Il monitoraggio D3Lab ha portato nella giornata odierna al rilevamento di un tentativo di frode ai danni dei clienti Findomestic Banca, veicolato attraverso l’invio di almeno due differenti messaggi di posta elettronica.

Sono infatti stati individuati due url finali differenti strutturati, grazie all’uso di wildcard per il dominio di terzo livello, in modo da trarre in inganno gli utenti visualizzando nella barra degli indirizzi la la stringa  https.secure.findomestic.it.

L’attacco è portato facendo uso di 4 domini compromessi, due per i redirect, due per le destinazioni, posizionati sul medesimo host thailandese, attraverso i cui pannelli di gestione dei dns sono stati abilitati i terzi livelli con wildcard.

Tutti gli url così realizzati puntano ad un medesimo indirizzo ip statunitense dove è possibile visualizzare le due pagine web fraudolente realizzate al fine di catturare i dati di carta di credito e le credenziali di posta elettronica dei clienti Findomestic.

Al termine della procedura le vittime sono riportate su pagine del legittimo sito web Findomestic.

D3Lab ha rilevato in data odierna un tentativo di phishing a danno degli utenti CheBanca.

La mail di phishing, partita da un host belga, presenta le seguenti caratteristiche:

mittente apparente: [email protected]

oggetto: Inattività del suo conto

testo del messaggio (in base 64):

————————————————————————————————————

In filiale ti sono state consegnate 2 buste contenenti le tue credenziali:

    La Tessera Personale, su cui sono indicati il tuo Codice Cliente e i Codici Dispositivi.

    Il Codice di Accesso.

Le credenziali sono ora attive e pronte per essere utilizzate!

Per inattività del suo conto, le chiediamo di aggiornare il suo conto effettuando

l’accesso nella sua area clienti.

Nell’Area Clienti alla sezione Conto Tascabile>Informazioni > Informazioni sul Conto trovi la copia del Modulo di Apertura firmato

da CheBanca! a conferma dell’attivazione del conto.

» Accedi ai servizi online

Con i nostri migliori saluti,

CheBanca! S.p.A.

————————————————————————————————————

dove “Accedi al servizio online” celava il link ad una singola  pagina fraudolenta inoculata in sito web messicano,

nella quale era richiesto all’utente il codice cliente, la data di nascita ed il pin, da digitare con il tastierino virtuale.
Inseriti i dati si approdava al sito legittimo di CheBanca.

Il dominio messicano è stato messo off-line mentre redigevamo il presente articolo.

Il 14 Dicembre 2013 abbiamo riportato la presenza in rete di tentativi di phishing a danno dei clienti Carrefour portati attraverso l’invio di falsi sms promozionali in realtà non provenienti dalla rete Carrefour, ma inviati in massa da cyber criminali.

Nella giornata di ieri, primo dell’anno, D3Lab è stata contattata telefonicamente da utenti che richiedevano conferma della veridicità o meno del messaggio giunto sui dispositivi mobili nel quale si prospettava la possibilità di ricevere un buono spesa da 300 Euro:

“Carrefour.: Congratulazioni, vai sul sito internet www.carrefourspa.org e richiedi il buono spesa da 300 euro Fondo aiuto alle famiglie MINISTERO SVILUPPO ECON.“

L’analisi delle statistiche del nostro sito web ha evidenziato un improvviso interesse per l’articolo relativo alla frode in questione

con i visitatori che vi giungono con ricerche mirate a trovare conferma della veridicità di un’offerta tanto allettante.

L’evidente impennata di visualizzazioni avutasi nella giornata di ieri ed i nuovi commenti inseriti dai visitatori all’articolo dello scorso 14 Dicembre, sono chiari indicatori della diffusione di un nuovo tentativo di phishing, finalizzato a condurre i destinatari dell’sms

fraudolento sulle pagine clone posizionate all’url www.carrefourspa.org (è un sto truffa, siate prudenti).

Chi desiderasse maggiori dettagli può consultare l’ultimo aggiornamento pubblicato sul blog Edgar’s Internet Tools.

