6 октября 2020

Звонок в пустоту: Group-IB предупреждает о новой мошеннической схеме с использованием бренда Zoom

Group-IB, международная компания, специализирующаяся на предотвращении кибератак, обнаружила новую мошенническую схему с использованием бренда популярного сервиса видеоконференций Zoom. Под видом получения денежной компенсации «в связи с COVID-2019» или за подписку на сервис, пользователей заманивают на мошеннические сайты, где похищают деньги и данные банковских карт. Group-IB предупредила Zoom об угрозе.

С началом пандемии и переходом на удаленную работу сервисы для видеоконференций получили заслуженное признание — например, число одних только пользователей Zoom в марте увеличилось в 20 раз — до 200 млн участников видеоконференций в день, а капитализация компании за последний год выросла на 127% — до $41,6 млрд. Вполне естественно, что новую популярную тему решили использовать в своих преступных схемах интернет-мошенники.

С начала 2020 года CERT-GIB зафиксировал появление около 15 300 доменов, содержащих название Zoom — всплеск пришелся именно на период дистанционной работы. Опасность в том, что на схожих доменных именах могут размещаться фишинговые страницы, использующиеся для кражи персональной информации — логинов, паролей и т.д, и весной мы предупреждали о появлении в даркнете объявления о продаже учетных записей 4000 аккаунтов пользователей Zoom. Однако злоумышленники на этом не остановились и в новой мошеннической схеме, которую обнаружил CERT-GIB, использовался не фейковый, а оригинальный сервис Zoom.

Получите — распишитесь

Исследование началось после того, как в CERT-GIB обратились пользователи с жалобой на мошеннические письма, которые они получили от сервиса Zoom. Людям предлагали компенсацию «в связи с COVID-2019». Чтобы получить деньги, необходимо было перейти по указанной ссылке, после чего пользователя перенаправляли на различные мошеннические сайты, где у жертвы похищали деньги и данные банковских карт.

Аналитики CERT-GIB быстро установили, что письма были отправлены не с фейкового домена, а от официального сервиса. Все дело в том, что при регистрации Zoom предлагает пользователю заполнить профиль — указать «Имя» и «Фамилию», предоставляя возможность вставить до 64-х символов в каждое поле. Мошенники используют эту возможность, вставляя фразу: «Вам положена компенсация в связи с COVID-19» и указывают ссылку на мошеннический сайт.


Сама рассылка мошеннических сообщений также происходит с использованием возможностей сервиса. После регистрации Zoom предлагает новому клиенту пригласить до десяти новых пользователей, указав их почтовый адрес. Мошенники вводят адреса потенциальных жертв, которым приходит официальное уведомление от имени команды сервиса видеоконференций (no-reply@zoom[.]us), но с содержанием, которое сгенерировали интернет-аферисты.

Компенсация, которой нет

В одной из рассылок, которую проанализировал CERT-GIB, говорилось, что денежную компенсацию можно забрать сайте http://uglava.com (в настоящее время он заблокирован). В случае перехода по ссылке пользователей перекидывали на другие мошеннические ресурсы: «Официальный компенсационный центр», «Экспресс-лотерея», «Банк-онлайн (Вам поступил денежный перевод)», «Гранд опрос» и «Фонд финансовой поддержки потребителей»


Дальнейшая механика обмана напоминает описанную нами в апреле 2020 года схему «Двойной обман». После того, как жертва переходила на упомянутые сайты, ей предлагали ввести 4 или 6 последних цифр номера ее банковской карты. Мошенники рассчитывали «компенсацию» для пользователя: от 30 000 до 250 000 рублей. Но для того, чтобы получить эти деньги, жертва должна была оплатить небольшую сумму «за юридическую помощь в заполнении анкеты» — около 1 000 рублей. В результате пользователи вводили данные «пластика» (номер, имя владельца, срок действия, CVV-код) на мошенническом ресурсе — в результате теряли и деньги, и данные банковской карты.

В этой схеме мошенники эксплуатируют популярность бренда сервиса Zoom. Так как письмо отправлено с официального сервиса, злоумышленники не только получают гарантию доставки писем до адресатов, но и то, что часть обманутых пользователей кликнут на ссылку, указанную в профиле и перейдут на мошеннический сайт. Сервису Zoom необходимо внедрить более тщательную проверку данных, которые вводит пользователь при регистрации аккаунта, а также полностью запретить использование сторонних ссылок в профиле".

Ярослав Каргалев

Ярослав Каргалев

Заместитель руководителя CERT Group-IB

Group-IB — один из ведущих разработчиков решений для детектирования и предотвращения кибератак, выявления мошенничества, расследования высокотехнологичных преступлений и защиты интеллектуальной собственности в сети со штаб-квартирой в Сингапуре. Центры исследования киберугроз компании находятся на Ближнем Востоке (Дубай), в Азиатско-Тихоокеанском регионе (Сингапур), в Европе (Амстердам) и в России (Москва).

Система сбора данных о киберугрозах Group-IB Threat Intelligence & Attribution признана одной из лучших в мире по версии Gartner, Forrester, и IDC. Решение Group-IB Threat Hunting Framework (ранее — TDS) для проактивного поиска и защиты от сложных и неизвестных киберугроз получило признание ведущего европейского аналитического агентства KuppingerCole Analysts AG, а компания Group-IB вошла в число лидеров рынка в категориях «Product Leader» и «Innovation Leader». Технологии Group-IB по защите от онлайн-мошенничества в интернет-банкинге и сервисах электронной коммерции Fraud Hunting Platform получили признание Gartner, агентство присвоило Group-IB статус надежного поставщика в категории «Решения по выявлению онлайн-мошенничества». Решение Digital Risk Protection для выявления и устранения цифровых рисков, а также противодействия атакам с неправомерным использованием бренда получило престижную премию Innovation Excellence от глобального консалтингового агентства Frost & Sullivan.

В основе технологического лидерства компании и ее возможностей в сфере научных исследований и разработки — 18-летний практический опыт расследования киберпреступлений по всему миру и более 65 000 часов реагирования на инциденты информационной безопасности, аккумулированные в одной из крупнейших лабораторий компьютерной криминалистики, департаменте расследований и круглосуточном центре оперативного реагирования CERT-GIB.

Компания является резидентом «Сколково» и Иннополиса. Group-IB — партнер Europol.

Опыт Group-IB в поиске угроз и киберразведке был интегрирован в спектр решений, объединивший чрезвычайно сложное программное и системное обеспечение, с целью мониторинга, обнаружения и предотвращения кибератак.

Миссия Group-IB — защищать наших клиентов в киберпространстве, создавая и используя инновационные продукты и решения.

>

Сообщить об инциденте

Центр круглосуточного реагирования на инциденты
информационной безопасности +7 495 984-33-64

Отправляя форму, даю согласие на обработку своих персональных данных в соответствии с Федеральным законом «О персональных данных» от 27.07.2006 № 152-ФЗ
Спасибо, мы свяжемся с Вами в самое ближайшее время
Сообщить об инциденте