spoofing domeny bankowej

Spoofing domeny bankowej to podszycie się pod instytucję finansową w celu wyłudzenia danych logowania.

Na czym polega spoofing domeny bankowej

Spoofing domeny bankowej polega na przygotowaniu strony, wiadomości lub przekierowania, które mają wyglądać tak, jakby pochodziły od prawdziwego banku. Oszust może skopiować układ witryny, logo, kolory, formularz logowania oraz komunikaty używane przez bank. Celem jest nakłonienie użytkownika do wpisania identyfikatora, hasła, kodu jednorazowego, danych karty albo zatwierdzenia operacji w aplikacji mobilnej. W praktyce takie działanie często łączy się z phishingiem, czyli socjotechnicznym wyłudzaniem informacji za pomocą fałszywej komunikacji.

Fałszywa domena nie musi być identyczna z adresem banku. Może zawierać literówkę, dodatkowy znak, inny człon nazwy albo końcówkę przypominającą właściwą domenę. Przykładowo adres z nazwą banku umieszczoną w subdomenie obcej domeny nie jest adresem banku: w adresie bank.example.com domeną nadrzędną jest example.com. Oszust może również użyć domeny zarejestrowanej specjalnie do kampanii phishingowej i szybko zmienić jej zawartość po wykryciu.

Techniki stosowane przy podszywaniu się pod bank

Jedną z technik jest wykorzystanie podobnie wyglądających znaków Unicode, na przykład litery z alfabetu cyrylickiego zamiast łacińskiej. Taki adres może wizualnie przypominać prawidłową domenę, chociaż wskazuje na inną nazwę. Mechanizm domen IDN może przedstawiać część takich nazw w postaci ASCII zaczynającej się od xn--. Dlatego podczas logowania warto sprawdzić pełny adres w pasku przeglądarki, a nie tylko fragment widoczny w skróconym podglądzie wiadomości lub komunikatora.

Inny wariant polega na wykorzystaniu podobnej domeny najwyższego poziomu, literówki albo dodatkowego łącznika. Atakujący może także umieścić fałszywy formularz na przejętej stronie internetowej lub zastosować przekierowanie z reklamy, wiadomości SMS czy kodu QR. Sam fakt użycia protokołu HTTPS nie potwierdza, że strona należy do banku. Certyfikat TLS szyfruje połączenie z określoną domeną i potwierdza jej kontrolę w zakresie przewidzianym przez certyfikat, ale nie gwarantuje uczciwości właściciela domeny. Fałszywa strona również może mieć poprawny certyfikat HTTPS.

W kampaniach e-mailowych spotyka się również podszywanie pod adres nadawcy. Nagłówek widoczny dla odbiorcy może różnić się od technicznych pól wiadomości, takich jak Return-Path czy domeny użyte w mechanizmach uwierzytelniania. SPF sprawdza, czy serwer może wysyłać pocztę dla danej domeny, DKIM dodaje podpis kryptograficzny do wiadomości, a DMARC określa zasady kontroli oraz raportowania. Mechanizmy te ograniczają część fałszerstw pocztowych, lecz nie zastępują sprawdzenia adresu strony, ponieważ atak może używać prawdziwej, lecz złośliwej domeny.

Jak rozpoznać fałszywy adres i bezpiecznie reagować

Przed wpisaniem danych należy odczytać cały adres domeny od prawej strony, pomijając ścieżkę po pierwszym znaku ukośnika. Trzeba zwrócić uwagę na literówki, dodatkowe słowa, nietypową końcówkę, znaki Unicode oraz ostrzeżenia przeglądarki. Kłódka przy adresie oznacza zestawione szyfrowane połączenie, lecz nie jest dowodem, że witryna jest oficjalnym serwisem banku. Bezpieczniejszym sposobem jest ręczne wpisanie znanego adresu lub użycie zakładki zapisanej wcześniej, a następnie sprawdzenie domeny przed logowaniem.

Nie należy otwierać bankowości elektronicznej przez link otrzymany w wiadomości informującej o blokadzie rachunku, dopłacie, zwrocie pieniędzy albo konieczności potwierdzenia przelewu. Bank nie powinien wymagać podania pełnego hasła, kodu PIN do karty ani kodu autoryzacyjnego w formularzu uruchomionym z przypadkowego odnośnika. Szczególnie podejrzane są komunikaty wywołujące presję czasu, grożące natychmiastową blokadą oraz zawierające skrócone linki.

Jeśli dane zostały wpisane na podejrzanej stronie, należy niezwłocznie skontaktować się z bankiem przez oficjalny numer, zablokować dostęp zgodnie z jego procedurą i zmienić hasło z użyciem zaufanego urządzenia. Trzeba również sprawdzić historię operacji oraz zgłosić bankowi podejrzaną wiadomość i adres witryny. Jeżeli użytkownik zatwierdził operację w aplikacji, powinien dokładnie przekazać bankowi, co zostało wyświetlone i zaakceptowane, ponieważ samo odwołanie przelewu może nie wystarczyć.

Znaczenie diagnostyki urządzenia po ataku

Spoofing domeny bankowej zwykle wykorzystuje błąd użytkownika, ale komputer lub telefon może dodatkowo zostać zainfekowany złośliwym oprogramowaniem. Objawami wymagającymi sprawdzenia są samoczynne zmiany strony startowej, nieznane rozszerzenia przeglądarki, przekierowania wyszukiwania, nowe certyfikaty zainstalowane bez wiedzy użytkownika oraz komunikaty o logowaniu z nietypowych lokalizacji. Sama obecność reklamy lub przekierowania nie przesądza jeszcze o infekcji, dlatego diagnoza powinna obejmować rozszerzenia, ustawienia DNS, procesy uruchamiane wraz z systemem i aktualność zabezpieczeń.

Warszawskie Pogotowie Komputerowe zajmuje się profesjonalną naprawą laptopów, komputerów PC i podzespołów, w tym diagnostyką objawów mogących towarzyszyć przejęciu przeglądarki lub instalacji niepożądanego oprogramowania. Weryfikacja urządzenia nie zastępuje kontaktu z bankiem: reset haseł, blokada instrumentów płatniczych i analiza nieautoryzowanych transakcji muszą zostać przeprowadzone zgodnie z procedurami banku.