Najpierw OLX, teraz Allegro

Wszystko wskazuje na to, że rosyjskojęzyczne grupy, odpowiedzialne za kampanie, wyłudzające dane kart na fałszywych stronach OLX, rozszerzają swoje zainteresowania na serwis Allegro. CERT Orange Polska obserwuje w ostatnich dniach wzrost kampanii, podszywających się pod Allegro Lokalnie.

Bez wątpienia kluczową przyczyną jest fakt, iż są to serwisy o bardzo podobnym profilu i praktycznie tożsamym interfejsie, więc migracja nie jest dla przestępców większym problemem.

Przypomnijmy na czym polega sposób działania sprawców:

• Znajdują na prawdziwym serwisie istniejącą ofertę
• Generują jej kopię pod fałszywym adresem
  • Udało nam się „metodami operacyjnymi” dotrzeć do panelu przestępców, pozwalającego na generowanie jednym klikiem witryny na bazie prawdziwego linku
• Wysyłają przez komunikator WhatsApp wiadomość w treści której widać wyraźny wschodni akcent, do sprzedającego, że dokonali płatności, podając witrynę za pośrednictwem której rzekomo może odebrać pieniądze
• Po kliknięciu ofiara jest przekonywana do wpisania danych karty płatniczej na który mają być wpłacone pieniądze (numer, data ważności, kod CVV)
• W przypadku problemów z płatnością możemy skorzystać z czatu z operatorem, który – po werbalnym sprowokowaniu – okazuje się być osobą rosyjskojęzyczną.

Przez ostatnie tygodnie domen, podszywające się pod OLX, pojawiały się dziesiątkami, można się więc zapewne spodziewać podobnych sytuacji z Allegro Lokalnie. Jak wskazuje analiza certyfikatów, rejestrowanych dla jednej z domen przestępców (kassa-payment.net.ru) oszuści nie ograniczają się do polskich OLXa, czy Allegro. W przypadku tej pierwszej firmy podszywają się również pod domeny ukraińskie, rumuńskie, bułgarskie, portugalskie, czy… kazachskie, a nawet fińskie. W ogóle o ile na liście jest szereg domen polskich i ukraińskich, ku naszemu zaskoczeniu pojawia się sporo stron, udających rosyjskie. To rzadkość w przypadku przestępców ze wschodu, którzy często działają pod parasolem służb specjalnych, w zamian „nie zwracając uwagi” na domenę .ru.

Analiza działania tej i wielu innych grup wskazują na to, iż zaczynając od rynku rosyjskiego powoli otwierają się na kolejne. Jakość treści, publikowanych podczas kolejnych kampanii, wskazuje, że oszuści miesiąc po miesiącu radzą sobie coraz lepiej z niuansami polszczyzny. W sytuacji, gdy na celowniku przestępców pojawiają się Allegro Lokalnie, naprawdę warto BARDZO uważać. Patrzcie dokładnie na linki, przyglądajcie się im na całej długości. My staramy się jak możemy. Póki co szybko karmimy CyberTarczę kolejnymi domenami, i jedyne problemy, z którymi mieliśmy do czynienia w mailach od Was, wyglądały tak:

Jak się możecie domyślać, w tym przypadku pomocy odmówiliśmy 🙂