy, łącząc sabotaż, wywiad cyfrowy i oddziaływanie informacyjne.

Konsekwencje / ryzyko

Najważniejszym skutkiem podobnych incydentów jest utrata ciągłości operacyjnej. W organizacjach odpowiadających za transport publiczny nawet ograniczone zakłócenia systemów zaplecza mogą wpływać na planowanie pracy, utrzymanie infrastruktury, komunikację z pasażerami, zarządzanie personelem oraz obsługę zdarzeń terenowych.

Drugim obszarem ryzyka pozostaje bezpieczeństwo informacji. Eksfiltracja dokumentów technicznych, konfiguracji, danych administracyjnych i informacji o architekturze środowiska może ułatwić przygotowanie kolejnych operacji, zarówno przeciwko tej samej organizacji, jak i jej partnerom czy dostawcom.

Trzecie ryzyko dotyczy systemów OT oraz infrastruktury krytycznej. Nawet jeśli atak nie doprowadził do fizycznego zakłócenia ruchu, rozpoznanie środowiska przemysłowego i uzyskanie dostępu do narzędzi monitoringu daje napastnikom przewagę w planowaniu przyszłych działań. Taki przyczółek może posłużyć do testowania reakcji obrońców lub przygotowania późniejszych kampanii destabilizacyjnych.

Istotne jest również ryzyko strategiczne. Gdy grupa przedstawia się jako haktywistyczna, a analiza techniczna wskazuje na możliwe wsparcie państwowe, pojawia się problem atrybucji. Takie maskowanie utrudnia proporcjonalną odpowiedź operacyjną i polityczną, jednocześnie zwiększając niepewność po stronie ofiary i jej ekosystemu.

Rekomendacje

Organizacje z sektora transportu, administracji i infrastruktury krytycznej powinny potraktować incydent dotyczący LA Metro jako argument za wzmocnieniem ochrony środowisk hybrydowych IT/OT.

Egzekwować ścisłą segmentację sieci między systemami biurowymi, usługami publicznymi, warstwą administracyjną i strefami OT.
Zabezpieczyć platformy wirtualizacyjne, kontrolery domeny, systemy kopii zapasowych i interfejsy zdalnego dostępu.
Wdrożyć MFA odporne na phishing, zasadę najmniejszych uprawnień i odrębne konta administracyjne.
Rozszerzyć monitoring o logi z hypervisorów, systemów IAM, serwerów IIS, rozwiązań EDR oraz urządzeń pośredniczących między IT i OT.
Budować reguły detekcji pod kątem nietypowych eksportów danych, tworzenia nowych kont uprzywilejowanych i zmian konfiguracji infrastruktury.
Utrzymywać odseparowane kopie zapasowe oraz regularnie testować procedury odtworzeniowe.
Przygotować scenariusze reagowania na incydenty obejmujące jednoczesną eksfiltrację danych i działania destrukcyjne.
Prowadzić regularną walidację ekspozycji na wskaźniki kompromitacji oraz ćwiczenia purple team uwzględniające przenikanie z IT do OT.

Podsumowanie

Incydent dotyczący LA Metro pokazuje, że pozornie klasyczny atak zakłócający może być elementem szerszej operacji powiązanej z aktorami państwowymi. Kluczowe wnioski są trzy: etykieta haktywizmu nie wyklucza zaplecza państwowego, kompromitacja platform zarządzania i systemów OT znacząco podnosi poziom ryzyka, a skuteczna obrona sektora publicznego wymaga pełnej widoczności nad punktami styku między IT a technologią operacyjną.

Dla zespołów bezpieczeństwa to kolejny sygnał, że ochrona infrastruktury transportowej musi być projektowana z myślą o przeciwniku zdolnym do długotrwałej, wieloetapowej i dobrze maskowanej operacji. W praktyce oznacza to potrzebę łączenia segmentacji, telemetryki, odporności operacyjnej oraz bieżącej analizy zagrożeń.

Źródła

SecurityWeek — https://www.securityweek.com/la-metro-cyberattack-linked-to-iranian-state-sponsored-hackers/
SecurityWeek — https://www.securityweek.com/la-metro-cyberattack-claimed-by-ababil-of-minab/
Los Angeles Times — https://www.latimes.com/california/story/2026-04-03/l-a-metro-says-it-is-recovering-from-a-cybersecurity-breach
Dataminr — https://www.dataminr.com/blog/ababil-of-minab-claims-la-metro-cyberattack
Gambit report — https://cdn.prod.website-files.com/65e06ebdad74eb8c8434c1d0/6834ce6b0f9dba6d9f2141b1_Ababil%20of%20Minab%20report.pdf

Grandoreiro i BTMOB RAT: nowe kampanie malware bankowego atakują Windows i Androida

Wprowadzenie do problemu / definicja

Nowe kampanie z użyciem Grandoreiro oraz BTMOB RAT potwierdzają, że cyberprzestępcy konsekwentnie rozwijają narzędzia do kradzieży danych finansowych, przejmowania kont i zdalnej kontroli nad urządzeniami ofiar. Obie rodziny złośliwego oprogramowania są ukierunkowane na sektor finansowy, ale działają w odmiennych środowiskach: Grandoreiro atakuje systemy Windows, natomiast BTMOB RAT koncentruje się na urządzeniach z Androidem.

W praktyce oznacza to rozszerzenie powierzchni ataku na dwa najważniejsze punkty styku użytkownika z usługami bankowymi. Przestępcy łączą phishing, techniki unikania detekcji, nadużycia legalnych usług oraz mechanizmy zdalnego sterowania, aby zwiększyć skuteczność kampanii i utrudnić ich wykrycie.

W skrócie

Grandoreiro pozostaje aktywnym trojanem bankowym dla Windows i rozwija zestaw technik utrudniających analizę, w tym DLL side-loading, wykorzystanie usług chmurowych oraz komunikację opartą na WebRTC i STUN. Celem malware jest pozyskanie danych uwierzytelniających, informacji bankowych i kontroli nad sesją użytkownika.

BTMOB RAT to z kolei mobilny trojan zdalnego dostępu dla Androida, dystrybuowany przez fałszywe strony i spreparowane pakiety APK. Istotnym elementem tego zagrożenia jest model MaaS, który obniża próg wejścia dla operatorów kampanii i pozwala szybko uruchamiać nowe warianty ataków.

