Phishing na 189 banków z USA ukrywa się za fałszywym komunikatem o zawieszeniu konta

Firma Kela opisała kampanię phishingową, która od maja podszywa się pod 189 instytucji finansowych z USA. Używa ponad 300 fałszywych domen, z czego 248 udaje banki. Zestaw zapamiętuje adres IP każdego odwiedzającego. Przy pierwszej wizycie pokazuje stronę logowania banku, a przy kolejnej komunikat o zawieszonym koncie hostingowym. Kela nazywa tę infrastrukturę „Suspended”.

Strona logowania ma oznaczenia atakowanego banku i prosi o identyfikator oraz hasło, czasem z reCAPTCHA. Tytuł karty „Attention required” kopiuje nazwę strony weryfikacji Cloudflare, a skrypt na stronie blokuje narzędzia deweloperskie przeglądarki. Nazwy domen zwykle łączą słowa takie jak secure, protect czy authorize z nazwą banku. W tygodniu do 25 października pojawiło się 49 nowych domen.

Kogo dotyczy

Kampania celuje w logowania do bankowości firmowej i usług skarbowych, a nie w konta prywatne. Atakuje głównie średnie banki regionalne z USA, a wśród podrabianych marek są JPMorgan, Citi, BMO i Santander. Według stanu na 25 października 183 atakowane instytucje wciąż miały działające podróbki. Kela nie ustaliła, jak ofiary trafiają na te strony.