Utilizzando i motori di ricerca si individuano siti in cui sono raccolte segnalazioni relative ai numeri di telefono utilizzati per azioni marketin aggressivo o vere e proprie frodi, da cui traspare, leggendo i commenti, la reale pericolosità di tali minacce

tanto più che i criminali hanno usato uno strumento, l’sms, utilizzato anche da Carrefour per pubblicizzare le proprie offerte.

Carrefour da parte sua ha pubblicato un warning sul proprio sito web raggiungibile con un link in home page e notizia della truffa è riportata anche sul sito web del Ministero dello Sviluppo Economico.

La frode realizzata attraverso l’uso di SMS consente ai criminali di evadere parte dei controllo messi in atto delle società che si occupano di monitorare e contrastare il fenomeno, prevalentemente orientati ad un analisi di quanto si muove in Internet.

Apparentemente i numeri di cellulare di chi riceve i messaggi sembrerebbero essere stati raccolti dai criminali sul web. Per aver maggiori riscontri invitiamo pertanto chi abbia ricevuto gli sms fraudolenti ad indicarci il proprio numero di cellulare su cui ha ricevuto il messaggio al fine di permetterci di svolgere maggiori ricerche. Ogni dato comunicatoci verrà trattato nel rispetto delle vigenti normative relative a privacy e dati personali, non pubblicato da alcuna parte, né comunicato a terzi, se non alle forze dell’ordine ed alla Magistratura, nel caso tali organi lo ritengano necessario.

Sin da quando D3Lab ha rilevato tale tipologia di attacco si è provveduto a darne notizia a Carrefour ed alle forze dell’ordine, indipendentemente dal fatto che la società non rientri tra i nostri clienti. In questo momento storico, con l’imperante crisi economica,D3Lab ha ritenuto che tale frode rappresenti per le famiglie un insidia reale, da evitare assolutamente, anche se ciò possa significare operare a sfavore delle nostre logiche di mercato e dei servizi da noi  erogati/venduti.

Per tali motivi anche se chi legge queste righe non è desidera fornire informazioni alla nostra azienda, vi invitiamo comunque a segnalare i numeri di telefono mittenti ed i siti web indicati negli sms a Carrefour SpA, consentendo alla società stessa un celere monitoraggio e contrasto dei siti fraudolenti, difficilmente individuabili se non si rientra tra i destinatari scelti dai criminali. 

Ulteriori informazioni:

Nessun dump da Carrefour SpA

Prosegue il tentativo dei cyber criminali di carpire le credenziali degli utenti del portale di scommesse on-line della SNAI, con i due tentativi odierni si arriva a quattro diverse pagine web fraudolente tutte attive, sebbene il primo rilevamento sia di giovedì 19.

I messaggi di posta fraudolenti odierni, partiti da indirizzi IP tedeschi, presentano le seguenti caratteristiche:

Mittente visualizzato: “Snai Card” <[email protected]>

Oggetto: Snai: novità! Abilita il nuovo sistema di sicurezza sulla tua snai card

testo del messaggio:

—————————————————————————–

Dal 22 gennaio entra in vigore la nuova legge per la sicurezza del tuo account snai.

Per poter  giocare o scommettere online su Sport, Ippica, V7, Totocalcio, Big, Skill games, Giochi, Bingo, Superenalotto, Win for life occorre aggiornare il proprio account cliccando qui

Maggiori informazioni sono disponibili nella sezione Aiuto  e su richiesta all’indirizzo [email protected].

Nei punti vendita contraddistinti dal marchio Punto SNAI presenti su tutto il territorio nazionale è possibile scommettere su Sport, Ippica, Tris, Totocalcio.  

Per trovare i  punti vendita più vicini, e con i prodotti di tuo interesse,  visita la sezione Dove scommettere.

—————————————————————————–

con il collegamento ipertestuale alle pagine fraudolente celato dalla dicitura “cliccando qui”.

I rilievi permessi dall’ampio monitoraggio svolto da D3Lab permettono di attribuire la paternità degli attacchi al medesimo gruppo impegnato a colpire di operatori di telefonia mobile, i cui cloni vengono ora inseriti sul medesimo server FortressITX