Grandoreiro wykorzystuje phishing i DLL side-loading w środowisku Windows.
BTMOB RAT atakuje Androida przez fałszywe strony i instalację APK spoza oficjalnych źródeł.
Oba zagrożenia są nastawione na kradzież danych finansowych i przejęcie dostępu do usług bankowych.
Komodytyzacja narzędzi ataku zwiększa skalę ryzyka dla użytkowników i instytucji finansowych.

Kontekst / historia

Grandoreiro to dobrze znana rodzina malware bankowego, od lat obecna w kampaniach wymierzonych zwłaszcza w użytkowników i instytucje finansowe w Ameryce Łacińskiej oraz Europie. Mimo wcześniejszych analiz branżowych i działań organów ścigania, malware nadal ewoluuje i pojawia się w nowych wariantach dostosowanych do lokalnych realiów operacyjnych.

Charakterystyczną cechą Grandoreiro jest stałe udoskonalanie łańcucha infekcji oraz wykorzystywanie legalnie wyglądających komponentów i procesów. To sprawia, że zagrożenie pozostaje istotne zarówno dla zespołów SOC, jak i dla dostawców usług antyfraudowych.

BTMOB RAT reprezentuje nowszą falę mobilnych zagrożeń finansowych. W krótkim czasie zyskał funkcje typowe dla zaawansowanych trojanów bankowych, takie jak przechwytywanie ekranu, keylogging, zdalne sterowanie, nadużywanie usług dostępności oraz osadzanie fałszywych ekranów logowania. Dodatkowo jego rozwój w modelu abonamentowym pokazuje, że mobilny malware staje się pełnoprawnym elementem dojrzałego ekosystemu cyberprzestępczego.

Analiza techniczna

W przypadku Grandoreiro jedną z kluczowych technik jest DLL side-loading. Atakujący wykorzystują legalne aplikacje, do których podstawiają złośliwe biblioteki DLL ładowane następnie w zaufanym kontekście procesu. Taki mechanizm utrudnia wykrycie, szczególnie w środowiskach polegających głównie na reputacji plików lub prostych wskaźnikach zachowania.

Dodatkowym utrudnieniem dla obrońców jest warstwa komunikacyjna. Wybrane warianty Grandoreiro korzystają z bibliotek obsługujących WebSocket, P2P i WebRTC, a do zestawiania połączeń używają protokołów STUN oraz ICE. W rezultacie ruch sieciowy malware może przypominać legalną komunikację aplikacji czasu rzeczywistego, co zwiększa poziom szumu w telemetrii i utrudnia korelację incydentów.

Łańcuch infekcji Grandoreiro nadal opiera się także na phishingu. Ofiary otrzymują wiadomości z archiwami ZIP lub odsyłaczami do zasobów hostowanych w popularnych usługach. Po uruchomieniu skryptu inicjowane są kolejne komponenty, komunikaty socjotechniczne oraz testy środowiska pod kątem analizy i sandboxingu, a dopiero potem wdrażany jest właściwy ładunek odpowiedzialny za kradzież danych.

BTMOB RAT działa w innym modelu, ale jego skuteczność jest równie wysoka. Kampania zwykle rozpoczyna się od fałszywych witryn podszywających się pod usługi streamingowe, inwestycyjne lub kryptowalutowe. Następnie użytkownik trafia do spreparowanego widoku przypominającego sklep z aplikacjami i jest nakłaniany do instalacji APK spoza oficjalnego kanału dystrybucji.

Po instalacji malware żąda uprawnień do usług dostępności Androida. To newralgiczny moment, ponieważ takie zezwolenia umożliwiają automatyzację działań na ekranie, odczyt elementów interfejsu, przechwytywanie treści, nadawanie dalszych uprawnień oraz przejmowanie sesji użytkownika. Możliwość wyświetlania nakładek HTML i fałszywych ekranów logowania znacząco zwiększa skuteczność kradzieży poświadczeń do aplikacji bankowych.

Niepokojący jest również model biznesowy BTMOB RAT. Malware oferowane jest wraz z builderem APK, panelem operatorskim i możliwością dostosowania kampanii do konkretnego kraju lub scenariusza socjotechnicznego. To oznacza, że nawet mniej zaawansowani przestępcy mogą uruchamiać własne operacje z użyciem gotowej infrastruktury i rozwijanych centralnie komponentów.

Konsekwencje / ryzyko

Dla organizacji finansowych i ich klientów omawiane kampanie oznaczają wzrost ryzyka oszustw, przejęcia kont, wycieku danych oraz nadużyć autoryzacyjnych. Grandoreiro może prowadzić do kradzieży danych logowania, monitorowania aktywności użytkownika i wykonywania operacji na rachunkach z użyciem skradzionych sesji lub poświadczeń.

W przypadku BTMOB RAT zagrożenie obejmuje jeszcze szerszy zakres zasobów. Przejęty smartfon może dać atakującemu dostęp do bankowości mobilnej, kodów MFA, wiadomości SMS, komunikatorów, poczty, portfeli cyfrowych oraz danych firmowych synchronizowanych z urządzeniem. Jeśli malware uzyska wysokie uprawnienia dostępności, część działań może być realizowana automatycznie i pozostać niezauważona przez użytkownika.

Dodatkowym czynnikiem ryzyka jest komodytyzacja cyberprzestępczości. Gdy builder, panel zarządzania i gotowe szablony kampanii są oferowane jako usługa, rośnie liczba operatorów, a poziom techniczny kampanii pozostaje relatywnie wysoki. To zwiększa presję na zespoły bezpieczeństwa, fraud detection, mobile security i threat intelligence.

Rekomendacje

Organizacje powinny wzmocnić ochronę punktów końcowych Windows pod kątem nadużyć związanych z DLL side-loading. W praktyce oznacza to monitorowanie relacji proces–biblioteka, analizę ścieżek ładowania DLL, wykrywanie uruchamiania bibliotek z nietypowych lokalizacji oraz wdrożenie polityk allowlisting dla krytycznych aplikacji.

