Betrugsaktion im Rahmen einer britischen Verbraucherumfrage gibt sich als bekannte Einzelhandelsmarken aus
Wichtige Punkte
In den letzten 90 Tagen gab es eine Multi-Brand-Phishing-Kampagne mit über 42.000 Angriffen, die sich gegen britische Verbraucher richtete und bei der sich die Betrüger als „Boots“ und „Superdrug“ ausgaben
Versprechen von Gratisgeschenken oder Prämien als Gegenleistung für das Ausfüllen gefälschter Umfragen zur Kundenzufriedenheit
Erfassung umfangreicher personenbezogener Daten und Zahlungskartendaten für eine betrügerische „Liefergebühr“ in Höhe von 2,95 £
Die Phishing-Infrastruktur wird auf AWS-S3-Buckets gehostet und nutzt kompromittierte Domains für Landingpages
Klone legitimer Markenwebsites stärken das Vertrauen der Opfer und erhöhen die Rate der übermittelten Zugangsdaten
Kampagnenübersicht
Das Mimecast Threat Research-Team hat eine Reihe von Phishing-Kampagnen identifiziert, die sich an Verbraucher im Vereinigten Königreich richten und bei denen sich die Betrüger als bekannte Einzelhandelsmarken und Dienstleister ausgeben. Die Kampagnen nutzen Social-Engineering-Taktiken, bei denen kostenlose Geschenke, exklusive Prämien oder dringende Kontoaktionen versprochen werden, um die Empfänger dazu zu verleiten, persönliche Informationen und Zahlungsdaten preiszugeben.
Im Gegensatz zu herkömmlichen Phishing-Kampagnen, die stark auf den Diebstahl von Zugangsdaten setzen, kombinieren diese Operationen mehrere Phasen der Datenerfassung: Zunächst werden persönliche Daten über gefälschte Umfragen gesammelt, anschließend werden Zahlungsinformationen unter dem Vorwand nominaler Versand- oder Bearbeitungsgebühren erfasst. Die „Liefergebühr“ in Höhe von 2,95 £ ist ein sorgfältig kalkulierter Betrag: niedrig genug, um keinen unmittelbaren Verdacht zu wecken, aber dennoch hoch genug, um gestohlene Zahlungskartendaten für eine spätere betrügerische Nutzung zu validieren.
Angriffsablauf und technische Infrastruktur
Die Kampagnen folgen einem einheitlichen, mehrstufigen Angriffsmuster:
Erster Kontakt: Die Empfänger erhalten E-Mails mit dringenden oder verlockenden Betreffzeilen, die sich auf Kontoaktualisierungen, Lieferprobleme oder exklusive Prämien beziehen
Weiterleitung auf die Landingpage: URLs leiten die Opfer zunächst auf Phishing-Seiten weiter, die auf AWS-S3-Buckets gehostet werden, bevor sie zu kompromittierten oder vom Angreifer kontrollierten Domains umgeleitet werden
Markenimitation: Die Landingpages zeigen nahezu pixelgenaue Nachbildungen legitimer Markenwebsites, einschließlich authentischer Logos, Design und Layout
Teilnahme an Umfragen: Die Opfer füllen gefälschte Umfragen zur Kundenzufriedenheit aus, in denen sie um ihre Meinung zu Produkten oder Dienstleistungen gebeten werden
Auswahl der Prämie: Nach Abschluss der Umfrage wählen die Opfer aus mehreren „kostenlosen“ Prämienoptionen (in der Regel Hautpflegeprodukte, Geschenkgutscheine oder Werbeartikel)
Erhebung personenbezogener Daten: Im ersten Formular werden der vollständige Name, die Anschrift, die Telefonnummer und die E-Mail-Adresse abgefragt
Teilen
Erfassung von Zahlungsdaten: Im zweiten Formular werden die vollständigen Zahlungskartendaten (Kartennummer, Ablaufdatum, CVV) für die „Versandgebühr“ in Höhe von 2,95 £ erfasst
Weiterleitung auf die echte Website: Nach dem Absenden der Daten werden die Opfer auf die echte Website der Marke weitergeleitet, wodurch der Eindruck einer legitimen Transaktion erweckt wird
Fallstudie: Umfragenbetrug bei Boots UK
Empfänger der Boots-Phishing-Kampagne erhalten eine von zwei Haupt-E-Mail-Vorlagen, die darauf ausgelegt sind, Legitimität zu suggerieren und Interesse zu wecken.
