Буфер обмана: киберпреступники "заразили" 5 тыс. сайтов в Рунете

В начале июля россияне массово подверглись атаке с автоматическим перенаправлением с легальных сайтов интернет-магазинов на порталы мошенников.

Там под предлогом распродаж у пользователей могут украсть деньги, сообщили "Известиям" в "Лаборатории Касперского". Вредоносным скриптом заражено более 5 тыс. сайтов, с этим сценарием столкнулись минимум 35 тыс. человек. Обманы на онлайн-распродажах стали актуальны, когда уходящие из России ритейлеры начали реализовывать товары через интернет-площадки, пояснили эксперты в области кибербезопасности. Вместе с тем онлайн-магазины не зафиксировали всплеска мошеннических сайтов, эксплуатирующих их бренды.

С одного на другой

Схема обмана, которая получила активное распространение в начале июля, предполагает, что изначально пользователь заходит на легитимную страницу из поисковой выдачи, а после этого автоматически перенаправляется на портал злоумышленников, рассказала "Известиям" эксперт по кибербезопасности в "Лаборатории Касперского" Дарья Иванова. Она уточнила, что зараженные сайты принадлежат организациям из совершенно разных отраслей: в частности, туризма, производства, онлайн-ритейла, образования. Если портал заражен, то человек переходит на фишинговый ресурс, который мимикрирует под крупный онлайн-магазин с большими скидками. Конкретные бренды магазинов в "Лаборатории Касперского" не назвали.

— Часто пользователи могут посчитать, что страница с выгодным предложением открывается в качестве акции от партнера. На фишинговой странице у пользователя выманивают личную и платежную информацию: адрес, ФИО, а главное — сведения о банковской карте. Как правило, на таких ресурсах карта выступает единственным доступным способом оплаты товара по скидке. После ввода данных карты они уходят злоумышленникам, а товар не доставляется, — пояснила Дарья Иванова.

По ее словам, это не новая схема. Но обычно люди попадают на фишинговые ресурсы из рассылок в почте и мессенджерах, на такой ресурс также можно перейти по ссылкам, которые распространяются в соцсетях или даже через рекламу в поисковой выдаче. Но важно отметить, что в этих случаях пользователь должен сам кликнуть на ссылку, которая зачастую сопровождается сомнительным контентом. Однако в новом сценарии переброс на мошеннический сайт осуществляется с легитимного и к тому же автоматически, что не вызывает у пользователя недоверие.

Вредоносным скриптом, который реализует эту схему мошенничества, к 5 июля оказалось заражено более 5 тыс. сайтов, сообщила Дарья Иванова. Она отметила, что подавляющее большинство таких ресурсов — российские, однако есть примеры из Белоруссии, Казахстана, Узбекистана. Всего за четыре дня (с 1 по 4 июля) с мошенничеством столкнулись более 35 тыс. пользователей, следует из данных "Лаборатории Касперского".

"Известия" направили запрос крупнейшим онлайн-ритейлерам о том, фиксируют ли они всплеск фишинговых доменов, имитирующих бренд компании. В "Ситилинк" сообщили, что видят практику, когда мошенники заводят фейковые сайты с наименованием бренда компании. При этом на данный момент существенной активизации такого вида мошенничества ритейлер не заметил. Популяризации этого сценария обмана также не видят в Wildberries, сообщили в пресс-службе.

В контексте распродаж

Мошенники традиционно становятся более активными в период сезонных распродаж и праздничных скидок, отметил ведущий специалист департамента анализа защищенности Digital Security Вадим Шелест. Он пояснил: новости об уходе известных брендов широко тиражируются в СМИ и подогревают интерес доверчивых покупателей. Находясь в предвкушении финальных скидок и распродаж остатков продукции уходящих брендов, люди попадаются на удочку злоумышленников.

Например, в июне ИКЕА сообщила, что не видит возможности возобновить работу в России в обозримом будущем, а на 5 июля была намечена распродажа товаров онлайн. Кроме того, в июне в каталоге Wildberries появились одежда и товары группы Inditex (марки Zara, Massimo Dutti и Pull & Bear), которая до сих пор не возобновила розничную работу в России после закрытия магазинов в марте.

Если злоумышленники получат аналитические данные о пользователях и их поисковых запросах, а также грамотно настроят контекстную рекламу на перенаправляемых ресурсах, то атаки с переброской на фишинговые сайты могут оказаться эффективными, считает аналитик исследовательской группы Positive Technologies Федор Чунижеков. Он подчеркнул: перенаправление происходит с ресурса, которому человек доверяет, поэтому он может не заподозрить, что оказался на мошенническом сайте.

— В случае использования фишинговых страниц различных интернет-магазинов граждане рискуют отправить злоумышленникам реквизиты своих банковских карт, данные для входа в личный кабинет, сообщения с кодами двухфакторной аутентификации. В некоторых случаях пользователи ставят под угрозу безопасность своих устройств, потому что на них может быть загружено вредоносное ПО, — отметил Федор Чунижеков.

В киберпреступном мире сейчас формируются целые группировки, которые создают инструмент для автоматизации фишинговых атак на пользователей, отметил Вадим Шелест из Digital Security. Именно поэтому такого рода мошенничества набирают популярность.

В июне-июле в Роскомнадзор не поступали решения в отношении фишинговых сайтов с распродажами, а также сайтов, использующих рекламу крупных брендов, сообщили "Известиям" в службе. Всего с начала года удалено и заблокировано 4144 интернет-ресурса с информацией о незаконной финансовой деятельности, в том числе мошеннических сайтов.