To jeden z ciekawszych polskich przykładów z października, szczególnie dla sklepów internetowych. CERT Polska obserwuje wiadomości, które wyglądają jak zwykła reklamacja od niezadowolonego klienta. Nadawca twierdzi, że otrzymał uszkodzony produkt, a w wiadomości przesyła link do zdjęć lub nagrania pokazującego problem. Zamiast materiału reklamacyjnego odbiorca może jednak pobrać złośliwe oprogramowanie z rodziny PureRAT.
Dlaczego fałszywa reklamacja jest dobrą przynętą?
Pracownik sklepu powinien zareagować na reklamację, więc sama wiadomość nie musi wyglądać podejrzanie. Trzeba sprawdzić, co stało się z produktem, odpowiedzieć klientowi i rozwiązać problem. Atakujący nie musi więc straszyć blokadą konta ani powoływać się na urząd. Wystarczy, że dobrze naśladuje zwykłą sytuację z codziennej pracy sklepu.
Moim zdaniem właśnie takie kampanie pokazują, dlaczego szkolenie pracowników nie może sprowadzać się do hasła „nie klikaj dziwnych linków”. Link do zdjęcia reklamowanego produktu wcale nie musi wyglądać dziwnie. Znacznie ważniejsze jest sprawdzenie całego kontekstu wiadomości: numeru zamówienia, adresu klienta, rodzaju przesyłanego pliku i tego, czy zgłoszenie rzeczywiście dotyczy transakcji, którą sklep może odnaleźć w swoim systemie.
Na co zwrócić uwagę przed otwarciem pliku?
CERT Polska radzi zwracać uwagę na format pobieranych plików. Jeżeli klient deklaruje, że przesyła zdjęcie albo nagranie, a ostatecznie otrzymujesz archiwum lub plik wykonywalny, masz wystarczający powód, żeby go nie uruchamiać.
.rar.zip.exe.js
Sam format nie oznacza oczywiście automatycznie infekcji. Jeżeli jednak ktoś zapowiada zdjęcia uszkodzonego produktu, a otrzymujesz plik wykonywalny albo nietypowe archiwum, coś wyraźnie się nie zgadza.
Co zrobić z podejrzaną reklamacją?
Najpierw sprawdź, czy numer zamówienia rzeczywiście istnieje i czy adres nadawcy występuje w bazie klientów. Możesz również odpowiedzieć bez otwierania pliku i poprosić o ponowne przesłanie zdjęć w zwykłym formacie albo skorzystanie z formularza reklamacyjnego sklepu.
Jeżeli podejrzany plik został już uruchomiony na komputerze firmowym, nie czekałbym na pierwsze objawy problemu. Zgłoś sytuację administratorowi lub osobie odpowiedzialnej za IT. W przypadku komputera używanego do obsługi sklepu mogą znajdować się na nim loginy do poczty, panelu sprzedażowego, systemu płatności czy innych usług firmowych.
Jeżeli tylko otrzymałeś wiadomość i niczego nie pobrałeś ani nie uruchomiłeś, zachowaj spokój. Sam e-mail nie oznacza jeszcze, że komputer został zainfekowany.
Źródło: CERT Polska – Uwaga na e-maile z „nagraniem” uszkodzonego produktu!