I truffatori stanno utilizzando piattaforme legittime di gestione delle spese per inviare messaggi di phishing e convalidare credenziali finanziarie rubate, trasformando l'infrastruttura di pagamento in uno strumento per frodi.
Recenti indagini condotte da Group-IB hanno rivelato una tattica sofisticata impiegata da gruppi criminali che sfrutta piattaforme legittime di gestione delle spese per condurre frodi finanziarie. Invece di attaccare direttamente queste piattaforme, i truffatori le hanno trasformate in un veicolo per distribuire messaggi di phishing e per verificare la validità di credenziali finanziarie rubate.
La metodologia consiste nell'utilizzare le funzionalità di notifica delle piattaforme FinTech per inviare messaggi fraudolenti ai venditori online. Gli indirizzi email delle vittime vengono inseriti nella piattaforma, che poi invia comunicazioni apparentemente legittime, come notifiche di pagamento per acquisti effettuati su marketplace. Un esempio documentato riguarda l'impersonificazione di Poshmark, dove i venditori ricevevano un avviso di pagamento con la richiesta di verificare l'identità per sbloccare i fondi. Questo messaggio conteneva un link abbreviato che reindirizzava a una pagina falsa di Poshmark, progettata per raccogliere dati sensibili.
È importante sottolineare che, secondo le ricerche, i sistemi di Poshmark non sono stati compromessi; l'attacco si è concentrato sull'inganno degli utenti tramite l'infrastruttura di terze parti.
Le pagine di phishing presentavano spesso timer per creare un senso di urgenza, spingendo i venditori a fornire rapidamente informazioni personali come nomi, indirizzi, dettagli della carta di credito, saldi bancari e codici di autenticazione monouso (OTP). In alcuni casi, venivano richieste anche credenziali per l'accesso a portafogli digitali o per l'internet banking.
La campagna ha preso di mira specificamente i venditori che operano al di fuori della base clienti diretta della piattaforma FinTech, sfruttando le sue funzionalità di messaggistica e di collegamento ai conti bancari.
Oltre al phishing, i criminali hanno abusato dell'integrazione di open banking offerta dalla piattaforma. Utilizzando aggregatori, potevano testare le credenziali bancarie rubate per verificare se fossero ancora valide e se i conti associati contenessero fondi. Questo processo, più efficiente rispetto all'inserimento manuale dei numeri di conto e di routing, permetteva di confermare l'efficacia dei dati rubati in tempo reale. I ricercatori hanno osservato che la fase di test delle credenziali avveniva in parallelo con le attività di phishing, consentendo l'uso immediato dei codici OTP catturati.
I dispositivi utilizzati per inviare le notifiche di phishing sono stati collegati anche ad account per il test delle carte, creando un legame diretto tra la distribuzione delle esche e la validazione dei dati. L'analisi ha rivelato che un singolo dispositivo poteva essere associato a più account di phishing e di test, suggerendo l'uso di un'unica entità fisica dietro queste operazioni. Inizialmente, i truffatori creavano account multipli con indirizzi email usa e getta e un numero limitato di dispositivi. Tuttavia, con l'aumento dei blocchi, hanno iniziato a utilizzare identità di dispositivi apparentemente separate, ricorrendo a tecniche come la cancellazione dei cookie o la navigazione in incognito per eludere i controlli basati sull'IP.
L'uso di VPN, proxy, reti di hosting e indirizzi residenziali ha ulteriormente complicato l'identificazione e il blocco delle attività fraudolente. Inoltre, i costi associati al controllo delle credenziali venivano assorbiti dalla piattaforma stessa tramite gli addebiti degli aggregatori, rendendo difficile per i controlli tradizionali focalizzati sulle transazioni illecite individuare questo tipo di abuso.
Group-IB ha identificato tre momenti chiave per intervenire e prevenire queste frodi: la creazione dell'account, l'invio del primo messaggio e il primo collegamento di un conto bancario o di una carta. Segnali come l'uso di indirizzi email usa e getta, impronte digitali dei dispositivi ripetute, ritmi di registrazione automatizzati, inviti rapidi ai destinatari e tentativi di collegamento immediati possono rivelare l'abuso prima che vengano trasferiti fondi. L'analisi dei grafi è fondamentale per collegare questi segnali e identificare le relazioni tra account di phishing e di test apparentemente indipendenti.
Questo caso evidenzia la necessità per le piattaforme FinTech di monitorare non solo le transazioni che generano perdite finanziarie dirette, ma anche l'abuso della loro stessa infrastruttura. Le difese devono evolversi per includere il monitoraggio dell'uso improprio delle piattaforme, l'analisi comportamentale, l'intelligence di rete e le capacità investigative basate sui grafi per contrastare efficacemente queste minacce.
Contenuto generato automaticamente da intelligenza artificiale a partire da fonti pubbliche. Non garantiamo l'accuratezza assoluta delle informazioni: consulta sempre la fonte originale. I diritti sui contenuti originali appartengono ai rispettivi editori.
