Campagna di truffe tramite sondaggi sui consumatori nel Regno Unito: si spacciano per grandi marchi della grande distribuzione
Punti chiave
Negli ultimi 90 giorni è stata registrata una campagna di phishing multimarca che ha coinvolto oltre 42.000 consumatori britannici, con truffe che si spacciavano per Boots e Superdrug
Promessa di omaggi o premi in cambio della compilazione di falsi sondaggi sulla soddisfazione dei clienti
Raccolta di numerose informazioni personali e dati delle carte di pagamento per addebitare fraudolentemente una “spesa di spedizione” di 2,95 sterline
Infrastruttura di phishing ospitata su bucket AWS S3, che sfrutta domini compromessi per le pagine di destinazione
I siti web clonati di marchi legittimi aumentano la fiducia delle vittime e il tasso di invio delle credenziali
Panoramica della campagna
Il team di ricerca sulle minacce di Mimecast ha individuato un gruppo di campagne di phishing rivolte ai consumatori del Regno Unito, che utilizzano truffe in cui si fingono noti marchi al dettaglio e fornitori di servizi. Le campagne ricorrono a tattiche di ingegneria sociale che promettono omaggi, premi esclusivi o azioni urgenti sull'account per indurre i destinatari a fornire informazioni personali e dettagli di pagamento.
A differenza delle campagne di phishing tradizionali, che si basano in gran parte sul furto di credenziali, queste operazioni combinano diverse fasi di raccolta dati: prima raccolgono i dati personali tramite sondaggi fasulli, poi acquisiscono le informazioni di pagamento con il pretesto di spese di spedizione o di elaborazione simboliche. La “spesa di spedizione” di 2,95 sterline rappresenta un importo calcolato con cura: sufficientemente basso da non destare sospetti immediati, ma abbastanza significativo da convalidare i dati delle carte di pagamento rubate per un futuro utilizzo fraudolento.
Flusso dell’attacco e infrastruttura tecnica
Le campagne seguono un modello di attacco coerente in più fasi:
Contatto iniziale: i destinatari ricevono e-mail con oggetti urgenti o allettanti che fanno riferimento ad aggiornamenti dell’account, problemi di consegna o premi esclusivi
Invio della pagina di destinazione: gli URL indirizzano le vittime verso pagine di phishing inizialmente ospitate su bucket AWS S3, prima di reindirizzarle verso domini compromessi o controllati dagli autori dell’attacco
Falsificazione del marchio: le pagine di destinazione presentano cloni quasi perfetti, al pixel, dei siti web legittimi dei marchi, inclusi loghi, stile e layout autentici
Partecipazione al sondaggio: le vittime compilano falsi sondaggi sulla soddisfazione dei clienti in cui vengono richieste opinioni su prodotti o servizi
Scelta del premio: una volta completato il sondaggio, le vittime scelgono tra diverse opzioni di premi “gratuiti” (in genere prodotti per la cura della pelle, buoni regalo o articoli promozionali)
Raccolta dei dati personali: il primo modulo richiede nome completo, indirizzo fisico, numero di telefono e indirizzo e-mail
Condividi questo contenuto
Raccolta dei dati di pagamento: il secondo modulo raccoglie i dati completi della carta di pagamento (numero della carta, data di scadenza, CVV) per le “spese di spedizione” di 2,95 £
Reindirizzamento al sito legittimo: dopo l’invio dei dati, le vittime vengono reindirizzate al sito web autentico del marchio, creando l’illusione di una transazione legittima
Caso di studio: la truffa del sondaggio di Boots UK
I destinatari della campagna di phishing di Boots ricevono una delle due principali tipologie di email progettate per conferire legittimità e attirare l’attenzione.
Notifica di un regalo post-sondaggio: le e-mail sostengono che il destinatario abbia recentemente completato un sondaggio sulla soddisfazione del cliente e sia stato selezionato per ricevere un regalo in omaggio come ringraziamento per la sua partecipazione.
Richiesta di sondaggio post-acquisto: le e-mail fanno riferimento a un recente acquisto presso Boots e invitano il destinatario a compilare un breve sondaggio sulla soddisfazione del cliente, promettendo un regalo al completamento.
Entrambi gli approcci sfruttano i normali modelli di interazione con i clienti nel settore della vendita al dettaglio. I consumatori sono abituati a ricevere richieste di feedback post-acquisto e comunicazioni relative ai programmi fedeltà da parte dei rivenditori, il che rende queste esche particolarmente efficaci. La promessa di un regalo gratuito crea un incentivo alla partecipazione, mentre il riferimento a un’attività recente (sia essa inventata o basata su informazioni provenienti da violazioni dei dati) conferisce credibilità al messaggio.
L’analisi della campagna di impersonificazione di Boots rivela un’implementazione tecnica sofisticata. La pagina di phishing, inizialmente ospitata su un bucket di archiviazione AWS S3, reindirizza a un dominio compromesso.