Benachrichtigung über ein Geschenk nach der Umfrage: In den E-Mails wird behauptet, der Empfänger habe kürzlich eine Umfrage zur Kundenzufriedenheit ausgefüllt und sei als Dankeschön für seine Teilnahme für ein kostenloses Geschenk ausgewählt worden.
Aufforderung zur Umfrage nach dem Kauf: Die E-Mails beziehen sich auf einen kürzlich getätigten Kauf bei Boots und laden den Empfänger ein, eine kurze Umfrage zur Kundenzufriedenheit auszufüllen, wobei nach Abschluss ein Geschenk versprochen wird.
Beide Ansätze nutzen übliche Muster der Kundenansprache im Einzelhandel aus. Verbraucher sind daran gewöhnt, nach dem Kauf Feedback-Anfragen und Mitteilungen zu Treueprogrammen von Einzelhändlern zu erhalten, was diese Lockangebote besonders wirksam macht. Das Versprechen eines Gratisgeschenks schafft einen Anreiz zur Teilnahme, während der Verweis auf kürzlich erfolgte Aktivitäten (ob erfunden oder auf Informationen aus Datenlecks zurückzuführen) der Nachricht Glaubwürdigkeit verleiht.
Die Analyse der Boots-Identitätsbetrugskampagne offenbart eine ausgeklügelte technische Umsetzung. Die Phishing-Seite, die ursprünglich aus einem AWS-S3-Bucket bereitgestellt wurde, leitet auf eine kompromittierte Domain weiter.
Die Landingpage präsentiert sich als 1,4 MB großer Klon der legitimen Boots.com-Startseite und enthält 19.549 Zeilen HTML-Code, die das visuelle Erscheinungsbild der authentischen Website nachbilden.
Das wichtigste bösartige Element ist ein modales Overlay, das als OneTrust-Banner zur Cookie-Zustimmung getarnt ist – ein legitimer Datenschutzdialog, der britischen Internetnutzern vertraut ist. Das Modal zeigt folgende Meldung an: „Sie wurden ausgewählt, an unserer Umfrage zur Kundenzufriedenheit teilzunehmen. Wir freuen uns sehr über Ihr Feedback und als Dankeschön haben wir ein besonderes Geschenk für Sie: ein Set mit 5 unserer meistverkauften Hautpflegeprodukte von unserem Sponsor Skinny Tan.“
Dieser Ansatz nutzt die Vertrautheit der Nutzer mit Datenschutzbannern aus und erzeugt gleichzeitig ein Gefühl der Dringlichkeit hinsichtlich exklusiver Prämien. Die Schaltfläche „Umfrage starten“ – die im Stil einer legitimen Einwilligungsschaltfläche von Boots gestaltet ist – sendet eine POST-Anfrage an das PHP-Skript, das den Vorgang zum Abgreifen von Anmeldedaten einleitet.
Der Nutzer wird durch einige Fragen geführt, die eine Umfrage vortäuschen, und anschließend auf eine Seite weitergeleitet, auf der er aus einer Auswahl an Gratisgeschenken wählen soll.
Sobald ein Geschenk ausgewählt wurde, wird der Nutzer zu einem Formular weitergeleitet, in dem persönliche Daten wie Name, E-Mail-Adresse, Postanschrift und Geburtsdatum erfasst werden.
