Il team Sicuranext ha scoperto e analizzato una infrastruttura criminale di proporzioni enormi in grado di replicare in massa e-commerce a immagine e somiglianza dei principali brand del lusso, cosmesi e abbigliamento. Grazie a un singolo server i cybercriminali hanno colpito 71 marchi globali, generando oltre mille siti web fraudolenti e rubando i dettagli di quasi 10.000 carte di credito in poche settimane.
Una truffa (quasi) perfetta
L’operazione di ingegneria sociale messa in atto dalla banda di attori malevoli presenta una struttura ingannevole altamente efficace, pensata proprio per non allarmare le vittime:
• Grazie a semplici e-mail di phishing gli utenti vengono portati su cloni perfetti degli e-store ufficiali. L’inganno è quasi impercettibile, basato su lievi alterazioni nel nome a dominio (es. la sostituzione di una “i” con una “l”).
• Al momento del pagamento, la vittima viene trasferita su un dominio secondario progettato per apparire come la fase finale dell’acquisto legittimo.
• Il pagamento viene rifiutato ma si tratta di un inganno. Il sistema, programmato proprio per rifiutare ogni singola transazione, spinge il cliente a utilizzare anche più di una carta di credito per effettuare la transazione. Momentaneamente non vi è alcun addebito, evitando così che la vittima si insospettisca e contatti la banca, ma nel frattempo, i dati completi della carta di credito vengono silenziosamente rubati e archiviati.
Il passo falso dei cyber-criminali
Nonostante l’efficienza della truffa, i criminali hanno commesso gravi errori di sicurezza nella gestione dei propri server, lasciando le “porte aperte” a chi come noi vede situazioni del genere all’ordine del giorno.
Il nostro team analizzando una singola mail di phishing è stato in grado di mettere a nudo l’intera infrastruttura, individuando le metodologie operative fino ad arrivare a scoprire l’origine dei cyber criminali e la scala massiva dell’operazione.
I nostri esperti di sicurezza informatica hanno inoltre scoperto che nel frattempo la quantità e qualità dei dati sottratti dalla banda di cyber criminali aveva fatto scaturire una vera e propria guerra tra hacker. Nel dark-web vari gruppi hanno iniziato a sabotarsi a vicenda per il controllo delle carte di credito rubate.
A causa di questi veri e propri scontri tra bande, l’operazione criminale si è trasformata in una minaccia moltiplicata: i dati personali e finanziari delle vittime non sono rimasti nelle mani di un solo gruppo, ma sono probabilmente stati esposti e prelevati da molteplici attori malevoli.
Info e rimedi per le aziende
• Monitorare la registrazione di domini Internet simili ai propri, metodologia sempre più diffusa per frodare i consumatori finali.
• Dotarsi di sistemi di risposta automatica, queste operazioni sono ormai troppo veloci per approcci tradizionali alla sicurezza.
Info e rimedi per i consumatori
• Verificare gli indirizzi web al momento del pagamento: i marchi ufficiali non elaborano pagamenti su domini storpiati o su estensioni economiche (come .shop o .us).
• Il campanello d’allarme del pagamento fallito: un sito che rifiuta la carta ma non mostra addebiti sull’estratto conto potrebbe aver appena clonato i dati.
• Agire preventivamente: poiché l’addebito non avviene in tempo reale, l’assenza di movimenti anomali sull’estratto conto non è garanzia di sicurezza. Se si sospetta di aver inserito i dati in un falso checkout, è fondamentale bloccare immediatamente la carta.
L’analisi completa svolta dal team Sicuranext è disponibile sul blog Sicuranext