Warto rozszerzyć detekcję o korelację ruchu WebRTC, STUN i ICE z zachowaniem procesów, które nie powinny generować takiej komunikacji. Istotna pozostaje także silna ochrona antyphishingowa, sandboxowanie załączników oraz ograniczanie wykonywania skryptów i makr w środowiskach, gdzie nie są one niezbędne biznesowo.

Dla urządzeń z Androidem kluczowe jest egzekwowanie polityki instalacji aplikacji wyłącznie z zaufanych źródeł, blokowanie sideloadingu tam, gdzie to możliwe, oraz monitorowanie nadużyć usług dostępności. W środowiskach korporacyjnych ważną rolę odgrywają rozwiązania MDM lub EMM pozwalające ograniczać instalację nieautoryzowanych pakietów APK i wymuszać aktualizacje systemu oraz aplikacji.

Banki i dostawcy usług finansowych powinni rozwijać mechanizmy wykrywania oszustw oparte na analizie behawioralnej, ocenie ryzyka sesji, korelacji urządzeń i sygnałach mobilnych. Samo MFA może być niewystarczające, jeśli urządzenie użytkownika zostało przejęte i atakujący może symulować interakcje w aplikacji.

Aktualizować reguły detekcji dla Grandoreiro i mobilnych RAT.
Łączyć dane z EDR, MTD, bram pocztowych i systemów antyfraudowych.
Analizować kampanie phishingowe wykorzystujące legalne usługi hostingowe.
Monitorować wycieki builderów, paneli i artefaktów MaaS.
Prowadzić ćwiczenia reagowania obejmujące przejęcie urządzenia mobilnego i kradzież sesji bankowej.

Podsumowanie

Grandoreiro i BTMOB RAT pokazują dwa uzupełniające się kierunki rozwoju współczesnych kampanii finansowych: ukrywanie złośliwej aktywności w legalnie wyglądających procesach oraz upraszczanie cyberprzestępczości przez modele usługowe. W środowisku Windows rośnie znaczenie side-loadingu, komunikacji przypominającej legalny ruch oraz technik antyanalitycznych, a na Androidzie coraz większą rolę odgrywają trojany przejmujące kontrolę nad urządzeniem przez usługi dostępności.

Dla obrońców kluczowe pozostaje podejście wielowarstwowe, obejmujące ochronę poczty, punktów końcowych, urządzeń mobilnych i systemów antyfraudowych. Tego typu kampanie nie są już wyłącznie problemem użytkownika końcowego, lecz pełnoprawnym wyzwaniem dla organizacji i całego sektora finansowego.

Źródła

Grandoreiro Malware and BTMOB RAT Campaigns Target Windows and Android Users — https://thehackernews.com/2026/05/grandoreiro-malware-and-btmob-rat.html
WatchGuard: analysis of Grandoreiro campaigns — https://www.watchguard.com/
ESET WeLiveSecurity: research on BTMOB RAT — https://www.welivesecurity.com/
D3Lab: analysis of leaked BTMOB RAT toolkit — https://www.d3lab.net/
Kaspersky: Grandoreiro malware research — https://www.kaspersky.com/

Charter potwierdza naruszenie danych po groźbach ShinyHunters

Wprowadzenie do problemu / definicja

Charter Communications potwierdził incydent bezpieczeństwa po groźbach publikacji rzekomo wykradzionych danych przez grupę ShinyHunters. Sprawa wpisuje się w rosnący trend ataków opartych na socjotechnice, przejmowaniu tożsamości pracowników oraz wykorzystywaniu kont SSO jako punktu wejścia do wielu kluczowych systemów biznesowych.

Takie incydenty pokazują, że współczesne naruszenia coraz częściej nie wymagają klasycznego wykorzystania podatności technicznych. Wystarczy skuteczne przejęcie zaufanego konta użytkownika, aby uzyskać dostęp do środowisk SaaS zawierających duże wolumeny danych klientów i informacji operacyjnych.

W skrócie

Firma poinformowała o uruchomieniu procedur reagowania na incydent oraz o powiadomieniu odpowiednich organów. Jednocześnie podkreśliła, że według jej obecnych ustaleń nie doszło do ujawnienia wrażliwych danych osobowych klientów ani danych CPNI.

Z kolei grupa ShinyHunters twierdzi, że 1 kwietnia 2026 r. uzyskała dostęp do środowiska poprzez atak vishingowy wymierzony w konto Microsoft Entra pracownika. Następnie napastnicy mieli wyeksportować miliony rekordów z instancji Salesforce, obejmujących między innymi dane kontaktowe, informacje o planach usług oraz część danych związanych z obsługą klienta.

Charter potwierdził incydent bezpieczeństwa.
ShinyHunters przypisuje sobie przejęcie konta pracownika przez vishing.
Rzekomy cel ataku obejmował środowisko Microsoft Entra i Salesforce.
Firma kwestionuje, aby doszło do wycieku najbardziej wrażliwych danych klientów.

Kontekst / historia

ShinyHunters jest od dłuższego czasu kojarzony z operacjami wymuszeniowymi opartymi nie tylko na ransomware, lecz także na modelu kradzieży danych i groźbie ich ujawnienia. W takim scenariuszu kluczową wartością dla napastników nie jest szyfrowanie zasobów, ale możliwość wywarcia presji na ofierze poprzez eksfiltrację informacji.

W ostatnich miesiącach podobne kampanie były często łączone z atakami socjotechnicznymi na systemy tożsamościowe i konta pracowników, zwłaszcza w środowiskach Microsoft Entra, Okta oraz Google Workspace. Po przejęciu jednego konta federacyjnego lub konta z dostępem SSO napastnicy mogą relatywnie szybko poruszać się między zintegrowanymi usługami biznesowymi.

Szczególnie atrakcyjnym celem pozostaje Salesforce, ponieważ przechowuje dane klientów, historię kontaktów, zgłoszenia serwisowe i informacje operacyjne. W efekcie firmy telekomunikacyjne, finansowe oraz organizacje obsługujące duże bazy użytkowników są naturalnym celem dla grup specjalizujących się w wymuszeniach opartych na kradzieży danych.

