Фишинговые сайты банков имитируют блокировку, чтобы избежать отключения
Изображение: OpenAI
Фишинговые сайты банков показывают при повторном посещении поддельное уведомление о блокировке, чтобы избежать отключения, сообщает SecurityWeek. По данным компании по информационной безопасности Kela, кампания действует с мая и использует более 300 доменов.
Сайты запоминают IP-адрес каждого посетителя. При первом заходе человек видит поддельную страницу входа в интернет-банк, при повторном с того же адреса получает уведомление о блокировке аккаунта у хостинг-провайдера. Служба, которая добивается отключения фишинговых сайтов, может принять такую страницу за подтверждение блокировки, хотя новым посетителям по-прежнему показывают форму входа.
Из выявленных доменов 248 имитировали сайты 189 финансовых организаций США, преимущественно региональных банков среднего размера; на 25 октября у 183 из них оставались действующие двойники, а за предшествующую неделю появилось 49 новых доменов.
Исследователи выяснили, что кампания также нацелена на пользователей ещё в трёх странах: Великобритании, Австралии и Новой Зеландии.
По выводам Kela, злоумышленников интересуют главным образом учётные данные для доступа к корпоративным банковским сервисам и системам управления денежными средствами. Фальшивые страницы оформлены в фирменном стиле банков и запрашивают идентификатор пользователя и пароль. Как злоумышленники заманивают на них жертв, исследователи пока не установили.
Чтобы увидеть действующую фишинговую страницу, при каждой проверке нужен новый IP-адрес. Некоторые сайты показывают другие поддельные уведомления или перенаправляют посетителей на Google. Это мешает публичным сервисам сканирования получить полную картину кампании.
