Новая фишинговая кампания собирает максимальное количество личных данных
Исследователи компании Akamai недавно обнаружили фишинговую кампанию , нацеленную на пользователей PayPal, которая крадет большое количество личной информации жертв, включая паспорта и фотографии. Фишинг проводится на взломанных веб-сайтах WordPress, что позволяет злоумышленнику избежать обнаружения.
Киберпреступник нацеливается на плохо защищенные веб-сайты и взламывает их вход в систему, используя список распространенных пар учетных данных, найденных в Интернете. Хакер использует этот доступ для установки модуля управления файлами, который позволяет загружать набор для фишинга на взломанный сайт. По словам Akamai, один из методов избежания обнаружения заключается в перекрестной ссылке IP-адресов на домены определенных ИБ-компаний.
Фишинговая страница максимально имитирует официальный сайт PayPal. Мошенник использует файл «.htaccess» для перезаписи URL-адреса, чтобы он не заканчивался расширением файла PHP. Это добавляет более правдоподобный вид, который придает легитимность. Кроме того, все GUI-элементы в формах стилизованы под тему PayPal, поэтому фишинговые страницы выглядят аутентично.
Киберпреступник может использовать всю эту информацию для различных незаконных действий:
«Загрузка государственных документов и селфи для их проверки — это более опасная угроза для жертвы, чем просто потеря информации о кредитной карте, эти данные можно использовать для создания торговых счетов в криптовалюте от имени жертвы. Затем их можно использовать для отмывания денег, уклонения от уплаты налогов или обеспечения анонимности для других киберпреступлений», - заявила Akamai.
Исследователи обнаружили, что функция загрузки файлов содержит уязвимость, которую можно использовать для загрузки веб-шелла и получения контроля над скомпрометированным веб-сайтом.
Учитывая огромное количество запрашиваемой информации, мошенничество может показаться очевидным. Однако, по словам исследователей Akamai, именно этот элемент социальной инженерии делает фишинг успешным.
«В наши дни люди судят о брендах и компаниях по их мерам безопасности», — говорят исследователи. Использование CAPTCHA с самого начала сигнализирует о наличии дополнительной проверки. Используя методы настоящих сервисов, злоумышленник укрепляет доверие жертвы.
В 2021 году от кражи личных данных пострадали 42 млн. человек, а общий ущерб составил $52 млрд. Для избежания потери данных пользователям рекомендуется внимательно проверять доменное имя страницы, запрашивающей конфиденциальную информацию, а также не указывать данные карты на сторонних сайтах.
Узнайте как на нашем канале