Analiza techniczna

Najbardziej prawdopodobny scenariusz ataku rozpoczął się od vishingu, czyli telefonicznej manipulacji mającej skłonić pracownika do ujawnienia danych uwierzytelniających, zatwierdzenia żądania MFA albo wykonania działania umożliwiającego przejęcie konta. Jeżeli konto w Microsoft Entra zostało skompromitowane, napastnicy mogli uzyskać dostęp do powiązanych aplikacji SaaS bez konieczności dalszego włamywania się do infrastruktury.

Typowy łańcuch tego rodzaju operacji obejmuje rozpoznanie organizacji, identyfikację pracowników z dostępem do systemów CRM oraz podszywanie się pod dział IT, helpdesk lub dostawcę usług tożsamościowych. Po przejęciu konta napastnicy mogą zdobyć tokeny sesyjne lub autoryzację do aplikacji biznesowych, a następnie przejść do masowego eksportu danych.

W praktyce szczególne ryzyko pojawia się wtedy, gdy integracja między systemem IAM a Salesforce jest szeroka, a eksport dużych zbiorów rekordów nie wymaga dodatkowej autoryzacji kontekstowej. Niebezpieczne są również środowiska, w których tokeny pozostają ważne przez długi czas, role użytkowników są zbyt szerokie, a monitorowanie nietypowych operacji administracyjnych i eksportów danych jest niewystarczające.

Ważnym elementem incydentu pozostaje rozbieżność między komunikatem firmy a twierdzeniami napastników. Taka sytuacja jest częsta na wczesnym etapie analizy powłamaniowej, gdy organizacja nadal weryfikuje zakres naruszenia, kompletność logów oraz to, jakie dane zostały rzeczywiście pobrane, a jakie jedynie były dostępne dla atakujących.

prawdopodobny wektor wejścia: vishing,
punkt przełamania: konto pracownika w systemie tożsamości,
potencjalny efekt: dostęp do zintegrowanych aplikacji SaaS,
główne ryzyko operacyjne: masowy eksport danych z CRM.

Konsekwencje / ryzyko

Nawet jeśli nie potwierdzi się wyciek najbardziej wrażliwych kategorii danych, samo ujawnienie danych kontaktowych, adresów, numerów telefonów czy informacji o usługach może mieć dużą wartość dla kolejnych kampanii phishingowych i oszustw ukierunkowanych. Tego typu dane pozwalają budować bardziej wiarygodne scenariusze podszywania się pod operatora lub pracownika wsparcia.

W sektorze telekomunikacyjnym szczególnie istotne są dane CPNI, ponieważ opisują relację klienta z operatorem i sposób korzystania z usług. Nawet częściowy dostęp do takich informacji może zwiększyć skuteczność wtórnych ataków, w tym prób SIM swap, oszustw BEC czy zaawansowanej socjotechniki wymierzonej zarówno w klientów, jak i personel obsługi.

Dla organizacji skutki obejmują koszty dochodzenia, analizę logów, obowiązki regulacyjne, komunikację kryzysową oraz ryzyko sporów i roszczeń. Incydent tego typu dodatkowo zwiększa presję na przegląd modelu bezpieczeństwa dostępu do aplikacji SaaS oraz na traktowanie systemu tożsamości jako kluczowego elementu ochrony danych.

Rekomendacje

Organizacje korzystające z Microsoft Entra, Salesforce i podobnych usług powinny potraktować ten incydent jako sygnał do pilnego przeglądu kontroli tożsamościowych, monitorowania eksportów danych i konfiguracji integracji SSO.

wdrożyć phishing-resistant MFA, w szczególności klucze sprzętowe lub inne odporne metody uwierzytelniania,
ograniczyć liczbę kont z szerokim dostępem do danych klientów zgodnie z zasadą najmniejszych uprawnień,
wymusić dostęp warunkowy zależny od urządzenia, lokalizacji, ryzyka logowania i kontekstu sesji,
monitorować masowe eksporty danych, tworzenie raportów i nietypowe wywołania API w systemach SaaS,
skrócić czas życia tokenów oraz regularnie przeglądać aktywne sesje i połączenia OAuth,
objąć dodatkowymi zabezpieczeniami konta helpdesku, administratorów IAM i personelu BPO,
prowadzić szkolenia przeciwko vishingowi i wprowadzić ścisłe procedury weryfikacji rozmów telefonicznych,
korelować logi z systemu tożsamości z aktywnością w aplikacjach biznesowych.

W przypadku podejrzenia podobnego incydentu zespół bezpieczeństwa powinien niezwłocznie zablokować podejrzane konta, wymusić reset poświadczeń, unieważnić tokeny i sesje, przeanalizować logi dostępu do SaaS, ustalić zakres eksportu danych oraz zabezpieczyć materiał dowodowy do dalszej analizy.

Podsumowanie

Incydent dotyczący Charter pokazuje, że nowoczesne operacje wymuszeniowe coraz częściej opierają się na przejęciu tożsamości i dostępu do aplikacji chmurowych, a nie na klasycznym szyfrowaniu infrastruktury. Vishing, kompromitacja konta Microsoft Entra i potencjalny eksport danych z Salesforce tworzą scenariusz, który pozostaje realnym zagrożeniem dla dużych organizacji przetwarzających obszerne zbiory danych klientów.

Najważniejszy wniosek jest jednoznaczny: bezpieczeństwo danych zależy dziś nie tylko od ochrony sieci i stacji roboczych, ale przede wszystkim od odporności systemu tożsamości, jakości kontroli dostępu oraz zdolności do wykrywania anomalii w usługach SaaS. Dla zespołów SOC, IAM i administratorów chmury to wyraźny sygnał, że tożsamość stała się nowym perymetrem bezpieczeństwa.

Źródła

Charter confirms data breach after ShinyHunters extortion threat — https://www.bleepingcomputer.com/news/security/charter-confirms-data-breach-after-shinyhunters-extortion-threat/

Rzekoma baza 340 mln profili OnlyFans: rekonstrukcja tożsamości z wycieków zamiast bezpośredniego włamania

Wprowadzenie do problemu / definicja

Na cyberprzestępczych forach pojawiła się oferta sprzedaży zbioru danych rzekomo powiązanego z 340 milionami profili OnlyFans. Dostępne informacje wskazują jednak, że nie musi chodzić o klasyczny wyciek wynikający z kompromitacji infrastruktury platformy, lecz o agregację danych pochodzących z wcześniejszych naruszeń, publicznych profili oraz informacji skorelowanych między wieloma źródłami.

