Lažne GLS poruke o dostavi vode na stranice za krađu podataka kartice
Ribica je opisala phishing kampanju sa više desetina domena koje imitiraju GLS. Lažna naknada za ponovnu dostavu služi kao mamac za unos ličnih i kartičnih podataka, a zatim i bankarskih kodova.
Šta se desilo?
Ribica je 31. oktobra 2026. objavila analizu poruka o navodno neuspešnoj dostavi GLS paketa. Prema toj analizi, link vodi na lažnu stranicu koja traži kontakt podatke i podatke platne kartice, uz izgovor da treba platiti oko dva evra za ponovnu dostavu. GLS na svojoj zvaničnoj stranici sa bezbednosnim savetima upozorava na zloupotrebu svog imena u porukama i na lažnim sajtovima. To samo po sebi ne potvrđuje sve tehničke detalje ove konkretne kampanje.
Svaki zahtev za plaćanje kurirskoj službi nije automatski prevara. Na istoj stranici GLS navodi da GLS ili ovlašćeni agent mogu da kontaktiraju primaoca e-poštom, SMS-om ili pismom radi plaćanja carine i poreza kada paket stiže iz zemlje van EU. Zato takav zahtev treba proveriti nezavisno od poruke, a ne odbaciti ga ili platiti bez provere.
Koga pogađa?
Prema Ribici, opisane poruke namenjene su korisnicima u Hrvatskoj i regionu. Nisu objavljeni pouzdani podaci o broju žrtava, obimu štete ili spisku svih pogođenih država. Poseban oprez potreban je kada očekujete paket, jer takva poruka može delovati uverljivo. Opisana je zloupotreba imena GLS-a, bez dokaza da su kompromitovani njegovi sistemi.
Kako se zaštititi?
- Status pošiljke proverite preko zvanične aplikacije ili ručnim unosom poznate adrese kurira u browser.
- Ne unosite podatke kartice preko linka iz neočekivane poruke o neuspešnoj dostavi. Zahtev proverite kod kurira preko kontakta koji ste pronašli nezavisno od poruke.
- Proverite ceo domen. Logo GLS-a, ime pošiljaoca i HTTPS veza sami po sebi ne dokazuju da je stranica autentična.
- Ne unosite OTP ili 3-D Secure kod na sumnjivoj stranici i ne odobravajte transakciju koju niste nameravali da izvršite. Pročitajte iznos i naziv primaoca u bankarskoj potvrdi.
- Ako ste uneli podatke kartice, odmah kontaktirajte banku preko zvaničnog broja ili aplikacije radi blokiranja kartice, procene zamene i provere transakcija.
- Sačuvajte poruku i snimke ekrana, prijavite pokušaj GLS-u (uputstvo za prijavu je na GLS stranici sa bezbednosnim savetima), a neovlašćene transakcije banci i policiji.
Tehnički detalji
Ribica navodi više od 40 domena, dok objavljeni spisak sadrži 40 primera. Prema analizi, domene su registrovane od 22. do 29. oktobra i povezane sa IP adresom 209.141.47.139. Izvor opisuje Vue, obfuskaciju koda i komunikaciju preko Socket.IO uz AES, kao i operatera koji može da zatraži dodatnu potvrdu plaćanja. Ovi tehnički nalazi nisu nezavisno potvrđeni. Zajednička IP adresa ukazuje na povezanu infrastrukturu, ali ne dokazuje jednog operatera. Kineski nazivi u kodu ne utvrđuju identitet ili lokaciju napadača. Opisano traženje bankarskih kodova ne dokazuje tehnički propust u 3-D Secure sistemu. Za ovu kampanju nije navedena softverska ranjivost koju rešava zakrpa, pa su ključni prepoznavanje lažne stranice i brza reakcija banke ako su podaci već uneti.
Zašto je važno?
Mali iznos prikazan na lažnoj stranici ne ograničava moguću štetu ako podaci kartice dospeju do napadača. Dodatna bankarska potvrda može biti zloupotrebljena ako korisnik odobri tuđu transakciju. Menjanje domena takođe znači da blokiranje jedne adrese nije dovoljno za zaštitu.
Preporuka Sajber Radara
Ne otvarajte link iz poruke o neuspešnoj dostavi, već status pošiljke proverite u zvaničnoj aplikaciji ili ručnim unosom adrese kurira. Ako se od Vas traži uplata carine ili poreza, potvrdite zahtev preko kontakta kurira koji ste sami pronašli, a ne preko poruke. Ne unosite podatke kartice, OTP ili 3-D Secure kod na stranicu na koju ste stigli preko linka iz poruke. Ako ste podatke već uneli, odmah pozovite banku preko zvaničnog broja ili aplikacije da blokira karticu i proveri transakcije.
Hrvatska