e-TOLL na celowniku cyberprzestępców. Fałszywe strony, fikcyjna opłata i wyłudzenie danych płatniczych

Infrastruktura państwowych e-usług opiera się na fundamencie powszechnego zaufania. Obywatele są przyzwyczajeni do regulowania opłat urzędowych, podatków czy mandatów przez internet, co oszuści skutecznie wykorzystują. W analizowanym incydencie wykorzystano szeroko rozpoznawalny kontekst – system poboru opłat drogowych e-TOLL. Z punktu widzenia skuteczności, to scenariusz idealny w okresie wakacyjnych wyjazdów, ponieważ częściej korzystamy z tras płatnych, planujemy podróże i działamy w pośpiechu. Na to właśnie liczą cyberprzestępcy.

Oszuści uderzają w naturalną obawę kierowców przed karami administracyjnymi czy rygorystycznymi procedurami windykacyjnymi. W tym scenariuszu celem są nie tylko pieniądze, ale również dane osobowe, kontaktowe i informacje potrzebne do wykorzystania karty płatniczej. To przykład ataku, w którym największą rolę odgrywa nie technologia, lecz zaufanie.

Od nieopłaconego przejazdu do danych karty

Atak rozpoczyna się od skierowania ofiary na stronę imitującą portal gov.pl i system e-TOLL. Witryna informuje o „powiadomieniu o przejeździe na płatnym odcinku drogi bez e-TOLL” i wymaga od użytkownika podania danych osobowych oraz numeru rejestracyjnego pojazdu.

Po kliknięciu przycisku Wypełnij formularz należy podać takie dane jak: imię i nazwisko, adres zamieszkania, numer telefonu oraz adres e-mail. Co ciekawe, brakuje tam pola do wprowadzenia numeru rejestracyjnego pojazdu, co było zapowiadane w poprzednim kroku.

Po wypełnieniu formularza, w kolejnym kroku użytkownik jest informowany o kwocie do zapłaty, która jest stosunkowo niska, bo jedynie 6,99 zł. Relatywnie niska kwota opłaty, jak i subtelne ponaglenia o szybkie zamknięcie sprawy, mają sprawić że zapłacimy bez zwłoki. Jedyną dostępną formą uregulowania należności jest karta płatnicza, a jej dane należy wpisać bezpośrednio na fałszywej stronie.

Po zatwierdzeniu danych na ekranie pojawia się sfałszowana bramka weryfikacji tożsamości, wymagająca wpisania jednorazowego kodu autoryzacyjnego (OTP) z wiadomości SMS.

W tym samym czasie oszuści mogą próbować wykorzystać pozyskane informacje np. do nieautoryzowanych transakcji, opłacenia subskrypcji, czy wynajmu różnego rodzaju sprzętu.

W drugim wariancie tego schematu ofiara również dowiaduje się o nieopłaconym przejeździe, jednak w pierwszym kroku proszona jest jedynie o podanie numeru rejestracyjnego pojazdu.

Po wprowadzeniu danych pojawia się okno z podsumowaniem, gdzie wskazywana jest kwota zaległości do zapłaty.

Następnie pojawia się okno z podsumowaniem rzekomej zaległości. Podobnie jak w pierwszym wariancie, ostatecznie wyświetla się formularz do wprowadzenia danych karty płatniczej.

Potencjalne straty finansowe są tylko jednym z następstw. W zależności od zakresu pozyskanych informacji mogą pojawić się kolejne próby phishingu, podszywania się pod inne instytucje lub wykorzystania danych do innych oszustw.

Jak rozpoznać oszustwo w praktyce?

W przypadku opisywanej fałszywej kampanii e-TOLL, identyfikacja zagrożenia opiera się na trzech kluczowych elementach:

• Bezwzględna weryfikacja paska adresu URL - Cyberprzestępcy kopiują logotypy i układ stron, ale nie są w stanie podrobić oryginalnej domeny. Adresy wykorzystywane w tej kampanii – takie jak gov-a.cfd, gov-c.cfd, gov-i.cfd i etollsl.qpon – nie mają nic wspólnego z oficjalnym portalem gov.pl. Każde nietypowe rozszerzenie domeny (np. .cfd zamiast .pl) oraz jakakolwiek literówka w nazwie adresu (np. gov-a zamiast gov) to sygnał do natychmiastowego opuszczenia witryny.
• Identyfikacja sztucznej presji czasu - Prawdziwe urzędy, w tym Krajowa Administracja Skarbowa, nie żądają uregulowania kary w ciągu kilku minut i nie straszą natychmiastowymi działaniami windykacyjnymi z poziomu SMS-a. Budowanie emocji to klasyczny mechanizm mający na celu wyłączenie logicznego myślenia.
• Szczegółowa analiza powiadomień autoryzacyjnych OTP - Na fałszywym portalu przestępcy deklarują konieczność opłacenia jedynie 6,99 lub 99,99 zł. Jednak gdy na ekranie pojawia się prośba o kod autoryzacyjny, w tle zazwyczaj inicjowana jest zupełnie inna transakcja. Uważne przeczytanie wiadomości z banku – ze szczególnym uwzględnieniem faktycznej kwoty operacji oraz nazwy odbiorcy – to najważniejsza obrona przed kradzieżą.

Podsumowanie

Ataki wykorzystujące powiadomienia o opłacie za przejazd na płatnym odcinku drogi pokazują, że współczesny phishing płynnie dostosowuje się do aktualnej sytuacji społecznej. Oszuści nie potrzebują dostępu do wewnętrznej infrastruktury organizacji, aby wykorzystać jej reputację. Wystarczy stworzyć wiarygodny scenariusz, osadzić go w znanym kontekście i skierować ofiarę do miejsca, w którym sama przekaże poufne informacje.

Dlatego monitoring nadużyć wizerunku i szybkie reagowanie na próby podszywania się pod markę to dziś fundament ochrony – zarówno samych użytkowników, jak i zaufania do organizacji.

Więcej o tym, w jaki sposób PREBYTES SIRT pomaga organizacjom wykrywać, analizować i ograniczać skutki nadużyć wizerunku marki, znajdziesz na stronie Security Incident Response Team.