Фишинг с герба на МВР: разбор на "Официално уведомление UV-2026-4841"
Едно писмо, един бутон, едно ЕГН. Как се разглобява измама, която се облича в униформа.
Неделя, 18 октомври, малко след обяд. Звъни ми приятел. Гласът е на човек, който знае, че е сбъркал, но още не знае колко.
"Тони, получих имейл от МВР за нарушение. Цъкнах. Въведох си ЕГН-то. После ми светна."
Първата ми реакция беше да му се скарам. Говорили сме за това, знае, че не се цъка. Но факт - цъкнал е. Казах му да ми препрати писмото и да ми прати снимка на сайта, който му се е отворил. Първият ми въпрос беше един: "Какво точно попълни?" Само ЕГН. Нито карта, нито код. Издишахме и двамата.
Пиша тази тема не защото приятелят ми е наивен. Пиша я, защото писмото е направено така, че да мине през наивността на всички ни. Гербът е истински, езикът е бюрократичен, страхът е измерен в часове. Историята е истинска, писмото е истинско, снимките в темата са от неговата поща и от неговия екран.
Нека го разглобим като скоростна кутия - болт по болт.
Какво пристигна
Заглавие: "Официално уведомление - UV-2026-4841". Подател: "ONLINE.MBP". Вътре - гербът на МВР, сухо съобщение за "регистрирано административно нарушение, което очаква потвърждение" и голям син бутон "Прегледайте нарушението".
Под бутона - две цветни кутии. Жълтата казва, че без действие в рамките на 48 часа случаят отива за "допълнителна обработка" с разходи. Червената е по-директна: глобата ще бъде удвоена, а от шофьорската книжка ще бъдат отнети точки.
Бутонът води към страница, която е почти пиксел по пиксел копие на портала за електронни услуги на МВР - "Обобщена проверка на задължения по фиш, НП или споразумение". Полета за ЕГН, тип допълнителни данни и номер на СУМПС. Бутон "Провери". Банер за бисквитки. Всичко е на мястото си.Историята е истинска, писмото е истинско.
Почти всичко.
OSINT разбор: седем червени флага
- Подателят. Адресът е dg_mamonde@faa[.]mil[.]ar - военен домейн от Аржентина. МВР не праща уведомления от Южна Америка. Най-вероятно е компрометиран акаунт или подправен подател, но и в двата случая няма нищо общо с България.
- "MBP" вместо "МВР". Името на подателя е написано с латински букви, които приличат на кирилица. Класически трик за минаване покрай филтри и покрай окото.
- Масово изпращане. В полето "До" има петнадесетина случайни адреса от abv.bg, mail.bg и dir.bg. Държавна институция не уведомява за лично нарушение с открит списък на чужди хора.
- Нито име, нито номер на фиш, нито сума. "Регистрирано нарушение" без регистрационен номер на кола, без дата, без място. Истинското уведомление е конкретно. Фалшивото е мъгливо, за да пасне на всеки.
- Часовник и заплаха. 48 часа, удвояване, точки. Това не е административен език, а натиск. Целта е да действаш, преди да помислиш.
- Домейнът. Сайтът е на hxxps://auth-sumup-com[.]ggff[.]net/invoice/MVR/ - смес от името на платежна услуга и случаен домейн. Истинският портал е на e-uslugi.mvr.bg. Всичко друго е чужд гараж с откраднат надпис.
- Подписът на кита. Долу вдясно във футъра на фалшивия портал пише "Версия: PHP Demo 1.0". Това е готов фишинг комплект, който някой е купил или изтеглил и не си е направил труда да изчисти.
Как се разглобява такъв имейл
Не е нужно да си в ГДБОП, за да провериш едно писмо. Трябват ти пет минути и малко любопитство.
Хедърите. В Gmail - трите точки до писмото, "Show original". В abv.bg има подобна опция за изходния код на съобщението. Търсиш редовете Received (през кои сървъри е минало) и резултатите за SPF, DKIM и DMARC. Ако подателят твърди, че е институция, а SPF и DMARC падат или домейнът е съвсем друг - имаш отговор.
Домейнът. WHOIS показва кога е регистриран и през кой регистратор. Фишинг домейните обикновено са на дни или седмици. crt.sh показва SSL сертификатите, издадени за домейна и поддомейните му - често виждаш цяла колекция от фалшиви "auth-", "pay-", "invoice-" имена на едно място.
Code:
whois ggff.net
dig +short auth-sumup-com.ggff.net
dig +short MX faa.mil.ar
# сертификати: https://crt.sh/?q=ggff.netСайтът - без да го отваряш. urlscan.io зарежда страницата в техен браузър и ти дава снимка, мрежови заявки и къде отиват данните от формата. VirusTotal показва дали антивирусните двигатели вече са маркирали адреса. Така гледаш врага през бинокъл, а не през ключалката на собствената си врата.
Дефангване. Когато споделяш такъв линк във форум или чат, пиши hxxps и [.] вместо точки. Така никой не цъка случайно, а и платформите не го превръщат в активна връзка.
Защо искат първо само ЕГН
Логично е да се запиташ - какво ще правят с едно ЕГН? Отговорът е, че ЕГН-то рядко е крайната цел. То е първата стъпка от фуния.
