Phishing podatkowy: Microsoft ostrzega przed atakami

Wprowadzenie

Sezon podatkowy po raz kolejny okazuje się idealnym czasem dla cyberprzestępców. Microsoft odnotowuje wyraźny wzrost kampanii phishingowych i malware, które wykorzystują pilność związaną ze składaniem deklaracji podatkowych, powiadomieniami o zwrocie, formularzami płacowymi i komunikacją od księgowych, aby skłonić użytkowników do ujawnienia poświadczeń lub uruchomienia malware.

Dla zespołów IT i bezpieczeństwa ma to znaczenie, ponieważ nie są to tylko ogólne wiadomości spamowe. Wiele z tych kampanii jest silnie ukierunkowanych, spersonalizowanych i zaprojektowanych tak, aby omijać tradycyjne mechanizmy wykrywania za pomocą kodów QR, wieloetapowych łańcuchów linków, plików hostowanych w chmurze oraz nadużywania legalnych narzędzi do zdalnego monitorowania i zarządzania (RMM).

Co nowego

Microsoft wskazał kilka wzorców ataków o tematyce podatkowej zaobserwowanych na początku 2026 roku:

• Phishing o tematyce CPA z Energy365
  Wiadomości e-mail z tematami takimi jak "See Tax file" wykorzystywały załączniki Excel zawierające linki do plików OneNote hostowanych w OneDrive, które ostatecznie przekierowywały użytkowników na strony wyłudzające poświadczenia obsługiwane przez zestaw phishing-as-a-service Energy365.

• Phishing z kodami QR dotyczący W-2 z SneakyLog
  Wiadomości zatytułowane "2025 Employee Tax Docs" zawierały dokumenty Word z osadzonymi spersonalizowanymi kodami QR. Zeskanowanie kodu prowadziło użytkowników do fałszywych stron logowania Microsoft 365 obsługiwanych przez zestaw phishingowy SneakyLog/Kratos, zaprojektowany do kradzieży poświadczeń i informacji 2FA.

• Przynęty 1099 dostarczające ScreenConnect
  Domeny o tematyce formularzy podatkowych podszywały się pod marki finansowe i podatkowe, nakłaniając użytkowników do pobrania pliku 1099-FR2025.exe, który instalował ScreenConnect. Chociaż jest to legalne narzędzie, ScreenConnect może być nadużywany przez atakujących jako narzędzie zdalnego dostępu.

• Phishing o tematyce IRS i kryptowalut
  Inna kampania wykorzystywała fałszywe komunikaty IRS oraz socjotechnikę związaną z kryptowalutami, w tym adresy URL do kopiowania i wklejania zamiast klikalnych linków, aby ograniczyć automatyczne wykrywanie.

Dlaczego ma to znaczenie dla administratorów

Te kampanie pokazują, jak atakujący łączą:

• wiarygodny, sezonowy kontekst biznesowy
• platformy phishing-as-a-service, które można szybko skalować
• spersonalizowane załączniki i strony docelowe
• techniki omijania MFA
• legalne, podpisane narzędzia RMM do utrzymania dostępu i interaktywnego działania na systemie

Jako cele zaobserwowano organizacje z sektorów usług finansowych, ochrony zdrowia, edukacji, produkcji, handlu detalicznego i IT, przy czym szczególnie narażone były role związane z księgowością i finansami.

Zalecane kolejne kroki

Administratorzy IT powinni natychmiast podjąć następujące działania:

• Wzmocnić świadomość użytkowników w zakresie wiadomości e-mail o tematyce podatkowej, zwłaszcza nieoczekiwanych wiadomości dotyczących W-2, 1099, CPA i IRS.
• Blokować lub dokładnie analizować phishing oparty na kodach QR oraz wieloetapowe łańcuchy załączników obejmujące Excel, OneNote i linki do pamięci masowej w chmurze.
• Przejrzeć zasady bezpieczeństwa poczty e-mail pod kątem ochrony przed podszywaniem się, skanowania załączników i detonacji URL.
• Wykrywać nadużycia narzędzi RMM, takich jak ScreenConnect i SimpleHelp, zwłaszcza gdy są instalowane poza zatwierdzonymi kanałami.
• Wzmocnić ochronę tożsamości za pomocą odpornego na phishing MFA tam, gdzie to możliwe, oraz monitorować podejrzaną aktywność logowania do Microsoft 365.
• Korzystać ze wskazówek Microsoft Defender dotyczących wykrywania i huntingu z komunikatu doradczego, aby identyfikować powiązane wskaźniki naruszenia.

Najważniejsze

Sezon podatkowy daje atakującym przewidywalne okno do wykorzystywania pilności i zaufania. Najnowsze ustalenia Microsoft przypominają, że organizacje powinny traktować wiadomości związane z podatkami jako kategorię phishingu wysokiego ryzyka oraz weryfikować zarówno aktywność tożsamości, jak i narzędzia zdalnego dostępu w całym środowisku.