Uwaga: trwa kampania phishingowa na hostingu pCloud… i jest całkiem dobrze zrobiona

Ataki na użytkowników usług chmurowych są częste, zwłaszcza te popularne jak pCloud. Ale w przeciwieństwie do zwykle otrzymywanych e-maili, z kilkoma prostymi sygnałami pozwalającymi zidentyfikować złośliwe pochodzenie e-maila, tym razem hakerzy przeprowadzili dość dobrze przemyślaną kampanię, która prawie nas złapała w pułapkę.

Wmawia się wam, że ktoś zalogował się na wasze konto pCloud

Sztuczka jest prosta i opiera się na nawyku wprowadzonym przez wielkich graczy oprogramowania jak Google, PayPal, Hubspot… Rzeczywiście, w momencie logowania się do jednej z tych usług, czasami otrzymujemy powiadomienie e-mailem, ostrzegające nas o próbie logowania z lokalizacją geograficzną, a nawet adresem IP osoby. Na przykład, w usługach Google, e-mail z powiadomieniem jest opatrzony słynnym komunikatem:

Wykryliśmy nowe logowanie do twojego konta Google. Jeśli to byłeś ty, nie jest wymagana żadna akcja z twojej strony. W przeciwnym razie pomożemy ci zabezpieczyć twoje konto.

Aby zaatakować użytkowników pCloud, hakerzy użyli tego podejścia, kopiując identycznie e-mail z powiadomieniem, aby podszyć się pod ich tożsamość i sprawić, że uwierzą w próbę oszustwa:

Jak widać, jest bardzo mało różnic między oryginalnym e-mailem a wersją hakerską… ale diabeł tkwi w szczegółach.

Jak zidentyfikowaliśmy, że to było phishing?

Po raz pierwszy otrzymaliśmy e-mail na telefonie, ale mieliśmy wątpliwości co do jego pochodzenia. Dlatego woleliśmy otworzyć go ponownie na komputerze i bardzo łatwo było zidentyfikować próbę phishingu:

• nadawca wyświetlał się jako „pCloud Team”, jako nazwa, ale rzeczywisty adres e-mail nie miał z tym nic wspólnego (to powszechna technika używana przez hakerów)
• linki użyte w przyciskach e-maila przekierowują do podejrzanego URL

Należy jednak zauważyć kreatywność hakerów, którzy wskazują to „Verify Email Source! Authentic pCloud communications only come from these senders: pCloud Team” (co oznacza po polsku: „Sprawdź źródło e-maila! Autentyczne komunikaty pCloud pochodzą tylko od tych nadawców: pCloud Team”). Ta wiadomość ma na celu uczynienie e-maila jeszcze bardziej autentycznym.

To nie wszystko: rzeczywiście, nadawca wydaje się wskazywać tę nazwę, ale ta metoda jest w rzeczywistości sposobem na obniżenie czujności użytkownika, który nie sprawdzi adresu e-mail używanego, jak poniżej, gdzie widać e-mail używany przez hakerów, który nie ma nic wspólnego z firmą pCloud:

Dlaczego hakerzy celowali w użytkowników pCloud?

Trzeba wiedzieć, że pCloud to firma specjalizująca się w bezpiecznym przechowywaniu w chmurze i udostępnianiu plików online. Założona w 2013 roku i z siedzibą w Szwajcarii, oferuje zaszyfrowane rozwiązanie do przechowywania dostępne na różnych platformach (Windows, macOS, Linux, iOS i Android). pCloud wyróżnia się zaawansowanymi opcjami szyfrowania, w tym pCloud Crypto, które pozwala użytkownikom zabezpieczać swoje pliki szyfrowaniem po stronie klienta. Firma oferuje elastyczne subskrypcje, w tym plany na całe życie, i kładzie nacisk na prywatność danych, korzystając z surowych szwajcarskich przepisów dotyczących ochrony informacji.

Tego typu usługa jest idealnym celem dla hakerów, ponieważ mogą oni celować w dużą liczbę użytkowników, dotykając zarówno nowicjuszy, jak i osoby doświadczone w tematach związanych z bezpieczeństwem komputerowym.

Jak hakerzy zdołali celować w prawdziwych użytkowników pCloud?

To jest prawdziwe pytanie: padliśmy ofiarą tej kampanii phishingowej, mimo że jesteśmy również zarejestrowani w usłudze pCloud. Czy to przypadek? A może wyciek danych, który pozwolił hakerom dobrze celować w swoją atak?

Na chwilę obecną nie mamy żadnych informacji na ten temat, ale zachęcamy naszych czytelników do zachowania czujności i przyjęcia nawyku NIGDY nie klikania w link bez przeprowadzenia standardowych weryfikacji, czyli analizy adresu e-mail nadawcy i analizy linku znajdującego się w e-mailu.