Cyberprzestępcy podszywają się pod instytucje

Sfałszowana korespondencja, której nadawcą rzekomo miało być Ministerstwo Cyfryzacji, była dwukrotnie wysyłana do jednostek samorządu terytorialnego. Celem działań przestępców było zainfekowanie komputerów i systemów informatycznych oraz wyłudzenie danych osób odpowiedzialnych za bezpieczeństwo.

Administracja, ale nie tylko

Atakujący kierowali do samorządów spreparowane wiadomości imitujące oficjalną komunikację ministerstwa. Pierwsza z nich, rozesłana 28 października br., zawierała szkodliwy plik arkusza kalkulacyjnego XLSX. Umieszczono w niej link do pliku rzekomo zawierającego dodatkowe informacje – w rzeczywistości był to złośliwy plik wykonywalny, który po uruchomieniu infekował hosta. Dwa dni później doszło do kolejnej kampanii. Tym razem fałszywa wiadomość nie zawierała szkodliwego załącznika, lecz bazowała na socjotechnice – jej celem było wyłudzenie danych osób odpowiedzialnych za bezpieczeństwo teleinformatyczne w danej organizacji.

Komunikaty dystrybuowano z następujących domen: govministry.pl oraz security@govministry.pl (adres nadawcy wiadomości). Tytuły wiadomości brzmiały: gov.pl (wiadomość ze szkodliwym załącznikiem) oraz „Pilna weryfikacja kontaktów w ramach Krajowego Programu Cyberbezpieczeństwa 2024-2028” (tytuł szkodliwej wiadomości). Adres serwera C2 szkodliwego oprogramowania to 45.61.149.41:443.

– W cyberprzestrzeni mają miejsce intensywne działania wymierzone w różne podmioty administracji publicznej i będące elementem infrastruktury krytycznej, o czym wielokrotnie informowało Ministerstwo Cyfryzacji. Jak pokazuje najnowsza sytuacja, przestępcy postanowili wykorzystać aktywność resortu w obszarze dbałości o bezpieczeństwo samorządów i państwa, przygotowując wektor ataku bazujący na rzekomych ostrzeżeniach – podkreśla Aleksander Kostuch ze Stormshield, europejskiego producenta technologii bezpieczeństwa IT.

Pierwszego listopada doszło do awarii systemu płatności BLIK. Jak wiadomo, to powszechnie wykorzystywany standard płatności mobilnych – w ub.r. za jego pomocą wykonano 2,4 mld transakcji na ponad 347,3 mld zł. Użytkownicy w całej Polsce zgłaszali problemy: niemożliwe było wygenerowanie kodów ani wysłanie przelewów na telefon. Szef resortu cyfryzacji Krzysztof Gawkowski w serwisie X zaznaczył, że jest to atak hakerski. „Od wczesnych godzin porannych obserwujemy zewnętrzny atak typu DDoS na polską infrastrukturę rozliczeniową, co wpływa na płynne działanie płatności – na przykład BLIKIEM. Trwają intensywne działania służb, aby wyeliminować skutki tego ataku” – poinformował.

Część klientów biura podróży Itaka padła ofiarą wycieku danych logowania po ataku hakerskim na spółkę Nowa Itaka. „Nieuprawniona osoba/grupa osób uzyskała dostęp do części danych osobowych użytkowników posiadających konta w Strefie Klienta (takich jak imię i nazwisko, adres e-mail, numer telefonu)” – przekazało biuro podróży ...