В продължение на години фишинг кампаниите, насочени към финансови институции, следваха един и същ сценарий. Жертвите биваха подмамвани да въведат потребителски имена и пароли, атакуващите събираха идентификационните данни, а компрометирането на акаунтите се случваше по-късно, при удобна възможност.

Неотдавнашни разследвания на фишинг операции, фокусирани върху застрахователния сектор, разкриват много по-непосредствен подход. Вместо да събират идентификационни данни за по-късна употреба, атакуващите вече синхронизират дейността си с жертвите в реално време, като се удостоверяват пред легитимни застрахователни портали, докато жертвите неволно завършват процеса на влизане. Цялата атака може да се развие в рамките на една сесия на браузъра.

Тази промяна подчертава по-широка тенденция в пейзажа на киберсигурността. Тъй като фишинг кампаниите стават все по-сложни, простото идентифициране на зловредни уебсайтове и домейни за имитация вече не е достатъчно. Организациите все повече трябва да разбират инфраструктурата, техниките и оперативните работни процеси зад тези атаки.

Прочетете пълния доклад тук: https://www.ctm360.com/reports/insuretrap-fake-insurance-phishing-account-hijacking

Застраховането става все по-привлекателна цел

Застрахователите бързо разшириха своите онлайн услуги. Клиентите вече могат да купуват полици, да подновяват покрития, да подават искове, да управляват акаунти, да актуализират лична информация и да извършват плащания изцяло чрез цифрови портали.

Въпреки че това подобрява клиентското изживяване, то също така създава привлекателна среда за злонамерените субекти.

За разлика от традиционните банкови атаки, които са насочени предимно към финансови трансакции, компрометираните застрахователни акаунти често съдържат обширна лична информация, документи за самоличност, записи на полици, методи за плащане и други чувствителни клиентски данни, които могат да подпомогнат измами далеч отвъд първоначалното компрометиране.

По време на разследването беше идентифицирана координирана фишинг операция, насочена към множество застрахователи в няколко региона. Вместо да имитира една организация, кампанията е използвала повторно същата оперативна инфраструктура при множество застрахователни марки, адаптирайки езика, брандирането и съдържанието към местните пазари. Саудитска Арабия изглежда е била основната цел, докато допълнителна активност е наблюдавана в Европа, САЩ и Индия.

Google Ads се превръщат в първоначален вектор на атака

Едно от по-забележителните наблюдения беше постоянната употреба на спонсорирани реклами в Google като основен механизъм за доставка.

Вместо да разчитат на фишинг имейли или SMS кампании, атакуващите купуват реклами, които се появяват, когато потребителите търсят оферти за застраховки, подновявания или сравнения на цени. Рекламите популяризират оферти като „Сравнете оферти за автокаско“ или „Най-евтина застраховка „Гражданска отговорност““, насърчавайки потребителите да кликнат върху това, което изглежда като легитимна услуга за оферти.

След кликване върху рекламата, жертвите се пренасочват към фишинг уебсайтове, проектирани да приличат досущ на истинските застрахователи. Тези сайтове репликират брандирането, потребителските интерфейси, работните процеси за получаване на оферти и клиентските портали с ниво на реализъм, целящо да намали подозрението по време на цялото взаимодействие.

Инфраструктурата, поддържаща тези кампании, беше също толкова лесна за подмяна. Вместо да разчитат на специализиран злонамерен хостинг, операторите често са използвали легитимни платформи за създаване на сайтове и безплатен хостинг като GitHub Pages, Netlify, Hostinger, Wix, Lovable и други облачни услуги. Произволни домейни с малка или никаква прилика със застрахователните марки позволяват на кампаниите да се ротират бързо, като същевременно намаляват ефективността на конвенционалните усилия за мониторинг на бранда.

Фишингът еволюира в отвличане на акаунти в реално време

Фишинг кампаниите отдавна се използват за кражба на чувствителна информация, включително лични данни, финансови подробности, данни за платежни карти, застрахователни записи и идентификационни данни за акаунти. В много случаи целта беше да се събере възможно най-много информация и да се експлоатира по-късно чрез превземане на акаунти, кражба на самоличност или финансови измами.

Модерните застрахователни фишинг кампании представляват значителна еволюция на този модел. Вместо да функционират като статични страници за събиране на данни, тези фишинг портали активно взаимодействат с жертвите по време на процеса на удостоверяване. Докато жертвите изпращат своята информация, атакуващите едновременно използват събраните данни, за да си взаимодействат с легитимния застрахователен портал в реално време, превръщайки фишинг страницата в посредник на живо между жертвата и истинската услуга.

Този подход позволява на атакуващите да преодолеят механизмите за удостоверяване, които традиционно биха ограничили полезността на откраднатите идентификационни данни. Когато легитимният застраховател изпрати еднократна парола (OTP) или друго предизвикателство за проверка, фишинг страницата незабавно подканва жертвата да въведе същия код под предлог на рутинна проверка на самоличността. Изпратената еднократна парола (OTP) след това се препредава към легитимния портал преди да изтече, което позволява на атакуващите да завършат процеса на удостоверяване, докато жертвата остава в неведение.