Czym jest zestaw BlueKit?

BlueKit to zestaw typu phishing-as-a-service (PhaaS), czyli gotowe narzędzie, które przestępcy wynajmują zamiast budować własne ataki od podstaw. Pozwala tworzyć i uruchamiać kampanie wyłudzające dane logowania.

Czy BlueKit mogą wykorzystać tylko zaawansowani hakerzy?

Nie. Zestaw dostępny jest zarówno dla klientów indywidualnych, jak i biznesowych, a najtańsza subskrypcja kosztuje 250 dolarów za 7 dni. Niski próg wejścia oznacza, że narzędziem może posłużyć się przestępca o słabszych umiejętnościach technicznych.

Jak rozpoznać wiadomość phishingową wysłaną SMS-em?

Zwracaj uwagę na pilne wezwania do zalogowania się lub potwierdzenia płatności, linki prowadzące do nieznanych domen oraz prośby o kody jednorazowe. Oficjalne instytucje i firmy nigdy nie powinny żądać hasła w wiadomości.

Co zrobić, jeśli podejrzewam, że ktoś przejął moje konto?

Natychmiast zmień hasło, wyloguj wszystkie aktywne sesje i włącz uwierzytelnianie dwuskładnikowe. Następnie sprawdź ustawienia bezpieczeństwa i historię logowania.

BlueKit: nowy zestaw phishingowy obniża próg dla przestępców

BlueKit to zestaw phishing-as-a-service, który ułatwia przejmowanie kont. Sprawdź, jak działa, jakie firmy są celem i jak się chronić.

BlueKit to zestaw typu phishing-as-a-service (PhaaS), który pozwala przestępcom uruchamiać wyłudzające kampanie bez zaawansowanej wiedzy technicznej. Narzędzie opisane przez Malwarebytes znacząco obniża barierę wejścia do przechwytywania kont, a to zmienia sposób, w jaki powinniśmy myśleć o ochronie własnego konta.

Czym jest BlueKit i dlaczego to ważne?

Zestaw BlueKit działa według modelu usługowego: przestępca wykupuje dostęp do gotowej platformy, zamiast samodzielnie przygotowywać strony i scenariusze. Taki model od lat zwiększa liczbę ataków, ponieważ oddziela twórców narzędzi od ich użytkowników. Według Malwarebytes zestaw pojawił się na forum cyberprzestępczym w kwietniu, a jego badanie opublikowano w sierpniu.

Istotne jest to, że BlueKit nie jest skierowany wyłącznie do firm. Oferta obejmuje klientów indywidualnych i biznesowych, co oznacza, że każdy użytkownik internetu może znaleźć się w zasięgu takich kampanii.

Jak szybko można przygotować atak phishingowy?

Według operatorów BlueKit przygotowanie fałszywej strony zajmuje około 10 minut. Dla porównania, tradycyjne podrobienie strony logowania wymagało wcześniej dużo więcej czasu i umiejętności. Skrócenie tego procesu do kilku minut oznacza, że kampanie mogą być tworzone masowo i szybko zmieniane.

Element	Dane z badania Malwarebytes
Pierwsze pojawienie się na forum	kwiecień
Publikacja badania	sierpień
Biblioteka szablonów od września	97 marek, 176 wariantów
Funkcja SMS-ów zapowiedziana	26 lipca (Telegram)
Funkcja SMS-ów wydana	10 sierpnia
Czas przygotowania strony	ok. 10 minut wg operatorów
Najtańsza subskrypcja	250 dolarów za 7 dni

Wrześniowa aktualizacja przyniosła ulepszone szablony oraz technologię kradzieży sesji. To ważna zmiana: nawet po poprawnym wpisaniu hasła atakujący może przejąć aktywną sesję użytkownika.

Jakie firmy są celem kampanii BlueKit?

Materiał Malwarebytes wymienia wśród celów m.in. Salesforce, HubSpot, GitHub, Check Point, Citrix, Cloudflare i Cisco. Dla przeciętnego użytkownika najważniejszy wniosek jest prosty: atakowane są platformy, z których korzystają pracownicy, a przez nie często dochodzi do dostępu do danych firmowych.

Biblioteka 176 wariantów dla 97 marek pokazuje, że przestępcy podszywają się pod bardzo różne serwisy, nie tylko te technologiczne. Dlatego każde logowanie inicjowane z linku w wiadomości warto traktować z ostrożnością.

Jakie dane zbiera BlueKit?

Zestaw gromadzi adres IP, odcisk palca urządzenia, pliki cookie sesji oraz klucze dostępu. Pliki cookie sesji i klucze dostępu są szczególnie niebezpieczne, ponieważ pozwalają na wejście na konto bez podawania hasła i często bez ponownego uwierzytelnienia.

Malwarebytes podaje, że narzędzie działa z wbudowaną sztuczną inteligencją, a w opisie zestawu nie wskazano ograniczeń jej użycia. Jak pisze w swoim materiale Malwarebytes, szablony są „doskonałe co do piksela i gotowe do wdrożenia za jednym kliknięciem”, co tłumaczy, dlaczego fałszywe strony trudno odróżnić od oryginałów.

Co to oznacza dla Ciebie?

Dla przeciętnego użytkownika w Polsce najważniejszy wniosek jest taki, że ochrona konta opiera się już nie tylko na haśle. Przy kursie orientacyjnym ok. 4 zł za dolara najtańsza subskrypcja BlueKit to koszt rzędu ok. 1000 zł za tygodniowy dostęp, co w skali przestępczej jest stosunkowo niewielkim wydatkiem. Należy więc zakładać, że takie narzędzia będą dostępne, a ataki coraz częściej będą przychodzić zarówno mailem, jak i SMS-em.

Praktyczne kroki są proste:

Włącz uwierzytelnianie dwuskładnikowe tam, gdzie to możliwe, najlepiej w formie aplikacji lub klucza sprzętowego, a nie kodu SMS.
Nie loguj się przez linki z wiadomości. Wpisz adres serwisu ręcznie lub skorzystaj z zapisanej zakładki.
Regularnie przeglądaj aktywne sesje w ustawieniach konta i wylogowuj nieznane urządzenia.
Zgłaszaj podejrzane wiadomości dostawcy usługi oraz odpowiednim instytucjom.

Warto również pamiętać, że przejęcie sesji oznacza, iż hasło samo w sobie może już nie wystarczyć. Dlatego po podejrzeniu ataku trzeba zmienić hasło i unieważnić wszystkie aktywne sesje, a nie tylko jedno z urządzeń.