Rapid7 посчитала мишени: 885 000 номеров и одна поддельная страница кошелька
Компания по кибербезопасности разобрала криптовую фишинговую схему и нашла размер рассылки: 885 000 телефонных номеров. Приз в конце — ровно то, что кошелёк запрещает вам вводить на сайтах.
Компания Rapid7 опубликовала подробности фишинговой кампании, устроенной по очень простому принципу: разошли сообщение достаточному числу телефонов — и у кого-нибудь из них найдётся крипта. В списке, который описала Rapid7, 885 000 номеров. Это примерно население среднего европейского города, все его взрослые жители, которым написали одновременно.
Сообщение ведёт на сайт, похожий на страницу вашего кошелька. Тот же логотип, та же вёрстка, тот же спокойный тон. Страница просит «восстановить» или «подтвердить» кошелёк — на практике это значит ввести seed-фразу, те самые 12 или 24 слова, которые и есть ваш кошелёк. Отдали их — деньги уходят раньше, чем вы закроете вкладку. Rapid7 назвала число мишеней. Сколько людей повелось, не назвал никто, а это как раз главная цифра.
Представьте холодный обзвон, только связь почти бесплатная, а одно попадание окупает весь день. Базы номеров стоят копейки и годами кочуют от утечки к утечке. Атакующий не знает, у кого из 885 000 человек есть крипта, — в этом весь смысл. Фильтром работает само сообщение. Кто испугался и кликнул, тот сам о себе и сообщил.
А ценной крипту делает то, чего вы никогда не чувствуете в банке. У карточного мошенничества есть телефон поддержки, заявление и целый отдел, чья работа — всё отыграть назад. У кошелька ничего этого нет.
В крипте нет чарджбэка. Одна отсутствующая функция — и на ней держится весь бизнес этих людей.
И вот здесь история перестаёт быть про крипту. Тот же механизм — купленная база, скопированная страница, сообщение под видом поддержки — прекрасно работает с банковскими приложениями, службами доставки и налоговыми возвратами. Крипта просто та версия, где деньги уходят навсегда. Если вы когда-нибудь удивлялись, почему мошеннические сообщения приходят прямо-таки промышленными объёмами, — так и есть. 885 000 — это одна кампания, из исследования одной компании, в один момент времени.
Всех, у кого на телефоне стоит приложение-кошелёк с парой сотен долларов внутри: первая крипта у большинства людей до 30 лежит именно там, и это самые лёгкие деньги в мире, которые можно потерять за полторы минуты. А ещё тех, кто купил немного монет в 2021-м, забыл про них и вполне может поверить сообщению, что кошелёк спустя столько лет нужно «подтвердить». И, тихо, всех остальных из этих 885 000, кто крипту в глаза не видел: сообщение им всё равно пришло, а значит, их номер лежит в базе с пометкой «стоит попробовать».
Следить за двумя вещами. Первое: опубликуют ли Rapid7 или сами кошельки, под которые маскировались, список поддельных доменов — как только имена известны, браузеры и регистраторы начинают их блокировать, обычно за считаные дни. Второе: всплывёт ли та же схема на новых доменах через неделю-другую — обычно так и бывает, страницы дешёвые, база многоразовая. Если кошельки выпустят адресные предупреждения своим пользователям, значит, кампания сработала достаточно больно. Тишина обычно означает, что никто не считал.
Ни одно приложение-кошелёк никогда не спрашивает seed-фразу на веб-странице. Ни для подтверждения, ни для переезда, ни для поддержки. Если страница спрашивает — страница и есть атака, второго толкования нет. А теперь загляните в сообщения, которые вы удалили на прошлой неделе. Под какой бренд они маскировались?
Источники: исследование Rapid7 о фишинговой кампании; Cointelegraph — материал о результатах исследования.