Microsoft phishing napadi u poreskoj sezoni 2025

Uvod

Poreska sezona se ponovo pokazuje kao idealno vreme za sajber kriminalce. Microsoft prijavljuje jasan porast phishing i malware kampanja koje iskorišćavaju hitnost poreskih prijava, obaveštenja o povraćaju poreza, obrazaca za obračun zarada i komunikacije sa računovođama kako bi naveli korisnike da predaju akreditive ili pokrenu malware.

Za IT i bezbednosne timove, ovo je važno zato što ove kampanje nisu samo generički spam. Mnoge su visoko ciljane, personalizovane i osmišljene da izbegnu tradicionalne metode detekcije pomoću QR kodova, višestepenih lanaca linkova, fajlova hostovanih u cloud-u i zloupotrebe legitimnih alata za remote monitoring and management (RMM).

Šta je novo

Microsoft je istakao nekoliko obrazaca napada sa poreskom tematikom primećenih početkom 2026. godine:

• CPA-themed phishing with Energy365
  Email poruke sa naslovima poput "Pogledajte poreski fajl" koristile su Excel priloge koji su vodili do OneNote fajlova hostovanih na OneDrive-u, a zatim preusmeravali korisnike na stranice za krađu akreditiva koje pokreće Energy365 phishing-as-a-service kit.

• W-2 QR code phishing with SneakyLog
  Poruke pod nazivom "2025 Employee Tax Docs" sadržale su Word dokumente sa personalizovanim QR kodovima. Skeniranje koda vodilo je korisnike na lažne Microsoft 365 stranice za prijavu koje su radile preko SneakyLog/Kratos phishing kit-a, dizajniranog za krađu akreditiva i 2FA informacija.

• 1099 lures delivering ScreenConnect
  Domeni sa tematikom poreskih obrazaca imitovali su finansijske i poreske brendove, navodeći korisnike da preuzmu 1099-FR2025.exe, koji je instalirao ScreenConnect. Iako je legitiman, ScreenConnect napadači mogu zloupotrebiti kao alat za udaljeni pristup.

• IRS and crypto-themed phishing
  Druga kampanja koristila je lažne IRS poruke i social engineering povezan sa kriptovalutama, uključujući URL adrese za copy-paste umesto klikabilnih linkova kako bi se smanjila automatska detekcija.

Zašto je ovo važno za administratore

Ove kampanje pokazuju kako napadači kombinuju:

• uverljiv sezonski poslovni kontekst
• phishing-as-a-service platforme koje se brzo skaliraju
• personalizovane priloge i landing page stranice
• tehnike zaobilaženja MFA
• legitimne potpisane RMM alate za postojanost i hands-on-keyboard pristup

Kao mete su primećene organizacije iz finansijskih usluga, zdravstva, obrazovanja, proizvodnje, maloprodaje i IT sektora, pri čemu su računovođe i uloge bliske finansijama posebno izložene riziku.

Preporučeni sledeći koraci

IT administratori bi trebalo odmah da preduzmu sledeće korake:

• Ojačaju svest korisnika o email porukama sa poreskom tematikom, posebno o neočekivanim W-2, 1099, CPA i IRS porukama.
• Blokiraju ili detaljno pregledaju phishing zasnovan na QR kodovima i višefazne lance priloga koji uključuju Excel, OneNote i cloud storage linkove.
• Pregledaju politike bezbednosti email-a za zaštitu od impersonacije, skeniranje priloga i URL detonation.
• Istraže zloupotrebu RMM alata kao što su ScreenConnect i SimpleHelp, posebno kada su instalirani van odobrenih kanala.
• Ojačaju zaštitu identiteta pomoću MFA otpornog na phishing gde je to moguće i prate sumnjive Microsoft 365 aktivnosti prijavljivanja.
• Koriste Microsoft Defender smernice za detekciju i hunting iz bezbednosnog upozorenja kako bi identifikovali povezane indikatore kompromitacije.

Suština

Poreska sezona napadačima daje predvidiv vremenski okvir za iskorišćavanje hitnosti i poverenja. Najnoviji Microsoft nalazi podsećaju da organizacije treba da tretiraju poruke povezane sa porezima kao phishing kategoriju visokog rizika i da proveravaju i aktivnosti identiteta i alate za udaljeni pristup u celokupnom okruženju.