Мошенники придумали новогоднюю ловушку с вишлистами для кражи аккаунтов в мессенджерах

Киберпреступники используют предновогоднюю суету и списки желаемых подарков, чтобы захватывать аккаунты россиян в мессенджерах, и пользователям присылают сообщения якобы от технических служб платформ с предложением посмотреть вишлист знакомого, а ссылка ведёт на поддельную страницу, где выманивают мобильные номера, коды подтверждения и пароли двухфакторной аутентификации. В компании «Кросстех» сообщили ТАСС, что ближе к праздникам злоумышленники могут перейти к игре «Тайный Санта» и использовать её для новых фишинговых кампаний.

До праздников ещё есть время, но аферисты уже готовят тематические ловушки, ведь вишлисты, то есть списки вещей, которые человек хотел бы получить в подарок, давно служат для обмена пожеланиями между друзьями, коллегами и родственниками, и привычность формата превращает его в удобную приманку для социальной инженерии. По информации аналитиков сервиса мониторинга цифровых угроз Smart Business Alert, преступники рассылают сообщения от имени технических аккаунтов мессенджеров и предлагают ознакомиться со списком, который якобы опубликовал кто-то из контактов, а вместо подарков посетитель попадает на фишинговый ресурс, где его просят пройти проверку на робота или подтвердить личность и вводить номер, код из SMS или сообщения мессенджера, а в отдельных случаях пароль двухфакторной аутентификации.

Процедура кажется привычной, и это работает на злоумышленников:

• сервисы действительно используют подтверждение личности и проверки при входе, и сбор сведений маскируют под обычную техническую процедуру;
• человек думает, что открывает список подарков, а фактически передаёт данные для захвата учётной записи;
• одного номера для авторизации во многих сервисах мало, поэтому мошенники добиваются одноразового кода или пароля второго фактора и используют их для входа в аккаунт от имени владельца.

Аналитики Smart Business Alert предположили, что ближе к праздникам таких предложений станет больше, и следующей приманкой может стать «Тайный Санта», игра, где участники случайно получают имена тех, кому готовят подарки, ведь достаточно предложить узнать, кому достанется подарок, или посмотреть итоги распределения, и любопытство подтолкнёт к переходу по ссылке, а сложная легенда не нужна, достаточно имитировать сервис игры, поставить форму подтверждения личности и попросить ввести код из сообщения, и участник рискует потерять доступ к аккаунту.

Пользователям стоит проверять отправителей таких сообщений и не переходить по ссылкам из неожиданных уведомлений, даже если в них упомянуты знакомые, а если друг действительно поделился вишлистом или зовёт в «Тайный Санта», это лучше уточнить у него по известному каналу связи, и ни при каких обстоятельствах нельзя передавать посторонним одноразовые коды, пароли и данные для восстановления доступа, ведь настоящим техническим службам мессенджеров такие комбинации не нужны.

Ранее сообщалось, что россиянам объяснили, какие пункты в согласии на обработку персональных данных могут обернуться проблемами. Ирина Сычева посоветовала выяснять, кто получит данные и как долго их будут хранить.