Bí mật đen tối giữa các thương hiệu: Hãy tỉnh táo với đợt lừa đảo quy mô toàn cầu này!

Trong một bài viết mới trên blog, các nhà phân tích của Group-IB đã trình bày chi tiết về cách chương trình tự động này sử dụng bot Telegram để tạo ra các trang web lừa đảo giả mạo các công ty trong nhiều ngành công nghiệp khác nhau, bao gồm các trang thương mại trực tuyến, trang web phân loại và hãng vận chuyển. Những trang web lừa đảo này được thiết kế để lừa đảo người dùng và lấy cắp tiền, thông tin thanh toán và thậm chí thông tin đăng nhập vào ngân hàng của các người dùng internet mà không hề bị nghi ngờ.

Theo công bố của Group-IB, đã có tổng cộng 251 thương hiệu độc quyền từ 79 quốc gia xuất hiện trên các trang web lừa đảo Classiscam từ nửa đầu năm 2021 đến nửa đầu năm 2023. Đáng chú ý, các mẫu trang web lừa đảo cho mỗi thương hiệu có thể được cập nhật phù hợp với từng quốc gia khác nhau bằng cách điều chỉnh ngôn ngữ và đơn vị tiền tệ trên trang web. Kết quả là, một hãng vận chuyển cụ thể đã bị giả mạo bởi "Classiscammers" và nhằm vào người dùng của họ ở tới 31 quốc gia.

Ở khu vực châu Á - Thái Bình Dương, Australia đang chịu tác động nghiêm trọng từ hoạt động lừa đảo "Classiscammers" hơn bất kỳ quốc gia nào khác, chiếm 34,6% tổng số trong khu vực. Các quốc gia và vùng lãnh thổ khác cũng đang gặp rủi ro, bao gồm Ấn Độ (11,5%), Hong Kong (Trung Quốc) (10,3%), Singapore (7,7%), Sri Lanka (7,7%) và Malaysia (5,1%).

Kể từ nửa sau năm 2019, khi Group-IB Computer Emergency Response Team (CERT-GIB) phối hợp với công ty Digital Risk Protection để xác định hoạt động của Classiscam, đã phát hiện tổng cộng 1.366 nhóm riêng lẻ đang sử dụng mô hình này trên Telegram. Các chuyên gia của Group-IB đã điều tra các kênh Telegram chứa thông tin liên quan đến 393 nhóm Classiscam với hơn 38.000 thành viên trong khoảng thời gian từ nửa đầu năm 2020 đến nửa đầu năm 2023. Trong khoảng thời gian này, số tiền mà các nhóm này chiếm đoạt lên đến 64,5 triệu USD.

Tổng quan về Classiscam từ nửa đầu năm 2021 đến nửa đầu năm 2023.

Group-IB đã quan tâm đến các yếu tố nguy hiểm đứng sau Classiscam và cách chúng hoạt động, từ khi bắt đầu hoạt động cho đến việc phát triển và mở rộng hơn. Kể từ năm 2022, những kẻ thực hiện Classiscam đã thúc đẩy các cải tiến mới, như các kế hoạch lừa đảo nhằm chiếm đoạt thông tin đăng nhập của tài khoản ngân hàng trực tuyến của nạn nhân, và một số nhóm cũng đã bắt đầu sử dụng phần mềm đánh cắp thông tin.

Classiscam ban đầu được phát triển tại Nga và đã trải qua quá trình thử nghiệm trước khi được triển khai toàn cầu. Dịch COVID-19 đã làm tăng đáng kể sự phổ biến của chương trình lừa đảo dưới hình thức dịch vụ vào mùa xuân năm 2020, khi làm việc từ xa và mua sắm trực tuyến đã trở thành xu hướng phổ biến.

Các chuyên gia của Group-IB đã phát hiện rằng mô hình lừa đảo đã được đưa ra nước ngoài lần đầu tiên vào Châu Âu, trước khi lan rộng ra các khu vực khác trên toàn thế giới như Châu Á-Thái Bình Dương, Mỹ, Trung Đông và cả Châu Phi. Đến nửa đầu năm 2021, những kẻ thực hiện Classiscam đã nhắm mục tiêu người dùng internet tại 30 quốc gia.

Trong nửa đầu năm 2023, số lượng quốc gia mà các chuyên gia của Group-IB đã phát hiện được hoạt động Classiscam đã tăng lên 79 quốc gia. Trong thời gian này, số lượng thương hiệu bị tấn công trên toàn cầu đã tăng từ 38 lên 251.

Trong khoảng thời gian từ nửa đầu năm 2021 đến nửa đầu năm 2023, hơn 61% các tài nguyên Classiscam mà các chuyên gia của Group-IB đã phân tích đã nhắm đến người dùng tại châu Âu. Các khu vực khác gồm Trung Đông, châu Phi (18,7% tài nguyên) và khu vực châu Á - Thái Bình Dương (12,2%) cũng là mục tiêu của các cuộc tấn công mạnh mẽ.