Taki model działania wpisuje się w rosnący trend rekonstrukcji tożsamości cyfrowej, w którym atakujący budują profile użytkowników nie przez jedno spektakularne włamanie, ale przez łączenie fragmentów danych z różnych miejsc. Z punktu widzenia prywatności skutki mogą być równie poważne jak w przypadku potwierdzonego wycieku z jednej platformy.

W skrócie

Sprzedający początkowo twierdził, że oferowany zbiór pochodzi z wewnętrznych systemów OnlyFans i zawiera dane osobowe, aktywność kont oraz wybrane pola związane z płatnościami. Później miał jednak przyznać, że baza nie została pozyskana w wyniku włamania, lecz została zbudowana przez łączenie starszych wycieków i danych publicznych.

mowa o zbiorze obejmującym nawet 340 milionów rekordów,
pochodzenie całej bazy pozostaje niezweryfikowane,
próbki sugerują, że część danych może odnosić się do realnych kont,
największe ryzyko dotyczy deanonimizacji, phishingu i szantażu.

Kontekst / historia

Podziemny rynek danych od lat zmienia swój charakter. Dawniej najwyższą wartość miały pełne zrzuty baz danych i listy loginów z hasłami. Dziś równie cenne są zbiory wzbogacone kontekstowo, które łączą adresy e-mail, numery telefonów, pseudonimy, profile społecznościowe oraz informacje o aktywności online.

W analizowanym przypadku kluczowe znaczenie ma rozbieżność między pierwotną narracją sprzedającego a późniejszym wyjaśnieniem źródła danych. Taka zmiana często sugeruje próbę zwiększenia atrakcyjności oferty przez przedstawienie agregatu danych jako rezultatu bezpośredniego włamania. Dla kupujących na forach przestępczych liczy się bowiem nie tylko objętość bazy, ale też wiarygodność jej pochodzenia i możliwość wykorzystania operacyjnego.

Analiza techniczna

Opublikowane próbki mają cechy płaskiego, tekstowego zbioru rekordów, a nie natywnego eksportu z nowoczesnej produkcyjnej bazy danych. Wśród pól miały znajdować się nazwy użytkowników, adresy e-mail, numery telefonów, daty dołączenia, liczby obserwujących, liczby polubień, metryki aktywności, powiązane profile społecznościowe oraz typ konta.

To istotny sygnał, ponieważ część takich informacji może być publicznie widoczna lub możliwa do ustalenia na podstawie otwartych źródeł. Po połączeniu ich z wcześniejszymi wyciekami możliwe staje się stworzenie spójnego profilu użytkownika. Tego typu korelacja zwykle opiera się na wspólnych identyfikatorach, takich jak adres e-mail, alias, numer telefonu, nazwa użytkownika albo odnośniki do kont w innych serwisach.

Dodatkowe wątpliwości budzi obecność pól o niejednoznacznym pochodzeniu, w tym wartości opisywanych jako odnoszące się do ostatnich czterech cyfr karty płatniczej. Bez niezależnej walidacji nie można potwierdzić, czy są to autentyczne elementy danych finansowych, artefakty z wcześniejszych wycieków, czy po prostu wartości dodane w celu podniesienia ceny zbioru. Obecność pól pustych lub zastępczych może również wskazywać na automatyczne scalanie rekordów z różnych źródeł bez pełnej normalizacji.

Technicznie taki zestaw mógł powstać w procesie przypominającym przestępcze ETL: ekstrakcję danych z archiwalnych wycieków, transformację, deduplikację i wzbogacanie rekordów informacjami z OSINT. W efekcie powstaje baza, która może nie zawierać pełnych danych rozliczeniowych ani haseł, ale nadal ma wysoką wartość dla atakujących.

Konsekwencje / ryzyko

Największym zagrożeniem nie jest sam rozmiar rzekomego zbioru, ale możliwość skutecznej deanonimizacji użytkowników. Połączenie pseudonimów z adresami e-mail, numerami telefonów i profilami społecznościowymi pozwala przygotowywać wiarygodne scenariusze ataków socjotechnicznych i kampanii ukierunkowanych.

precyzyjny spear phishing oparty na znajomości aktywności ofiary,
kampanie sextortion i szantaż reputacyjny,
nękanie, stalking oraz podszywanie się pod użytkowników,
próby przejęcia kont przez reset haseł lub ataki na numer telefonu,
dalsze wzbogacanie profili ofiar przez korelację z innymi wyciekami.

Nawet jeśli tylko część rekordów okaże się prawdziwa, taki zbiór może służyć jako baza referencyjna do wyboru celów o wysokiej wartości. W przypadku platform związanych z treściami wrażliwymi skutki prywatnościowe i reputacyjne mogą być nieproporcjonalnie duże względem stopnia kompletności samych danych.

Rekomendacje

Operatorzy platform internetowych powinni traktować podobne incydenty jako sygnał ostrzegawczy i wzmacniać monitoring wycieków wtórnych oraz prób korelacji danych użytkowników. Ochrona nie może ograniczać się wyłącznie do infrastruktury i kontroli dostępu.

monitorowanie forów cyberprzestępczych i kanałów obrotu danymi,
wykrywanie masowego scrapingu oraz nadużyć interfejsów API,
ograniczanie publicznej ekspozycji metadanych użytkowników,
wdrażanie mechanizmów utrudniających łączenie tożsamości między usługami,
szybką komunikację z użytkownikami w razie podejrzenia nadużyć.

Użytkownicy również powinni podjąć działania ograniczające ryzyko:

zmienić hasła, jeśli były używane ponownie w wielu serwisach,
włączyć uwierzytelnianie wieloskładnikowe,
zachować ostrożność wobec wiadomości nawiązujących do aktywności na platformie,
monitorować e-mail i numer telefonu pod kątem prób przejęcia kont,
ograniczyć możliwość łatwego powiązania profili między różnymi serwisami.

