W Telegramie pojawiła się nowa, wyrafinowana kampania phishingowa, której celem jest przejęcie kont użytkowników. Jak wynika z raportu organizacji Resident NGO, atakujący podszywają się pod oficjalne alerty bezpieczeństwa, wykorzystując przy tym zaawansowaną infrastrukturę, która omija standardowe zabezpieczenia. Ofiarami padają głównie aktywiści z Białorusi, Rosji i Kazachstanu, ale mechanizm oszustwa może zagrozić każdemu użytkownikowi komunikatora.
Jak działa atak na Telegramie?
Oszustwo rozpoczyna się od wiadomości wysłanej przez tajny czat (end-to-end encrypted secret chat) z nieznanego konta zarejestrowanego na kazachstański numer telefonu. W treści pojawia się fałszywe ostrzeżenie o naruszeniu regulaminu Telegrama. Ofiara dowiaduje się, że jej konto zostanie zablokowane, jeśli nie kliknie w link i nie zweryfikuje tożsamości.
Atakujący nie instalują złośliwego oprogramowania na urządzeniu ofiary. Zamiast tego próbują wyłudzić jednorazowy kod logowania do Telegrama. Jeśli ofiarą poda go na fałszywej stronie, zanim kod wygaśnie, hakerzy natychmiast przejmują kontrolę nad jej kontem.
Personalizacja i ukrywanie przed wykryciem
Najbardziej niepokojący w tej kampanii jest stopień personalizacji ataków. Każdy link phishingowy był tworzony dla konkretnej osoby i zawierał jej numer telefonu. Dzięki temu atakujący mogli śledzić, kto kliknął w link. W raportach Resident NGO zidentyfikowano 64 różne numery telefoniczne, głównie rosyjskie, które pojawiły się w spersonalizowanych linkach. Jak podkreślają badacze, te numery to najprawdopodobniej cele ataku, ale nie ma pewności, czy każdy link został faktycznie wysłany, ani czy udało się przejąć jakiekolwiek konto.
Atakujący zastosowali też zaawansowaną technikę ukrywania się przed narzędziami bezpieczeństwa. Zanim wyświetlili fałszywą stronę logowania, sprawdzali przeglądarkę i urządzenie ofiary. Jeśli odwiedzający nie pasował do profilu celu (np. korzystał z narzędzi bezpieczeństwa lub był użytkownikiem komputera stacjonarnego), był przekierowywany na prawdziwą stronę Telegrama lub inną nieszkodliwą witrynę. Dzięki temu kampania była trudniejsza do wykrycia przez automatyczne systemy ochrony.
Presja psychologiczna i dane osobowe
Po otwarciu linka przez ofiarę atakujący wysyłali drugą wiadomość, ponownie ostrzegającą o niepełnej weryfikacji konta i podejrzanej aktywności. Wiadomość zawierała szczegóły dotyczące urządzenia ofiary, godziny otwarcia linka oraz dostawcy internetu. Te dane były zbierane automatycznie w momencie kliknięcia. Celem było wywarcie presji psychologicznej i skłonienie ofiary do dokończenia procesu logowania.
Aby dodatkowo utrudnić wykrycie, atakujący maskowali fragmenty wiadomości phishingowych, zastępując niektóre cyrylickie litery podobnymi wizualnie znakami łacińskimi i greckimi. Taka technika pozwala omijać filmy antyspamowe.
Resident NGO nie jest w stanie określić, ile kont ostatecznie przejęto. Nie wiadomo też, jaki był cel kampanii ani jak hakerzy zamierzali wykorzystać skradzione konta. Badacze zauważają jednak, że techniki użyte w tej akcji są typowe dla operacji przejmowania kont wymierzonych w białoruskie społeczeństwo obywatelskie. Wcześniejsze ataki na te grupy często polegały na instalowaniu zaawansowanego oprogramowania szpiegującego na urządzeniach ofiar. W 2024 roku organizacje Access Now i Citizen Lab ujawniły, że co najmniej siedmiu dziennikarzy i opozycjonistów pochodzących z Rosji i Białorusi zostało zaatakowanych w podobny sposób.
Jak się chronić przed phishingiem na Telegramie?
Przede wszystkim nigdy nie klikaj w linki otrzymane na tajnym czacie z nieznajomych numerów. Telegram nie blokuje kont bez ostrzeżenia i nie wysyła próśb o zalogowanie przez podejrzane strony. Jeśli otrzymasz wiadomość z groźbą blokady, skontaktuj się bezpośrednio z pomocą techniczną Telegrama przez oficjalne kanały. Zawsze weryfikuj adres URL strony logowania – prawdziwy Telegram działa na domenie telegram.org, a nie na podejrzanych podstronach. Włącz dwuskładnikowe uwierzytelnianie (2FA) w ustawieniach komunikatora – to dodatkowa warstwa ochrony nawet, gdyby ktoś zdobył twój jednorazowy kod.