Số tiền mà các nạn nhân của Classiscam trên toàn thế giới đã mất trung bình là 353 USD. Tuy nhiên, người dùng tại Vương quốc Anh lại là nhóm mất nhiều tiền nhất, với số tiền bị lừa đảo trung bình là 865 USD. Các người dùng ở khu vực châu Á - Thái Bình Dương và Trung Đông cùng châu Phi (MEA) có khả năng ít hơn để trở thành nạn nhân của các chiêu trò lừa đảo Classiscam, mặc dù người dùng ở Singapore trung bình đã mất 682 USD do lừa đảo. Tại Australia, số tiền này là 515 USD và tại Saudi Arabia, các kế hoạch Classiscam thành công đã khiến nạn nhân mất trung bình 525 USD.

Ban đầu, Classiscam được triển khai như một hình thức lừa đảo tương đối đơn giản. Kẻ tội phạm mạng đã tạo ra các quảng cáo giả mạo trên các trang web phân loại và lợi dụng kỹ năng gian lận xã hội để đánh lừa người dùng vào "mua" hàng hóa hoặc dịch vụ được quảng cáo sai, bằng cách chuyển tiền trực tiếp cho kẻ lừa đảo hoặc trừ tiền từ thẻ ngân hàng của nạn nhân.

Ví dụ về liên kết gian lận được tạo ra bởi Classiscam trong trường hợp kẻ lừa đảo hành động như một người mua hàng.

Trong suốt hai năm qua, hoạt động của Classiscam đã tự động hóa rất nhiều. Hiện tại, mô hình này sử dụng bot và cuộc trò chuyện trên Telegram để phối hợp các hoạt động và tạo ra các trang web lừa đảo chỉ trong vài giây. Ngoài ra, có nhiều nhóm hướng dẫn dễ dàng để theo dõi và các chuyên gia sẵn sàng giúp đỡ người dùng khác với những câu hỏi liên quan.

Mô hình lừa đảo Classiscam dưới dạng dịch vụ.

Trong vòng một năm qua, các nhà nghiên cứu của Group-IB đã nhận thấy sự chuyên nghiệp và tổ chức trong các nhóm lừa đảo. Các trang web lừa đảo Classiscam ngày nay đã được nâng cấp để bao gồm chức năng kiểm tra số dư, dùng để xác định mức phí mà kẻ lừa đảo có thể tính vào thẻ của nạn nhân, và các trang web giả mạo đăng nhập ngân hàng dùng để thu thập thông tin đăng nhập của người dùng.

Hiện tại, các chuyên gia của Group-IB đã phát hiện 35 nhóm lừa đảo như vậy đã phân phát các liên kết đến các trang web lừa đảo, bao gồm cả biểu mẫu đăng nhập giả mạo của các dịch vụ ngân hàng. Tổng cộng, lũ lừa đảo Classiscam đã tạo ra tài nguyên giả mạo đăng nhập cho 63 ngân hàng tại 14 quốc gia. Trong số những ngân hàng bị nhắm đến có ngân hàng tại Bỉ, Canada, Cộng hòa Séc, Pháp, Đức, Ba Lan, Singapore và Tây Ban Nha.

Ví dụ về chức năng kiểm tra số dư đã được giới thiệu trên một số trang web lừa đảo mang tên Classiscam. Trong ví dụ này, nạn nhân sẽ được yêu cầu cung cấp số dư tài khoản ngân hàng của mình như một phần của quá trình kiểm tra xác minh.

"Theo ông Afiq Sasman, Trưởng nhóm Phản ứng Khẩn cấp máy tính của Group-IB tại khu vực châu Á - Thái Bình Dương, hiện vẫn chưa có dấu hiệu giảm tốc của Classiscam và số lượng kẻ lừa đảo Classiscammers vẫn tiếp tục tăng. Trong suốt năm qua, chúng ta đã chứng kiến các nhóm lừa đảo áp dụng một cấu trúc tổ chức mới, lớn hơn và các vai trò bên trong tổ chức cũng đang trở nên ngày càng chuyên nghiệp. Do tính tự động của mô hình này cùng với ngưỡng kỹ thuật thấp để tham gia, Classiscam có thể tiếp tục là một trong những hoạt động lừa đảo quy mô toàn cầu chính trong suốt năm 2023", ông Sasman cho biết.

Group-IB sẽ tiếp tục giám sát các chiến dịch Classiscam toàn cầu, hợp tác với cảnh sát và các thương hiệu bị ảnh hưởng để hỗ trợ trong việc tiêu diệt những kế hoạch lừa đảo này. Các công ty mà thương hiệu và hình dáng của họ bị lợi dụng cần sử dụng giải pháp Digital Risk Protection để theo dõi, xác định và loại bỏ các miền lừa đảo một cách tích cực.