La pagina di destinazione si presenta come un clone da 1,4 MB della homepage legittima di Boots.com, contenente 19.549 righe di codice HTML che replicano l’aspetto visivo del sito autentico.
L’elemento dannoso principale è un overlay modale camuffato da banner di consenso ai cookie di OneTrust, una finestra di dialogo sulla privacy legittima e familiare agli utenti Internet del Regno Unito. Il modale visualizza il seguente messaggio: «Sei stato selezionato per partecipare al nostro sondaggio sulla soddisfazione dei clienti. Apprezziamo molto il tuo feedback e, come ringraziamento, abbiamo un regalo speciale per te: un set di 5 dei nostri prodotti per la cura della pelle più venduti offerti dal nostro sponsor, Skinny Tan."
Questo approccio sfrutta la familiarità degli utenti con i banner sulla privacy, creando al contempo un senso di urgenza riguardo a premi esclusivi. Il pulsante “Avvia sondaggio” — dallo stile identico a quello di un pulsante legittimo di accettazione del consenso di Boots — invia una richiesta POST allo script PHP che avvia la sequenza di raccolta delle credenziali.
All’utente vengono poste alcune domande che simulano un sondaggio, dopodiché viene reindirizzato a una pagina in cui deve scegliere tra una selezione di omaggi.
Una volta selezionato l’omaggio, gli viene presentato un modulo per la raccolta di informazioni personali quali nome, indirizzo e-mail/postale e data di nascita.
Nella pagina finale, all’utente viene richiesto un piccolo pagamento di 2,95 £ per la consegna dell’omaggio. Una volta effettuato il pagamento, l’utente viene reindirizzato al sito web legittimo di Boots.
Variazioni della campagna ed espansione geografica
Sebbene l’obiettivo principale siano i consumatori del Regno Unito, le prove suggeriscono che gli autori delle minacce stiano espandendo le loro operazioni e prendendo di mira vittime a livello internazionale:
Le campagne relative alle licenze televisive sfruttano i requisiti normativi specifici del Regno Unito in materia di possesso di televisori, creando un senso di urgenza riguardo agli aggiornamenti di fatturazione e alla verifica dei dettagli di pagamento. L’esca si allinea ai periodi di rinnovo delle licenze televisive reali, aumentando la vulnerabilità delle vittime.
Le truffe sulle consegne EVRi sfruttano le aspettative post-pandemia relative alle frequenti consegne di pacchi e alle notifiche di mancata consegna. Queste campagne richiedono informazioni personali e dettagli di pagamento per “riprogrammare” consegne inesistenti.
L’espansione internazionale comprende campagne che si spacciano per Costco (rivolte a diversi paesi) e Shoppers Drug Mart (rivolte al Canada), il che suggerisce o un’espansione geografica da parte dello stesso autore della minaccia o il riutilizzo del kit di strumenti da parte di operazioni affiliate.
Indicatori di compromissione (IOC)
Campagna Boots UK
Esempi di oggetti delle e-mail:
Boots: Regalo all’interno – Condividi la tua opinione! N. 748893
Dicci cosa ne pensi e approfitta dei premi Boots!
La tua opinione conta – Partecipa oggi stesso al sondaggio di Boots! N. 314121
Premi Boots: richiedi oggi stesso il tuo regalo e la tua promozione! N. 225678
Boots™: partecipa al nostro sondaggio e ricevi un regalo di ringraziamento! N. 210751
Formare il personale affinché verifichi gli incarichi inattesi tramite canali di comunicazione separati prima di cliccare sui link
Sottolineare l’importanza della verifica dell’autenticazione: gli utenti devono sempre controllare la barra degli indirizzi prima di inserire le credenziali; le pagine di accesso Microsoft legittime utilizzano i domini login.microsoftonline.com o login.microsoft.com, non varianti di powerappsportals.com
Le organizzazioni devono riconoscere che le campagne di truffa tramite sondaggi sfruttano aspetti fondamentali della psicologia umana legati alla reciprocità e alle offerte a tempo limitato. Poiché queste campagne diventano sempre più sofisticate nell’usurpazione del marchio e nell’implementazione tecnica, le strategie di rilevamento devono evolversi oltre gli indicatori tradizionali per includere l’analisi comportamentale e la valutazione contestuale dei sondaggi e delle offerte di ricompensa che arrivano via e-mail.
Rimani sempre un passo avanti nell'analisi delle minacce
Unisciti alle migliaia di professionisti della sicurezza che utilizzano i nostri avvisi selezionati, le analisi degli esperti e gli IOC delle campagne per difendersi dalle minacce informatiche emergenti.
Campagna fraudolenta nel Regno Unito: un sondaggio sui consumatori si spaccia per grandi marchi del commercio al dettaglio | Mimecast