Z perspektywy zespołów bezpieczeństwa najważniejszy wniosek jest szerszy: przyszłe incydenty coraz częściej będą polegały nie na jednym wycieku z jednego systemu, lecz na inteligentnej rekonstrukcji tożsamości z wielu pozornie niegroźnych fragmentów danych.

Podsumowanie

Sprawa rzekomej sprzedaży bazy 340 milionów profili OnlyFans pokazuje zmianę w krajobrazie cyberzagrożeń. Coraz większą rolę odgrywa nie bezpośrednie włamanie do systemu, lecz korelacja danych z archiwalnych wycieków i źródeł publicznych. Takie zbiory mogą być mniej spektakularne niż klasyczne naruszenia, ale z perspektywy prywatności i ryzyka nadużyć pozostają równie niebezpieczne.

Dla obrońców oznacza to konieczność myślenia szerzej niż tylko o ochronie bazy danych czy panelu administracyjnego. Równie ważne staje się ograniczanie ekspozycji metadanych, utrudnianie korelacji informacji oraz szybkie reagowanie na wtórne wykorzystanie danych już krążących w cyberprzestępczym obiegu.

Źródła

Security Affairs — https://securityaffairs.com/192643/cyber-crime/340-million-onlyfans-profiles-allegedly-rebuilt-from-leaks.html
HackRead — https://hackread.com/

Chińscy operatorzy phishingowi stawiają na przechwytywanie poświadczeń w czasie rzeczywistym

Wprowadzenie do problemu / definicja

Nowa fala kampanii phishingowych przypisywanych chińskojęzycznym operatorom pokazuje wyraźne odejście od klasycznych, statycznych stron wyłudzających dane logowania. Coraz częściej stosowany jest model przechwytywania poświadczeń w czasie rzeczywistym, oparty na technice adversary-in-the-middle (AiTM), w którym atakujący pośredniczy w całym procesie uwierzytelniania.

W praktyce oznacza to, że ofiara może widzieć interfejs bardzo podobny do legalnej strony logowania, ale cała komunikacja przechodzi przez infrastrukturę kontrolowaną przez przestępców. Dzięki temu napastnicy są w stanie zebrać nie tylko login i hasło, lecz także kody MFA oraz tokeny sesyjne.

W skrócie

Operatorzy phishingowi odchodzą od prostych stron podszywających się pod portale logowania.
Coraz częściej wykorzystywany jest model AiTM umożliwiający przechwytywanie poświadczeń i sesji w czasie rzeczywistym.
Takie kampanie mogą skutecznie omijać tradycyjne mechanizmy MFA oparte na kodach SMS, OTP i powiadomieniach push.
Napastnicy stosują przekierowania, mechanizmy antybotowe i ukrywanie infrastruktury, aby utrudnić wykrycie operacji.

Kontekst / historia

Phishing AiTM nie jest zjawiskiem nowym, jednak w ostatnich latach wyraźnie przeszedł z kategorii bardziej zaawansowanych operacji do modelu szerzej dostępnego na rynku cyberprzestępczym. Rozwój phishing-as-a-service sprawił, że gotowe zestawy narzędzi do przechwytywania sesji i poświadczeń stały się łatwiejsze do wdrożenia także dla mniej wyspecjalizowanych grup.

Obecne kampanie przypisywane chińskojęzycznym operatorom wpisują się w ten trend, ale jednocześnie pokazują rosnącą dojrzałość operacyjną. Zmianie ulega nie tylko sama technika wyłudzania danych, ale również sposób dostarczania przynęt, maskowania zaplecza i utrudniania analizy prowadzonej przez zespoły bezpieczeństwa.

Analiza techniczna

W schemacie adversary-in-the-middle serwer atakującego działa jak reverse proxy pomiędzy użytkownikiem a prawdziwą usługą logowania. Ofiara wpisuje dane na stronie przynęty, które są natychmiast przekazywane do legalnego dostawcy tożsamości. Odpowiedzi serwera wracają tą samą drogą, dzięki czemu cały proces wygląda wiarygodnie.

Typowy łańcuch ataku rozpoczyna się od wiadomości zawierającej link do przynęty. Użytkownik może zostać przeprowadzony przez kilka etapów przekierowań, które mają utrudnić analizę automatyczną i obejść zabezpieczenia filtrujące. Następnie trafia na stronę pośredniczącą, która wizualnie odtwarza legalny portal logowania.

Po wpisaniu loginu i hasła dane są przekazywane dalej do rzeczywistej usługi uwierzytelniania. Jeżeli konto jest chronione MFA, ofiara wykonuje standardowy krok weryfikacyjny, nie mając świadomości, że kod lub potwierdzenie również przechodzi przez infrastrukturę atakującego. Najbardziej krytyczny moment następuje po poprawnym zalogowaniu, gdy legalna usługa wystawia token lub cookie sesyjne, które może zostać przechwycone i wykorzystane do przejęcia aktywnej sesji.

Nowoczesne platformy phishingowe wykorzystują ponadto dodatkowe warstwy utrudniające wykrycie. Wśród nich znajdują się:

mechanizmy CAPTCHA i filtry antybotowe,
selekcja ruchu na podstawie adresu IP, geolokalizacji i cech przeglądarki,
wieloetapowe przekierowania i usługi pośredniczące,
krótkotrwałe domeny oraz infrastruktura efemeryczna,
dynamiczne ładowanie paneli phishingowych dopiero po przejściu kontroli.

Konsekwencje / ryzyko

Najpoważniejszym skutkiem takich kampanii jest możliwość obejścia powszechnie stosowanych metod MFA, szczególnie tych, które można zrelayować w czasie rzeczywistym. Oznacza to, że nawet organizacje korzystające z dodatkowego składnika uwierzytelniania mogą pozostać podatne na przejęcie konta.

Ryzyko nie kończy się na samym logowaniu. Po uzyskaniu dostępu do aktywnej sesji napastnik może przejąć skrzynkę pocztową, konto w usłudze chmurowej, system SSO lub panel administracyjny. W dalszej kolejności możliwe są ataki typu business email compromise, kradzież danych, resetowanie haseł w innych systemach, eskalacja uprawnień i ruch boczny w organizacji.

