Fałszywe faktury Orange. CERT radzi, co sprawdzić

Wiadomości informujące o wystawieniu nowej faktury Orange mają charakterystyczne cechy. Jako nadawca powinien widnieć adres e-faktura@pl.orange.com, a sama domena pl.orange.com jest zabezpieczona mechanizmami SPF, DKIM i DMARC. CERT Orange Polska zwraca jednak uwagę, że choć takie rozwiązania ograniczają ryzyko podszywania się, nie gwarantują wyłapania każdego przypadku fałszerstwa.

W opisywanej kampanii przestępcy ustawiali nazwę nadawcy tak, by wyglądała identycznie jak w legalnej korespondencji, ale właściwy adres e-mail nie był powiązany z Orange. CERT przypomina, że pole z nazwą nadawcy można wypełnić dowolnym tekstem. W jednej z wcześniejszych odmian ataku oszuści wpisali tam nawet "e-faktura@pl.orange.com", co mogło uśpić czujność odbiorców.

W prawidłowej wiadomości w polu "Odbiorca" znajduje się adres klienta (część programów pocztowych może prezentować to jako "do mnie"). W fałszywych e-mailach pole "Do" bywa nietypowe: może zawierać błędne nagłówki, pozostać puste albo sugerować, że identyczna wiadomość trafiła równocześnie do wielu osób.

Istotnym sygnałem kontrolnym są także "Zasady bezpieczeństwa". W autentycznym mailu powinny pojawić się dane odbiorcy lub nazwa firmy oraz numer klienta. CERT Orange opisuje sytuację, w której w wiadomości widniały informacje realnie istniejącej firmy korzystającej z usług Orange, jednak e-mail dotarł do kogoś zupełnie innego.

Zarówno prawdziwa korespondencja, jak i spreparowane wiadomości mogą zawierać załącznik, ale jego rola jest zupełnie inna. W legalnym e-mailu znajduje się faktura, natomiast w fałszywym – plik mający zainstalować trojana Remcos RAT. CERT wskazuje, że przestępcy mogli skopiować szablon takiej wiadomości z internetu albo zdobyć go po przejęciu firmowej skrzynki i dostępu do korespondencji.

Specjaliści zalecają szczególną ostrożność przy wszystkich wiadomościach dotyczących płatności: warto czytać je uważnie i wypatrywać niestandardowych szczegółów. Fakturę Orange najbezpieczniej opłacać w aplikacji Mój Orange lub bezpośrednio w aplikacji bankowej, wykonując ponownie wcześniejszą płatność. Podejrzany e-mail można przekazać do weryfikacji na adres cert.opl@orange.com.