Типичният сценарий при такива китове изглежда така: въвеждаш ЕГН и номер на книжка, системата "намира" глоба с правдоподобна сума, предлага ти "отстъпка при плащане сега" и те праща към форма за карта. После идва SMS код за 3D Secure, който въвеждаш, защото "това е стандартна процедура". И парите излизат.
Приятелят ми е спрял на първото стъпало. Това е добрият край на историята.
Но и само ЕГН не е нула. То е суровина за следващата измама - обаждане "от банката" или "от полицията", в което непознатият цитира ЕГН-то ти, за да звучи легитимно. Затова изтеклото ЕГН значи едно: всяко обаждане, което го знае, е подозрително по подразбиране.
Цъкнах. Сега какво?
Самото отваряне на страницата при такъв тип сайт обикновено не е бедата. Важно е какво си въвел. Ето триажа, подреден по спешност.
Въвел си карта или SMS код
- Веднага звъниш в банката на номера от гърба на картата. Не след обяд, не утре.
- Блокираш картата и оспорваш всяко плащане, което не си правил.
- Казваш изрично, ако си въвел 3D Secure код - това променя разговора с банката.
Въвел си ЕГН, номер на книжка или други лични данни
- Никакви кодове, снимки на лична карта или "защитни сметки" по телефона - на никого.
- При обаждане "от институция" затваряш и звъниш сам на официалния номер.
- По желание - справка в Централния кредитен регистър към БНБ, за да видиш дали има кредити на твое име. Повтаряш я след няколко месеца.
- Подаваш сигнал, за да има документиран инцидент, ако нещо изникне по-късно.
Нищо не си въвел
- Затваряш таба, триеш писмото, маркираш го като фишинг в пощата.
- Ако искаш спокойствие за глобите - отваряш e-uslugi.mvr.bg, като пишеш адреса ръчно, и проверяваш там.
Къде се подава сигнал
Едно писмо стига и до двете места - ГДБОП в полето "До", CERT в "Копие".
ГДБОП, киберпрестъпления: cybercrime@mvr.bg или през cybercrime.bg.
CERT България: cert@govcert.bg - те работят по свалянето на такива сайтове.
Прикачваш оригиналния имейл като файл (не само препратен текст, за да се виждат хедърите), снимка на сайта и линка в дефангнат вид. Пишеш кратко и фактически: кога, от кой адрес, какво пише, какво си въвел. Без емоции, без "моля ви спешно" - фактите вършат работата.
От гаража: обаждането, което има значение
Признавам - първата ми реакция беше да се ядосам. Колко пъти сме го говорили. Но половин час по-късно, докато пишехме сигнала до ГДБОП и CERT и той го пращаше от своята поща, ми стана ясно кое е важното в тази история.
Не цъкването. Обаждането.
Писмото е направено да те изолира. Часовникът тиктака, глобата се удвоява, точките изчезват - и ти си сам с бутона. Измамата печели в тишината между "цъкнах" и "казах на някого". Всяка минута, в която човек се срамува и мълчи, е минута, в която може да въведе и картата, "за да приключи по-бързо".
Той не мълча. Спря на ЕГН-то и звънна. Това е защитата, която никой антивирус не продава.
В работилницата е същото. Чиракът, който те вика "майсторе, нещо не е наред с шева", е безкрайно по-ценен от чирака, който го шлайфа, докато изглежда добре. Грешката, която се казва навреме, е урок. Грешката, която се крие, е авария.
Чеклист за следващото "официално уведомление"
- Проверявам адреса на подателя, не името му.
- Задържам курсора върху бутона и чета домейна, преди да цъкна.
- Писмо с краен срок в часове и заплаха е подозрително по подразбиране.
- Институциите проверявам само през адрес, който съм написал сам.
- Не давам кодове, снимки на документи и данни за карта по имейл или телефон.
- Ако съм цъкнал - казвам на някого веднага, после действам по триажа.
- Подавам сигнал до cybercrime@mvr.bg и cert@govcert.bg с оригиналното писмо.
- Говоря за това с хората около мен - без срам и без лекции.
Ключови думи: фишинг, МВР, фалшив имейл, глоба, ЕГН, СУМПС, OSINT, ГДБОП, CERT България, киберсигурност, измама, e-uslugi.mvr.bg, SPF, DKIM, DMARC, urlscan, crt.sh
Източници и инструменти: e-uslugi.mvr.bg (официален портал на МВР), cybercrime.bg (ГДБОП), govcert.bg (CERT България), urlscan.io, virustotal.com, crt.sh. Разборът е направен по реален имейл, получен на 18.10.2026. Адресите на получателите и личните данни са премахнати.
toni@dtgarage:~$ whoami
Тони Ангелчовски | Ексклузивно за DTGaraGe
toni@dtgarage:~$ cat LICENSE
Копирането и препубликуването без разрешение не е позволено.
toni@dtgarage:~$ ./support.sh
Подкрепи DTGaraGe и независимото техническо съдържание
toni@dtgarage:~$ █
Тони Ангелчовски | Ексклузивно за DTGaraGe
toni@dtgarage:~$ cat LICENSE
Копирането и препубликуването без разрешение не е позволено.toni@dtgarage:~$ ./support.sh
Подкрепи DTGaraGe и независимото техническо съдържаниеtoni@dtgarage:~$ █
Last edited: