Inwestycyjna pułapka. CSIRT KNF ujawnia masową kampanię

Rozwój sztucznej inteligencji obniża próg wejścia dla cyberprzestępców, umożliwiając im szybkie tworzenie komunikatów, tłumaczenie treści, generowanie obrazów wykorzystywanych w kampaniach.

Skala problemu jest ogromna: w 2025 roku phishing był najczęściej odnotowywanym rodzajem oszustwa komputerowego, odpowiadając za 78 391 incydentów.

CSIRT KNF opublikował raport alarmujący o jednej tego typu międzynarodowej kampanii, w ramach której oszuści wykorzystują płatne reklamy w mediach społecznościowych i wyszukiwarkach do promowania fikcyjnych inwestycji. Ich celem jest pozyskanie danych osobowych i kontaktowych „inwestorów”, a następnie wyłudzenie od nich pieniędzy.

W toku analizy zidentyfikowano ponad 500 aktywnych domen przekazanych do blokady, 36 rotujących motywów kampanii, 554 adresy z rodziny „finance(…).sbs” oraz 20 domen pośredniczących w przekierowywaniu użytkowników.

Przebieg oszustwa

Przestępcy próbują przyciągnąć uwagę odbiorców, wykorzystując głośne tematy i wizerunki znanych osób, które umieszczają na grafikach w fałszywych reklamach wyświetlanych m.in. na Facebooku lub w wynikach wyszukiwania Google.

Po ich kliknięciu użytkownik zostaje przeniesiony przez stronę pośrednią (jak malverionex(.)pro) na fałszywą witrynę z adresem z rodziny financeXX-wordXX(.)sbs.

Czasami oszukańcza treść pojawia się jednak od razu, bez przekierowania. Na stronie znajduje się wtedy zwykle fałszywy artykuł lub formularz, w którym ofiara podaje swoje dane kontaktowe, chcąc zarejestrować się na „platformie inwestycyjnej”. Następnie oszuści dzwonią do ofiary i przekonują ją do wpłacenia pieniędzy.

Jak podaje raport, strony mogą wyglądać inaczej i używać różnych nazw. Wymienione przykłady to „Baltic Pipe”, „Cyrkiel Zyskanta”, „Vastora Finanzia” czy „Klucz Zyskorek”.

Witryny różnią się również językiem zależnie od kraju, z którego łączy się użytkownik.

Tysiące domen, jeden schemat

Oszuści masowo rejestrują też nowe domeny, których adresy powstają według tego samego schematu.

Zwykle zawierają one słowo „finance”, liczby oraz wyraz zaczerpnięty z Lorem Ipsum, na przykład: finance23-voluptas94(.)sbs, lub finance36-non52(.)sbs. Nie wszystkie utworzone domeny są jednak aktywne i działają po wejściu na stronę.

Dzięki wykorzystaniu gotowych słów przestępcy automatycznie mogą tworzyć tysiące nazw domen, które wyglądają bardziej wiarygodnie niż przypadkowe ciągi znaków, przed którymi się przestrzega internautów.  

Analitycy ustalili też, że podobna kampania była prowadzona wcześniej z użyciem tego samego sposobu tworzenia nazw, wtedy jednak adresy kończyły się na .pro, a nie .sbs.

Rotujące hasła i setki podobnych witryn

Oprócz domen, strony używane w kampanii również zmieniają swój wygląd i treść w zależności od adresu linku, miejsca z którego wszedł użytkownik, albo czasu odwiedzin.

Oszuści regularnie wprowadzają też nowe hasła przewodnie, które mają łączyć wszystkie materiały w jedną wiarygodnie wyglądającą historię o szybkim zarobku. Ich nazwy często brzmią dziwnie lub nienaturalnie, na przykład „Bystry Dochodal”, „Baltic Pipe”, „Cyrkiel Zyskanta” czy „Biegła Fundeza”.

Po wprowadzeniu nowego hasła wcześniejsze wersje nie znikają – powiązane z nimi strony nadal działają i pozostają widoczne w wyszukiwarkach.

Przykładowo, dla frazy „Biegła Fundeza” w Google znaleziono wiele niemal identycznych fałszywych witryn, a do tego – powiązane filmy na YouTube. Ich adresy różnią się jedynie szczegółami, np. końcówką domeny, dodatkami -app, ai lub -pl czy użyciem myślników (biegla-fundeza(.)site, czy bieglafundezaai(.)com.).

Wszystkie wykryte strony były oczywiście oszustwami.

Duża liczba podobnych witryn ma stworzyć wrażenie popularności i wiarygodności, a także wpłynąć na automatyczne podsumowania, takie jak Google AI Overviews.

W efekcie można błędnie uznać fałszywe serwisy za godne zaufania.

Znikające domeny i szyfrowane połączenia

Oszuści stosują kilka sposobów, aby utrudnić wykrycie i analizę swoich stron.

Część domen nie odpowiada na wszystkie próby połączenia, pokazuje treść tylko wybranym użytkownikom albo działa wyłącznie wtedy, gdy adres zawiera odpowiednie parametry. Strony mogą też przekierowywać odwiedzających do różnych miejsc oraz okresowo pojawiać się i znikać.

W kodzie witryny finance95-praesentium23(.)sbs znaleziono komentarze zapisane cyrylicą, dotyczące umieszczenia komunikatu przy polu telefonu, co wskazuje na sposób przygotowania formularza.

Podczas analizy wykryto ponad 500 nadal aktywnych lub potencjalnie używanych domen. CSIRT KNF przekazuje je na bieżąco do CSIRT NASK, aby zostały dodane do listy ostrzeżeń CERT Polska i zablokowane – tych jednak ciągle przybywa.

Jak podaje raport, fałszywe strony często korzystają również z bezpłatnych certyfikatów SSL/TLS wydawanych m.in. przez Google Trust Services, Let’s Encrypt i ZeroSSL. Dzięki temu mogą szybko i bez dodatkowych kosztów uruchamiać szyfrowane połączenia HTTPS dla tysięcy domen.

Co zrobić po ataku phishingowym?

Pamiętajmy więc, że widoczna w przeglądarce kłódka nie oznacza, że strona jest uczciwa – potwierdza jedynie, że połączenie zostało zaszyfrowane. Ważną rolę odgrywają też zmieniające się parametry w linkach oraz domeny pośrednie.

W przypadku stania się ofiarą phishingu należy jak najszybciej zmienić hasła do zagrożonych kont, włączyć uwierzytelnianie dwuskładnikowe oraz skontaktować się z bankiem, jeśli ujawniono dane karty, bankowości internetowej lub wykonano przelew. 

Warto zachować również wiadomości, linki, potwierdzenia transakcji i zrzuty ekranu.

Fałszywe strony i wiadomości można zgłosić do CERT Polska, podejrzane SMS-y przesłać na numer 8080, a kradzież danych lub pieniędzy zgłosić Policji lub prokuraturze.