Nella giornata odierna il team anti-frode D3Lab ha individuato un sito di phishing riproducente la grafica di InPost, note servizio di consegna basato su locker sparsi su tutto il territorio nazionale.
Tag Archivio per: Phishing
Negli ultimi anni si è assistito alla diversificazione dei servizi erogati da istituti bancari, compagnie telefoniche, gestori pagamenti che, nati svolgendo attività in uno specifico ramo di mercato (finanza, telefonia, ecc..), si sono successivamente proposti come erogatori di servizi a tutto tondo.
In tale scenario Telepass non ha fatto eccezione: nata come società dedicata al pagamento dei pedaggi autostradali è stata in breve in grado di offrire servizi diversi di supporto alla mobilità, dal pagamento delle soste, all’ingresso nelle ZTL, alle assicurazioni.
Continua a leggere
An active fraud campaign targeting users in Italy combines voice phishing, a real-time phishing control panel, and an Android remote access trojan. The operation begins with a phone call from someone impersonating N26 support and ends with the attacker controlling financial applications on the victim’s phone.
The malicious application is presented as a device certification component. Behind that pretext is a multistage Android dropper whose embedded payload belongs to the Copybara family.
This is not simply a credential-harvesting website. It is a human-operated workflow designed to move the attacker from social engineering to on-device fraud.
Continua a leggere
During routine monitoring performed through D3Lab’s Brand Monitor service, our team detected a newly registered domain impersonating a well-known Italian banking brand. The domain was designed to look like a promotional landing page and promised users a financial reward for downloading a mobile application. At first glance, this looked like a classic brand abuse case. A closer analysis revealed something more serious: the landing page was part of a malware delivery chain distributing a malicious Android APK.
The affected brand, as well as its customers, should be considered victims of this campaign. The fraudulent infrastructure abuses the bank’s identity to gain trust, while the malicious application targets users who are convinced to install software outside official app stores. This is not a legitimate promotion, not a banking initiative, and not an official application distribution channel.
Continua a leggere
In D3Lab crediamo che ogni servizio, erogato da qualsiasi società, che richieda un login e renda plausibile la richiesta di dati personali e finanziari possa risultare di interesse per i criminali. Non solo furti di identità, abuso di carte di credito, ma anche abuso account compromessi su servizi di vendita dedicati ai privati, locazione e vendita case e alloggi, così come sistemazione vacanze.
In questo panorama anche i corrieri, i servizi di consegna merci, possono attrarre l’attenzione dei criminali. In questo articolo ci occuperemo dell’impennata di campagne di phishing registrate dal nostro team anti frode a danno di GLS Italia nell’arco degli ultimi mesi.
Campagne di phishing a danno di GLS registrate dal 01/01/2012 al 24/06/2026
Nella giornata odierna, durante le consuete attività di monitoraggio e contrasto alle frodi online, il Threat Intelligence Team di D3Lab ha rilevato la prima campagna di phishing dell’anno a tema Commissariato di P.S. Online della Polizia Postale, strumentalizzato per orchestrare attacchi di SIM Swapping.
Il Commissariato di P.S. Online è lo sportello virtuale della Polizia Postale e delle Comunicazioni, l’articolazione specializzata della Polizia di Stato deputata alla prevenzione e al contrasto della criminalità informatica dedicato alla comunicazione da e verso il cittadino.
Proprio a causa del suo ruolo centrale come punto di riferimento istituzionale per la sicurezza in rete, gli aggressori hanno deciso di clonarne l’identità: sfruttare il nome di un ente preposto a combattere le truffe rappresenta per i criminali il modo più efficace per abbassare le difese psicologiche delle vittime.
Continua a leggere
In January 2026, we analyzed NFCShare, an Android banking trojan distributed as a malicious APK through a phishing flow impersonating Deutsche Bank. The malware presented a fake card-verification interface, asked the victim to place a payment card near the phone, collected the card PIN, and exfiltrated NFC-derived payment-card data to a WebSocket endpoint.
Since 14 May 2026, we have observed a newer wave of NFCShare APKs impersonating Italian and European banking brands. The campaign we investigated started from an ad hoc phishing website, areaclienti-intesa.com, which mimicked the look and feel of Intesa Sanpaolo. After the victim entered home-banking credentials, the phishing flow prompted the user to update the banking application. At that point, the website visually directed the victim to a shortened URL, such as https://tinyurl[.]com/Intesa-Carte, which then redirected toward APKs hosted in the GitHub repository antoniocastaldo1998/app-scuola.
The newer samples are still NFCShare. The core NFC and exfiltration logic remains largely unchanged. The relevant evolution is operational and anti-analysis oriented: more frequent APK rebuilds, brand rotation, a new C2 endpoint, a 10-DEX layout, and malformed ZIP paths designed to break naive APK extractors.
Continua a leggere
On May 18, 2026, the criminal marketplace B1ack’s Stash published a new archive containing millions of compromised payment cards on a well-known underground forum. The release had an explicitly promotional purpose: driving traffic to the illegal market, reinforcing its reputation within the carding ecosystem, and, according to the threat actor’s own narrative, punishing sellers accused of reselling the same cards elsewhere.
In the announcement, the threat actor claimed to have “suspended” almost 8 million CVV2 cards and made them available for free in the marketplace’s freebies section. The download link, distributed through Exploit.in’s Send platform, was limited to 1,000 downloads or 30 days.
Continua a leggere
Il Threat Intelligence Team di D3Lab, grazie al servizio di Brand Monitor ha intercettato un pericoloso clone malevolo che punta a truffare i cittadini proponendosi come la Caritas Italiana. Nel panorama del cybercrime, si tratta di una delle tattiche più spregevoli: lo sciacallaggio digitale, ovvero lo sfruttamento della fiducia riposta in istituzioni caritatevoli per colpire le fasce più vulnerabili della popolazione.
La Caritas Italiana è l’organismo pastorale della Conferenza Episcopale Italiana (CEI) che promuove la testimonianza della carità, sostenendo e coordinando oltre 200 Caritas diocesane. Si dedica ad aiutare i poveri e gli emarginati, promuovere il volontariato, sensibilizzare la comunità sui bisogni sociali e intervenire in emergenze nazionali e internazionale.
Negli ultimi giorni i Threat Intelligence Team di D3Lab hanno rilevato diverse campagne di phishing che sfruttano illecitamente il brand EasyPark, nota applicazione per il pagamento e la gestione della sosta tramite smartphone, disponibile in oltre 20 Paesi.
Le campagne non colpiscono l’infrastruttura del servizio, ma utilizzano il marchio EasyPark per truffare gli utenti, inducendoli a fornire dati di pagamento e informazioni personali sensibili.
Continua a leggere