Какво е ново
By:
Filters
DTGaraGe | Автомобили, Офроуд, Заваряване, Linux, AI

Регистрирайте безплатен акаунт днес, за да станете член! След като влезете, ще можете да участвате в този сайт, като добавяте свои собствени теми и публикации, както и да се свързвате с други членове чрез вашата лична пощенска кутия!

Cybersecurity Фишинг с герба на МВР: разбор на "Официално уведомление UV-2026-4841"

Фишинг с герба на МВР: разбор на "Официално уведомление UV-2026-4841"​

fishing-mvr-banner.png

Едно писмо, един бутон, едно ЕГН. Как се разглобява измама, която се облича в униформа.

Неделя, 18 октомври, малко след обяд. Звъни ми приятел. Гласът е на човек, който знае, че е сбъркал, но още не знае колко.

"Тони, получих имейл от МВР за нарушение. Цъкнах. Въведох си ЕГН-то. После ми светна."

Първата ми реакция беше да му се скарам. Говорили сме за това, знае, че не се цъка. Но факт - цъкнал е. Казах му да ми препрати писмото и да ми прати снимка на сайта, който му се е отворил. Първият ми въпрос беше един: "Какво точно попълни?" Само ЕГН. Нито карта, нито код. Издишахме и двамата.

Пиша тази тема не защото приятелят ми е наивен. Пиша я, защото писмото е направено така, че да мине през наивността на всички ни. Гербът е истински, езикът е бюрократичен, страхът е измерен в часове. Историята е истинска, писмото е истинско, снимките в темата са от неговата поща и от неговия екран.

Нека го разглобим като скоростна кутия - болт по болт.


Какво пристигна​


Заглавие: "Официално уведомление - UV-2026-4841". Подател: "ONLINE.MBP". Вътре - гербът на МВР, сухо съобщение за "регистрирано административно нарушение, което очаква потвърждение" и голям син бутон "Прегледайте нарушението".

Под бутона - две цветни кутии. Жълтата казва, че без действие в рамките на 48 часа случаят отива за "допълнителна обработка" с разходи. Червената е по-директна: глобата ще бъде удвоена, а от шофьорската книжка ще бъдат отнети точки.
fishing-mvr-email.png

Бутонът води към страница, която е почти пиксел по пиксел копие на портала за електронни услуги на МВР - "Обобщена проверка на задължения по фиш, НП или споразумение". Полета за ЕГН, тип допълнителни данни и номер на СУМПС. Бутон "Провери". Банер за бисквитки. Всичко е на мястото си.Историята е истинска, писмото е истинско.
fishing-mvr-site.png

Почти всичко.

OSINT разбор: седем червени флага​


  1. Подателят. Адресът е dg_mamonde@faa[.]mil[.]ar - военен домейн от Аржентина. МВР не праща уведомления от Южна Америка. Най-вероятно е компрометиран акаунт или подправен подател, но и в двата случая няма нищо общо с България.
  2. "MBP" вместо "МВР". Името на подателя е написано с латински букви, които приличат на кирилица. Класически трик за минаване покрай филтри и покрай окото.
  3. Масово изпращане. В полето "До" има петнадесетина случайни адреса от abv.bg, mail.bg и dir.bg. Държавна институция не уведомява за лично нарушение с открит списък на чужди хора.
  4. Нито име, нито номер на фиш, нито сума. "Регистрирано нарушение" без регистрационен номер на кола, без дата, без място. Истинското уведомление е конкретно. Фалшивото е мъгливо, за да пасне на всеки.
  5. Часовник и заплаха. 48 часа, удвояване, точки. Това не е административен език, а натиск. Целта е да действаш, преди да помислиш.
  6. Домейнът. Сайтът е на hxxps://auth-sumup-com[.]ggff[.]net/invoice/MVR/ - смес от името на платежна услуга и случаен домейн. Истинският портал е на e-uslugi.mvr.bg. Всичко друго е чужд гараж с откраднат надпис.
  7. Подписът на кита. Долу вдясно във футъра на фалшивия портал пише "Версия: PHP Demo 1.0". Това е готов фишинг комплект, който някой е купил или изтеглил и не си е направил труда да изчисти.

Гербът се копира с десен бутон. Домейнът не може да се копира. Затова гледай адреса, не картинката.​
Click to expand...


Как се разглобява такъв имейл​


Не е нужно да си в ГДБОП, за да провериш едно писмо. Трябват ти пет минути и малко любопитство.

Хедърите. В Gmail - трите точки до писмото, "Show original". В abv.bg има подобна опция за изходния код на съобщението. Търсиш редовете Received (през кои сървъри е минало) и резултатите за SPF, DKIM и DMARC. Ако подателят твърди, че е институция, а SPF и DMARC падат или домейнът е съвсем друг - имаш отговор.

Домейнът. WHOIS показва кога е регистриран и през кой регистратор. Фишинг домейните обикновено са на дни или седмици. crt.sh показва SSL сертификатите, издадени за домейна и поддомейните му - често виждаш цяла колекция от фалшиви "auth-", "pay-", "invoice-" имена на едно място.

Code: 
whois ggff.net
dig +short auth-sumup-com.ggff.net
dig +short MX faa.mil.ar
# сертификати: https://crt.sh/?q=ggff.net

Сайтът - без да го отваряш. urlscan.io зарежда страницата в техен браузър и ти дава снимка, мрежови заявки и къде отиват данните от формата. VirusTotal показва дали антивирусните двигатели вече са маркирали адреса. Така гледаш врага през бинокъл, а не през ключалката на собствената си врата.

Дефангване. Когато споделяш такъв линк във форум или чат, пиши hxxps и [.] вместо точки. Така никой не цъка случайно, а и платформите не го превръщат в активна връзка.


