Pomarańczowy operator już tydzień temu zaobserwował zjawisko, które można nazwać phisingiem „na Flexa”. Wtedy jednak był to „próbny balon”.

SMS-ów nie było wiele, a gdy podczas analizy doszedłem do momentu, gdy miałem wpisać kod potwierdzający logowanie, nie doczekałem się go. Niemniej jednak strony docelowe z tego phishingu oczywiście zablokowaliśmy, dzięki czemu bardzo wiele osób uniknęło mimowolnego współudziału w rozsyłaniu phishingu (i związanych z tym kosztów).

– napisał Michał Rosiak na blogu Orange

Zobacz: PEM szkodzi zdrowiu? Lokatorzy stacji bazowej Orange uważają inaczej

Jak działa phishing na Flexa?

Najpierw na telefon ofiary przychodził SMS. W pierwszej fali zaobserwowano kilka wariantów:

Orange Flex : Twój numer „Orange Flex” jest zablokowany, aby go ponownie aktywować, kliknij link:

Drogi kliencie wygrywasz iphone 14 pro max od Orange, sprawdź szczegóły tutaj:

Gratulacje wygrałeś 2000 zł od orange

Wszystkie przypadki łączył tak samo wyglądający link. Później przestępcy skupili się na pierwszej wersji. Ma to oczywiście sens, biorąc pod uwagę to, co było ich celem. Konieczność zalogowania się na swoje konto Flex po to, by odebrać „wygraną”, mogłaby spowodować u większej niż zwykle części internautów wahanie.

Po wpisaniu loginu i hasła bądź numeru telefonu na stronie, do której prowadził link w wiadomości, pojawiał się jeszcze monit o wpisanie kodu z SMS-a. I koniec. To znaczy tak to wyglądało tydzień temu.

SMS-a można wysłać „kimś”?

Niebawem SMS-y autoryzacyjne zaczęły przychodzić. W jednym z dwóch scenariuszy, czyli wtedy, gdy ofiara wybrała opcję z numerem telefonu. Przestępcy podesłali phishing „na Flexa”, ale zalogować próbowali się do serwisu Mój Orange. Gdy im się to udało, zmieniali adres e-mail na swój (lub wpisywali swój, przy logowaniu numerem telefonu).

Gdy już mieli pełną kontrolę nad czyimś kontem, zamawiali do niego usługę eSIM. A potem rozpoczynali z przejętego w ten sposób numeru wysyłkę dużej liczby wiadomości, które miały im już przynieść faktyczny zarobek.

Przestępcy, o których mowa powyżej, działają spoza Polski. Jak informuje Orange, z jednego z krajów Unii Europejskiej.

A jak to się stało, że w ogóle udało im się przejąć jakieś konta? Stawiam na korzystanie przez ofiary z WiFi „nie-Orange’owego”. CyberTarcza ochroni Wasz telefon w sieci Orange, ale jeśli podepniecie go do nie-naszej sieci bezprzewodowej, tam niestety nie pomożemy.

– napisał Michał Rosiak

Nie daj się oszukać!

Zwiększ czujność i przede wszystkim włącz myślenie za każdym razem, gdy gdzieś musisz wpisać login i hasło. Sprawdzaj także dokładnie adres strony, na której chcesz podać te dane. Przeczytaj też szczegółowo treść strony i jeśli będzie tam cokolwiek podejrzanego lub nielogicznego, niczego tam nie wpisuj. Orazge zachęca swoich klientów, by wszelkie tego typu wątpliwości zgłaszać operatorowi. Można to zrobić poprzez wysłanie e-maila na adres cert.opl@orange.com lub przesyłając dalej podejrzanego SMS-a na numer 508700900.

Zobacz: Tajemniczy podatek. Mieszkaniec Nowego Sącza stracił 100 tys. zł

Zobacz: Kontakt od policji? Nawet nie próbuj tego klikać

Źródło zdjęć: Anna Rymsza / Telepolis.pl

Źródło tekstu: Orange, oprac. własne