A WebTuga identificou uma nova campanha ativa de phishing que utiliza indevidamente o nome, identidade visual e referências comerciais da WebTuga para o envio de falsas notificações de pagamento e renovação de serviços.
As mensagens identificadas apresentam-se como comunicações de liquidação de pagamento da WebTuga e incluem um botão para alegado pagamento. Ao seguir esse endereço, o utilizador é encaminhado através de infraestrutura externa de redirecionamento para diferentes páginas fraudulentas, que procuram reproduzir a experiência da Área de Cliente e do processo de pagamento da WebTuga.
O e-mail é bastante semelhante ao e-mail que habitualmente enviamos. A forma mais fácil de identificar este e-mail, para além dos links obvios que remetem para páginas de Phishing fora dos domínios da WebTuga, estará no facto dos e-mails em questão indicarem praticamente todos o mesmo documento (nº 370250) e referirem o serviço “PositiveSSL”.
Pode verificar uma réplica do e-mail de Phishing abaixo:
Como funciona esta campanha?
A análise realizada até ao momento permitiu identificar o seguinte fluxo:
- O utilizador recebe um e-mail fraudulento, apresentado visualmente como uma comunicação da WebTuga;
- A mensagem contém referências a um alegado pagamento ou renovação pendente;
- O botão de pagamento encaminha o utilizador através de serviços e infraestrutura externos à WebTuga;
- São utilizados mecanismos de redirecionamento que podem apresentar diferentes domínios e páginas fraudulentas ao longo do tempo;
- A página de destino imita a Área de Cliente da WebTuga e solicita dados de autenticação;
- Após essa etapa, é apresentado um processo de compra/pagamento igualmente falso, no qual são solicitados dados de Cartão de Crédito.
O objetivo desta campanha é, assim, a recolha fraudulenta de credenciais de acesso e dados de pagamento.
Infraestrutura externa e páginas comprometidas
Os endereços identificados nesta campanha não pertencem nem são operados pela WebTuga.
A investigação efetuada demonstra ainda a utilização de múltiplos domínios, subdomínios e fornecedores de infraestrutura, existindo indícios de que algumas das páginas fraudulentas poderão estar alojadas em websites ou contas de terceiros comprometidos, sem conhecimento dos respetivos proprietários.
Os atacantes alteram e fazem rodar os endereços utilizados, dificultando o bloqueio através de uma lista estática de domínios.
Não existem indícios de comprometimento dos sistemas WebTuga
Até ao momento, não foi identificado qualquer indício de acesso não autorizado ou comprometimento da infraestrutura, Área de Cliente, sistemas ou bases de dados da WebTuga relacionado com esta campanha.
Os e-mails analisados são enviados através de infraestrutura externa à WebTuga, utilizando técnicas de imitação da nossa identidade comercial e visual.
A utilização do nome, logótipo, imagens ou aparência da WebTuga numa mensagem ou website não significa que essa comunicação tenha origem nos nossos sistemas.
Como confirmar se está realmente na WebTuga?
Antes de introduzir credenciais ou efetuar qualquer pagamento, confirme sempre o endereço apresentado na barra do navegador.
A autenticação e gestão dos seus serviços devem ser realizadas exclusivamente através dos nossos endereços oficiais:
https://www.webtuga.pt
https://clientes.webtuga.pt
Se uma página que aparenta ser da WebTuga estiver alojada noutro domínio ou subdomínio, não introduza quaisquer dados.
🚨 Recebeu um destes e-mails?
Recomendamos que:
- Não clique nos links ou botões existentes na mensagem;
- Não responda ao remetente;
- Não introduza credenciais, dados pessoais ou informações bancárias;
- Confirme pagamentos e renovações diretamente na Área de Cliente da WebTuga;
- Encaminhe a mensagem suspeita para abuse@webtuga.pt, preferencialmente preservando a mensagem original e respetivos cabeçalhos.
⚠️ Introduziu a sua password?
Caso tenha introduzido as credenciais da sua conta WebTuga numa destas páginas, recomendamos que altere imediatamente a password da Área de Cliente e de qualquer outro serviço onde utilize a mesma password.
Caso tenha reutilizado essas credenciais numa conta de e-mail ou noutros serviços, deverá alterar igualmente essas passwords.
Recomendamos ainda a utilização de autenticação multifator (2FA) sempre que disponível.
⚠️ Introduziu dados de Cartão de Crédito?
Se forneceu os dados do seu cartão numa destas páginas fraudulentas, contacte imediatamente a instituição bancária ou entidade emissora do cartão, informe-a de que os dados foram introduzidos numa página de phishing e siga as respetivas instruções para bloqueio, substituição ou monitorização do cartão.
Recomendamos igualmente o reporte da ocorrência às autoridades competentes.
Medidas em curso
A WebTuga encontra-se a acompanhar ativamente esta campanha e a:
- Identificar e preservar os endereços e infraestrutura utilizados;
- Reportar páginas fraudulentas aos respetivos fornecedores de alojamento e operadores de rede;
- Reportar domínios e subdomínios abusivos aos respetivos registrars e entidades responsáveis;
- Reportar a utilização abusiva de plataformas externas envolvidas na distribuição da campanha;
- Solicitar o bloqueio e remoção dos conteúdos identificados;
- Partilhar indicadores relevantes com plataformas de proteção contra phishing;
- Preservar evidências para eventual comunicação às autoridades competentes;
- Monitorizar o aparecimento de novos endereços associados à campanha.
Devido à natureza dinâmica desta campanha, novos endereços podem surgir mesmo após o bloqueio dos anteriormente identificados.
Agradecemos que qualquer comunicação, página ou comportamento suspeito relacionado com a WebTuga seja reportado para:
abuse@webtuga.pt
A WebTuga continuará a acompanhar a situação e a atualizar esta informação sempre que existam desenvolvimentos relevantes.