Защо искат първо само ЕГН​


Логично е да се запиташ - какво ще правят с едно ЕГН? Отговорът е, че ЕГН-то рядко е крайната цел. То е първата стъпка от фуния.

Типичният сценарий при такива китове изглежда така: въвеждаш ЕГН и номер на книжка, системата "намира" глоба с правдоподобна сума, предлага ти "отстъпка при плащане сега" и те праща към форма за карта. После идва SMS код за 3D Secure, който въвеждаш, защото "това е стандартна процедура". И парите излизат.

Приятелят ми е спрял на първото стъпало. Това е добрият край на историята.

Но и само ЕГН не е нула. То е суровина за следващата измама - обаждане "от банката" или "от полицията", в което непознатият цитира ЕГН-то ти, за да звучи легитимно. Затова изтеклото ЕГН значи едно: всяко обаждане, което го знае, е подозрително по подразбиране.


Цъкнах. Сега какво?​


Самото отваряне на страницата при такъв тип сайт обикновено не е бедата. Важно е какво си въвел. Ето триажа, подреден по спешност.

Въвел си карта или SMS код​

  • Веднага звъниш в банката на номера от гърба на картата. Не след обяд, не утре.
  • Блокираш картата и оспорваш всяко плащане, което не си правил.
  • Казваш изрично, ако си въвел 3D Secure код - това променя разговора с банката.

Въвел си ЕГН, номер на книжка или други лични данни​

  • Никакви кодове, снимки на лична карта или "защитни сметки" по телефона - на никого.
  • При обаждане "от институция" затваряш и звъниш сам на официалния номер.
  • По желание - справка в Централния кредитен регистър към БНБ, за да видиш дали има кредити на твое име. Повтаряш я след няколко месеца.
  • Подаваш сигнал, за да има документиран инцидент, ако нещо изникне по-късно.

Нищо не си въвел​

  • Затваряш таба, триеш писмото, маркираш го като фишинг в пощата.
  • Ако искаш спокойствие за глобите - отваряш e-uslugi.mvr.bg, като пишеш адреса ръчно, и проверяваш там.


Къде се подава сигнал​


Едно писмо стига и до двете места - ГДБОП в полето "До", CERT в "Копие".

ГДБОП, киберпрестъпления: cybercrime@mvr.bg или през cybercrime.bg.

CERT България: cert@govcert.bg - те работят по свалянето на такива сайтове.

Прикачваш оригиналния имейл като файл (не само препратен текст, за да се виждат хедърите), снимка на сайта и линка в дефангнат вид. Пишеш кратко и фактически: кога, от кой адрес, какво пише, какво си въвел. Без емоции, без "моля ви спешно" - фактите вършат работата.


От гаража: обаждането, което има значение​


Признавам - първата ми реакция беше да се ядосам. Колко пъти сме го говорили. Но половин час по-късно, докато пишехме сигнала до ГДБОП и CERT и той го пращаше от своята поща, ми стана ясно кое е важното в тази история.

Не цъкването. Обаждането.

Писмото е направено да те изолира. Часовникът тиктака, глобата се удвоява, точките изчезват - и ти си сам с бутона. Измамата печели в тишината между "цъкнах" и "казах на някого". Всяка минута, в която човек се срамува и мълчи, е минута, в която може да въведе и картата, "за да приключи по-бързо".

Той не мълча. Спря на ЕГН-то и звънна. Това е защитата, която никой антивирус не продава.

В работилницата е същото. Чиракът, който те вика "майсторе, нещо не е наред с шева", е безкрайно по-ценен от чирака, който го шлайфа, докато изглежда добре. Грешката, която се казва навреме, е урок. Грешката, която се крие, е авария.

Не наказвай обаждането. Иначе следващия път ще ти звъннат, след като са въвели и картата.​
Click to expand...


Чеклист за следващото "официално уведомление"​

  • Проверявам адреса на подателя, не името му.
  • Задържам курсора върху бутона и чета домейна, преди да цъкна.
  • Писмо с краен срок в часове и заплаха е подозрително по подразбиране.
  • Институциите проверявам само през адрес, който съм написал сам.
  • Не давам кодове, снимки на документи и данни за карта по имейл или телефон.
  • Ако съм цъкнал - казвам на някого веднага, после действам по триажа.
  • Подавам сигнал до cybercrime@mvr.bg и cert@govcert.bg с оригиналното писмо.
  • Говоря за това с хората около мен - без срам и без лекции.

Ключови думи: фишинг, МВР, фалшив имейл, глоба, ЕГН, СУМПС, OSINT, ГДБОП, CERT България, киберсигурност, измама, e-uslugi.mvr.bg, SPF, DKIM, DMARC, urlscan, crt.sh

Източници и инструменти: e-uslugi.mvr.bg (официален портал на МВР), cybercrime.bg (ГДБОП), govcert.bg (CERT България), urlscan.io, virustotal.com, crt.sh. Разборът е направен по реален имейл, получен на 18.10.2026. Адресите на получателите и личните данни са премахнати.
toni@dtgarage:~$ whoami
Тони Ангелчовски | Ексклузивно за DTGaraGe
toni@dtgarage:~$ cat LICENSE
🔒 Копирането и препубликуването без разрешение не е позволено.
toni@dtgarage:~$ ./support.sh
☕ Подкрепи DTGaraGe и независимото техническо съдържание
toni@dtgarage:~$ █​
 
Last edited:
Click to expand...
Top Bottom
🛡️ Този сайт използва аналитични инструменти за подобряване на потребителското изживяване. Никакви лични данни не се събират. С продължаването си в Потока приемаш тази философия на прозрачност и уважение.