Dodatkowym problemem jest trudniejsza detekcja incydentu. Ponieważ logowanie odbywa się wobec prawdziwej usługi, część sygnałów może wyglądać jak legalna aktywność użytkownika. Bez korelacji telemetrycznej z warstwy tożsamości, urządzenia, lokalizacji i zachowania sesji przejęcie tokenu może przez pewien czas pozostać niezauważone.

Rekomendacje

Organizacje powinny traktować phishing AiTM jako zagrożenie wymierzone przede wszystkim w warstwę tożsamości i sesji, a nie wyłącznie w pocztę elektroniczną. Obrona musi obejmować zarówno etap dostarczenia przynęty, jak i kontrolę procesu logowania oraz aktywności po uwierzytelnieniu.

Kluczowe znaczenie ma wdrażanie metod uwierzytelniania odpornych na phishing, takich jak FIDO2, WebAuthn, passkeys czy klucze sprzętowe. Rozwiązania bazujące wyłącznie na SMS lub kodach OTP nie powinny być uznawane za wystarczające zabezpieczenie dla kont uprzywilejowanych i krytycznych zasobów.

Warto również rozwijać polityki dostępu warunkowego oraz monitoring sesji. Dobre praktyki obejmują:

ograniczanie dostępu do wrażliwych aplikacji wyłącznie z urządzeń zarządzanych,
wymuszanie dodatkowej weryfikacji przy nowych lokalizacjach, sieciach i urządzeniach,
monitorowanie nietypowych adresów IP, ASN, User-Agentów i anomalii geograficznych,
unieważnianie tokenów sesyjnych po podejrzanych zdarzeniach,
wymuszanie ponownego uwierzytelnienia dla operacji uprzywilejowanych.

Istotna pozostaje także edukacja użytkowników. Szkolenia powinny obejmować scenariusze z wykorzystaniem komunikatorów, kodów QR, stron pośredniczących i przekierowań, a nie tylko klasyczne wiadomości e-mail. Organizacja powinna mieć też jasne procedury zgłaszania incydentów oraz szybkiej reakcji po wykryciu potencjalnego przejęcia sesji.

Podsumowanie

Obserwowane kampanie pokazują istotną zmianę jakościową w działaniach phishingowych. Zamiast prostego wyłudzania haseł operatorzy coraz częściej przechwytują cały proces logowania w czasie rzeczywistym, co znacząco zwiększa skuteczność ataków i osłabia ochronę opartą na tradycyjnym MFA.

Dla zespołów bezpieczeństwa oznacza to konieczność przesunięcia nacisku z ochrony wyłącznie poczty na kompleksowe zabezpieczenie tożsamości, urządzeń i sesji. W praktyce to dojrzałość procesów IAM, wdrożenie phishing-resistant MFA oraz szybka analiza anomalii po zalogowaniu będą decydować o odporności organizacji na nowoczesne kampanie AiTM.

Źródła

https://www.infosecurity-magazine.com/news/chinese-phishing-live-credential/
https://www.cyber.gc.ca/sites/default/files/itsm.30.031-e.pdf
https://blog.sekoia.io/wp-content/uploads/2025/06/Sekoia_io___Global_analysis_of_Adversary_in_the_Middle_phishing_threats.pdf
https://sec.okta.com/articles/uncloakingvoidproxy/
https://www.csoonline.com/article/4056512/voidproxy-phishing-as-a-service-operation-steals-microsoft-google-login-credentials.html

FBI ostrzega przed Kali365: nowa platforma PhaaS przejmuje sesje Microsoft 365 i omija MFA

Wprowadzenie do problemu / definicja

FBI ostrzegło przed Kali365, nową platformą typu Phishing-as-a-Service, która została zaprojektowana do przejmowania dostępu do kont Microsoft 365. Zagrożenie wyróżnia się tym, że nie koncentruje się na klasycznej kradzieży loginu i hasła, lecz na nadużyciu legalnego mechanizmu uwierzytelniania oraz przechwytywaniu tokenów OAuth.

W praktyce oznacza to, że atakujący może uzyskać dostęp do usług takich jak Outlook, Teams czy OneDrive nawet wtedy, gdy organizacja stosuje wieloskładnikowe uwierzytelnianie. To istotna zmiana w krajobrazie zagrożeń, ponieważ atak wykorzystuje prawidłowy proces logowania i przez to może być trudniejszy do wykrycia.

W skrócie

Kali365 to komercyjna usługa udostępniana cyberprzestępcom w modelu abonamentowym. Platforma upraszcza przygotowanie i prowadzenie kampanii phishingowych wymierzonych w użytkowników Microsoft 365, oferując gotowe szablony, funkcje automatyzacji oraz mechanizmy przechwytywania tokenów sesyjnych.

Atak bazuje na mechanizmie OAuth 2.0 Device Authorization Grant.
Ofiara jest nakłaniana do wpisania kodu urządzenia na legalnej stronie Microsoft.
Po zatwierdzeniu napastnik uzyskuje tokeny dostępu i odświeżania.
Technika pozwala obejść MFA bez znajomości hasła użytkownika.
Model PhaaS obniża próg wejścia dla mniej zaawansowanych operatorów.

Kontekst / historia

Device code phishing nie jest całkowicie nową techniką, jednak w ostatnim czasie zyskał na znaczeniu ze względu na rosnącą skalę komercjalizacji. Ostrzeżenie FBI wskazuje, że Kali365 zaczęto obserwować w kwietniu 2026 roku, a sama platforma była promowana głównie za pośrednictwem komunikatorów.

Z opisu wynika, że kampanie były wymierzone w wiele sektorów, w tym produkcję, edukację, finanse, ochronę zdrowia oraz administrację. Równolegle pojawiały się także inne raporty branżowe opisujące szerzej zakrojone kampanie wykorzystujące ten sam mechanizm nadużycia przepływu device code w środowiskach Microsoft 365.

Rosnąca popularność takich operacji pokazuje, że phishing coraz częściej przesuwa się z prostego wyłudzania haseł w stronę przejmowania legalnych sesji i zgód autoryzacyjnych. Dla organizacji oznacza to konieczność rozszerzenia modelu obrony o ochronę tokenów, sesji i procesów tożsamościowych.

Analiza techniczna

Podstawą ataku jest legalny przepływ OAuth 2.0 Device Authorization Grant, zaprojektowany z myślą o urządzeniach, które nie oferują wygodnego interfejsu logowania. W prawidłowym scenariuszu użytkownik otrzymuje kod i wpisuje go na zaufanej stronie, aby autoryzować dostęp konkretnego urządzenia lub aplikacji do swojego konta.

W kampaniach związanych z Kali365 mechanizm ten zostaje odwrócony na korzyść napastnika. To atakujący inicjuje proces i generuje kod urządzenia powiązany z własną sesją, a następnie przekonuje ofiarę, by wpisała ten kod na prawdziwej stronie Microsoft. Z punktu widzenia użytkownika wszystko może wyglądać wiarygodnie, ponieważ logowanie nie odbywa się na fałszywej domenie.

Napastnik generuje kod urządzenia dla kontrolowanej przez siebie sesji.
Ofiara otrzymuje wiadomość phishingową podszywającą się pod zaufaną usługę.
W wiadomości znajduje się prośba o wejście na legalną stronę weryfikacyjną Microsoft i wpisanie kodu.
Użytkownik zatwierdza proces, często sądząc, że uzyskuje dostęp do dokumentu lub usługi.
Napastnik przejmuje token dostępu i token odświeżania, uzyskując dostęp do zasobów Microsoft 365.

To podejście jest szczególnie groźne, ponieważ omija część klasycznych wskaźników phishingu. Nie ma tu konieczności tworzenia klonu strony logowania ani przechwytywania hasła. W efekcie zarówno użytkownik, jak i niektóre mechanizmy ochronne mogą nie rozpoznać incydentu na wczesnym etapie.

Dodatkowo Kali365 upraszcza całą operację od strony przestępczej. Według opisu platforma zapewnia generowane przez AI przynęty, gotowe szablony kampanii oraz panele monitorujące skuteczność działań. To sprawia, że przeprowadzenie ataku staje się dostępne także dla podmiotów o mniejszym zapleczu technicznym.

Konsekwencje / ryzyko

Najpoważniejszym skutkiem jest możliwość obejścia MFA bez kradzieży hasła. W wielu organizacjach wieloskładnikowe uwierzytelnianie jest traktowane jako podstawowa bariera przeciw przejęciu konta. W tym przypadku użytkownik sam autoryzuje sesję napastnika, co osłabia skuteczność tradycyjnych założeń bezpieczeństwa.

Przejęte tokeny OAuth mogą umożliwić długotrwały dostęp do środowiska chmurowego i prowadzić do dalszych etapów ataku. Ryzyko nie ogranicza się wyłącznie do pojedynczej skrzynki pocztowej, lecz obejmuje także dane, komunikację i potencjalny ruch boczny w organizacji.

Dostęp do poczty, kalendarzy i korespondencji służbowej.
Dostęp do plików i komunikacji w Teams oraz OneDrive.
Możliwość utrzymania sesji dzięki tokenom odświeżania.
Wykorzystanie przejętego konta do dalszego phishingu wewnątrz organizacji.
Zwiększone ryzyko wycieku danych i nadużyć biznesowych.

Szczególnie narażone są środowiska, które dopuszczają przepływ device code bez dodatkowych ograniczeń, nie monitorują zgód OAuth i nie analizują anomalii związanych z nowymi sesjami, lokalizacjami czy klientami dostępowymi.

Rekomendacje

Organizacje korzystające z Microsoft 365 powinny traktować ten typ kampanii jako odrębną klasę zagrożeń tożsamościowych. Obrona nie może ograniczać się wyłącznie do filtrowania wiadomości phishingowych i ochrony haseł.

Ograniczyć lub wyłączyć device code flow tam, gdzie nie jest niezbędny biznesowo.
Przeprowadzić przegląd aplikacji i procesów korzystających z tego mechanizmu.
Wdrożyć polityki Conditional Access dla autoryzacji urządzeń i aplikacji.
Monitorować tworzenie, użycie i odświeżanie tokenów OAuth.
Analizować nietypowe nowe sesje, urządzenia, lokalizacje i klientów logowania.
Uczyć użytkowników, że niezamówiona prośba o wpisanie kodu urządzenia powinna być traktowana jako sygnał ostrzegawczy.
Przygotować procedury szybkiego unieważniania tokenów, resetu sesji i przeglądu zgód aplikacyjnych.

Z perspektywy zespołów SOC i IAM istotne jest rozwijanie detekcji opartych nie tylko na nieudanych logowaniach, ale także na nietypowych autoryzacjach zakończonych powodzeniem. Skuteczna identyfikacja takich incydentów wymaga korelacji danych z poczty, systemów tożsamości, logów aplikacyjnych i telemetryki dostępowej.

Podsumowanie

Kali365 pokazuje, że współczesny phishing coraz częściej nie polega na wyłudzaniu hasła, lecz na przejmowaniu legalnych sesji i tokenów dostępu. Nadużycie mechanizmu device code w Microsoft 365 pozwala atakującym ukryć się za prawidłowym procesem autoryzacji i utrzymać dostęp do zasobów bez klasycznych oznak kompromitacji poświadczeń.

Dla organizacji to wyraźny sygnał, że ochrona tożsamości musi objąć nie tylko MFA, ale również kontrolę przepływów OAuth, monitorowanie zgód aplikacyjnych oraz ścisłe ograniczanie scenariuszy, w których device code flow pozostaje aktywny.

Źródła

Cybersecurity Dive, https://www.cybersecuritydive.com/news/fbi-warns-phishing-platform-microsoft-365/821105/
FBI IC3 — Kali365 Phishing-as-a-Service Kit Hijacks Microsoft 365 Access Tokens, https://www.ic3.gov/PSA/2026/PSA260521
Microsoft Support — Protect yourself from phishing, https://support.microsoft.com/en-us/security/protect-yourself-from-phishing
Microsoft Security Blog — Storm-2372 conducts device code phishing campaign, https://www.microsoft.com/en-us/security/blog/2025/02/13/storm-2372-conducts-device-code-phishing-campaign/
Cloud Security Alliance — OAuth Device Code Phishing Hits 340+ Microsoft 365 Organizations, https://labs.cloudsecurityalliance.org/research/csa-research-note-oauth-device-code-phishing-m365-20260325-c/