Auf der letzten Seite wird der Nutzer dann um eine geringe Zahlung in Höhe von 2,95 £ für den Versand des Geschenks gebeten. Sobald die Zahlung erfolgt ist, wird der Nutzer auf die echte Boots-Website weitergeleitet.
Varianten der Kampagne und geografische Ausweitung
Zwar richtet sich die Kampagne in erster Linie an Verbraucher im Vereinigten Königreich, doch deuten Hinweise darauf hin, dass die Angreifer ihre Aktivitäten ausweiten und Opfer auf internationaler Ebene ins Visier nehmen:
Kampagnen rund um die TV-Lizenz nutzen die spezifischen britischen Vorschriften für den Besitz eines Fernsehgeräts aus und erzeugen so ein Gefühl der Dringlichkeit hinsichtlich Rechnungsaktualisierungen und der Überprüfung von Zahlungsdaten. Der Köder ist auf die tatsächlichen Verlängerungszeiträume für TV-Lizenzen abgestimmt, was die Anfälligkeit der Opfer erhöht.
EVRi-Lieferbetrugsversuche nutzen die Erwartungen nach der Pandemie hinsichtlich häufiger Paketzustellungen und Benachrichtigungen über verpasste Zustellungen aus. Bei diesen Kampagnen werden persönliche Daten und Zahlungsinformationen angefordert, um nicht existierende Lieferungen „neu zu terminieren“.
Die internationale Ausweitung umfasst Kampagnen, die sich als Costco (mit Ziel in mehreren Ländern) und Shoppers Drug Mart (mit Ziel in Kanada) ausgeben, was entweder auf eine geografische Ausweitung durch denselben Angreifer oder auf die Wiederverwendung von Toolkits durch verbundene Operationen hindeutet.
Indikatoren für eine Kompromittierung (IOCs)
Kampagne von Boots UK
Beispiel-Betreffzeilen:
Boots: Geschenk im Anhang – Teilen Sie uns Ihre Meinung mit! Nr. 748893
Sagen Sie uns Ihre Meinung und profitieren Sie von Boots-Prämien!
Ihre Meinung zählt – nehmen Sie noch heute an der Boots-Umfrage teil! Nr.: 314121
Boots-Prämien: Holen Sie sich noch heute Ihr Geschenk und Ihre Aktion! Nr.: 225678
Boots™: Nehmen Sie an unserer Umfrage teil und erhalten Sie ein Dankeschön-Geschenk! Nr.: 210751
Schulen Sie die Mitarbeiter darin, unerwartete Aufgabenzuweisungen über separate Kommunikationskanäle zu überprüfen, bevor sie auf Links klicken
Betonen Sie die Überprüfung der Authentifizierung: Benutzer sollten vor der Eingabe von Anmeldedaten stets die Adressleiste überprüfen – legitime Microsoft-Anmeldeseiten verwenden die Domänen „login.microsoftonline.com“ oder „login.microsoft.com“, nicht Varianten von „powerappsportals.com“
Unternehmen sollten sich bewusst sein, dass Umfragebetrugskampagnen grundlegende menschliche Psychologie rund um Gegenseitigkeit und zeitlich begrenzte Angebote ausnutzen. Da diese Kampagnen hinsichtlich der Markenimitation und der technischen Umsetzung immer ausgefeilter werden, müssen Erkennungsstrategien über traditionelle Indikatoren hinausgehen und Verhaltensanalysen sowie kontextbezogene Bewertungen von per E-Mail eingehenden Umfrage- und Prämienangeboten umfassen.
Behalten Sie Ihren Vorsprung bei der Bedrohungsanalyse
Schließen Sie sich Tausenden von Sicherheitsexperten an, die unsere sorgfältig ausgewählten Warnmeldungen, Expertenanalysen und IOCs für Kampagnen nutzen, um sich gegen neue Cyberbedrohungen zu schützen.
Betrugsaktion im Rahmen einer britischen Verbraucherumfrage gibt sich als bekannte Einzelhandelsmarken aus | Mimecast
