Аналитики Group-IB обнаружили более 16 000 мошеннических ресурсов, на которых любителям футбола предлагали билеты на матчи чемпионата мира в Катаре, а также одежду и сувениры с официальной символикой FIFA 2022. Еще 66 таких ресурсов нацелены на российских болельщиков — под видом розыгрыша призов на фейковой странице трансляций футбольных матчей у зрителей похищали деньги и данные банковских карт.
Исследователи рассказывают, что владелец сети вредоносных сайтов, которые под видом прямых трансляций c матчей перенаправляют пользователей на скаммерские и фишинговые ресурсы, известен под ником Kinohoot. Он использовал аналогичную схему во время Летних Олимпийских игр в Токио 2020-го года и зимних Олимпийских игр в Пекине двумя годами позже. За несколько лет наблюдения за его активностью, эксперты зафиксировали 382 домена, зарегистрированных под различные схемы «развода», связанные со спортивными событиями.
Анонсы прямых трансляций мошенник размещает на взломанных страницах легальных сайтов, например, университетов. Сама схема обмана уже несколько лет остается одинаковой: на мошенническом сайте болельщикам предлагается поучаствовать в розыгрыше бесплатного доступа к трансляциям, открыв одну из 12 «коробочек», высвечивающихся на экране. Пользователю дается три попытки, чтобы выбрать коробку с денежным призом в размере 10 до 10 000 долларов. После двух неудачных попыток — третья всегда оказывается удачной.
Далее «победителя» по классическому сценарию просят оплатить небольшую «комиссию» за конвертацию — 300-500 рублей, для чего ему приходится вводить данные банковской карты. В итоге трансляция так и не начинается, а жертва теряет и деньги, и данные карты.
«Чтобы избежать блокировки сразу всех своих доменов, преступники оставляют активными только несколько сайтов, а остальные находятся в “спящем” режиме. Такие ресурсы могут быть запущены в считанные минуты в любой момент, при этом обнаружить и заблокировать их до активации достаточно сложно. Именно поэтому мы рекомендуем футбольным болельщикам быть бдительными и следовать элементарным правилам кибергигиены: не переходить по сомнительным ссылкам, проверять сайты, где вводите данные, и, разумеется, не оплачивать своей банковской картой покупки и услуги на незнакомых ресурсах», — говорит Глеб Мартьянов, главный эксперт CERT-GIB.
Помимо описанной схемы, решение Group-IB Digital Risk Protection обнаружило более 16 000 фейковых ресурсов, использующих тему чемпионата мира по футболу FIFA 2022 в Катаре, чтобы воровать данные и деньги любителей футбола.
Кроме фейковых трансляций, специалисты выделили четыре основных мошеннических сценария, которые преступники используют во время мундиаля. Например, мошенники массово регистрировали фейковые интернет-магазины на английском и арабских языках, где предлагали болельщикам приобрести фирменные футболки национальных сборных-участниц турнира, сувениры или билеты на матч. После того как жертва вводила данные своей банковской карты, информация оказывалась в руках у преступников, а деньги списывались.
В других сценариях злоумышленники предлагали заполнить анкету для получения ценного приза или трудоустройства в качестве волонтера на период чемпионата — опрос также оказывался ловушкой для кражи денег и персональных данных.
Чтобы защитить футбольных болельщиков от атак киберпреступников, Group-IB поделилась обнаруженными ресурсами с представителями Интерпола и группой реагирования на компьютерные инциденты Катара (Q-CERT).
