Фахівці з кібербезпеки зафіксували нову хвилю фішингових атак, орієнтованих насамперед на дітей і підлітків. Цього разу зловмисники використовують Brawl Stars, Roblox та Standoff 2, а головною метою стає не крадіжка ігрового профілю, а отримання контролю над акаунтом користувача в месенджері.
Новий сценарій виявили аналітики Digital Risk Protection компанії F6. Для пошуку потенційних жертв шахраї використовують YouTube, де публікують короткі ролики з обіцянками безкоштовної внутрішньоігрової валюти — гемів, золота або робуксів.
Як дитину змушують самостійно віддати код
Схема побудована так, щоб кожен окремий крок не здавався підозрілим.
У профілі автора YouTube-ролика розміщують посилання на сайт, де нібито можна отримати подарунок. Один із виявлених ресурсів маскувався під сервіс NovaDrop.
Далі користувачеві пропонують:
- вибрати Brawl Stars, Roblox або Standoff 2;
- зазначити месенджер, через який він хоче «увійти»;
- запустити віртуальну рулетку та отримати гарантований «виграш»;
- підтвердити, що він не робот;
- ввести свій номер телефону.
Саме після цього починається фактичне викрадення акаунта.
Знаючи номер телефону та обраний месенджер, шахраї ініціюють справжню процедуру входу в обліковий запис жертви. На телефон надходить реальний одноразовий код авторизації від самого месенджера.
Фішинговий сайт одразу просить ввести цей код, але пояснює це необхідністю підтвердити отримання ігрового подарунка. Якщо дитина вводить комбінацію, вона фактично передає зловмисникам ключ для входу у свій акаунт.
Фальшиві відгуки мають зняти останні сумніви
Окрему увагу шахраї приділяють оформленню сторінок. На них розміщують вигадані відгуки нібито задоволених користувачів, а також блоки запитань і відповідей.
У таких повідомленнях потенційну жертву спеціально переконують, що введення номера телефону та коду є безпечним і необхідне лише для отримання призу.
Сам принцип атаки не новий. Раніше F6 уже фіксувала схожі кампанії, в яких дітей заманювали безкоштовними робуксами, скінами, модифікаціями ігор та іншими цифровими подарунками. У деяких випадках після введення номера телефону шахраї також виманювали код двофакторної автентифікації.
Що потрібно пояснити дитині
Найважливіше правило дуже просте: код, який надсилає Telegram, WhatsApp або інший сервіс для входу в акаунт, не може бути кодом для отримання подарунка в грі.
Його не потрібно вводити на сторонніх сайтах і тим більше передавати іншій людині.
Розробники Standoff 2 також окремо попереджають користувачів не передавати стороннім логіни, паролі та інші дані облікового запису. Офіційні представники гри не просять таку інформацію через випадкові повідомлення в соціальних мережах і месенджерах.
Батькам варто пояснити дитині ще одне правило: обіцянка безкоштовної дорогої ігрової валюти за переходом на сторонній сайт сама по собі має бути приводом зупинитися.
Особливо небезпечна ситуація, коли після такого переходу раптом приходить справжній код авторизації від месенджера. Це означає, що хтось уже намагається увійти в обліковий запис.
