Специалисты по кибербезопасности зафиксировали новую волну фишинговых атак, направленных в первую очередь на детей и подростков. На этот раз злоумышленники используют Brawl Stars, Roblox и Standoff 2, а главной целью становится не кража игрового профиля, а получение контроля над аккаунтом пользователя в мессенджере.
Новый сценарий обнаружили аналитики Digital Risk Protection компании F6. Для поиска потенциальных жертв мошенники используют YouTube, где публикуют короткие ролики с обещаниями бесплатной внутриигровой валюты — геммов, золота или робуксов.
Как заставляют ребенка самостоятельно раскрыть код
Схема построена таким образом, чтобы ни один отдельный шаг не выглядел подозрительно.
В профиле автора YouTube-ролика размещают ссылку на сайт, где якобы можно получить подарок. Один из обнаруженных ресурсов маскировался под сервис NovaDrop.
Далее пользователю предлагают:
- выбрать Brawl Stars, Roblox или Standoff 2;
- указать мессенджер, через который он хочет «войти»;
- запустить виртуальную рулетку и получить гарантированный «выигрыш»;
- подтвердить, что он не робот;
- ввести свой номер телефона.
Именно после этого начинается фактическое взлома аккаунта.
Зная номер телефона и выбранный мессенджер, мошенники инициируют настоящую процедуру входа в учетную запись жертвы. На телефон приходит настоящий одноразовый код авторизации от самого мессенджера.
Фишинговый сайт сразу же просит ввести этот код, но объясняет это необходимостью подтвердить получение игрового подарка. Если ребенок вводит эту комбинацию, он фактически передает злоумышленникам ключ для входа в свой аккаунт.
Поддельные отзывы должны развеять последние сомнения
Особое внимание мошенники уделяют оформлению страниц. На них размещают вымышленные отзывы якобы довольных пользователей, а также разделы вопросов и ответов.
В таких сообщениях потенциальную жертву специально убеждают, что ввод номера телефона и кода безопасен и необходим лишь для получения приза.
Сам принцип атаки не нов. Ранее F6 уже фиксировала подобные кампании, в которых детей заманивали бесплатными робуксами, скинами, модификациями игр и другими цифровыми подарками. В некоторых случаях после ввода номера телефона мошенники также выманивали код двухфакторной аутентификации.
Что нужно объяснить ребенку
Самое важное правило очень простое: код, который присылает Telegram, WhatsApp или другой сервис для входа в аккаунт, не может быть кодом для получения подарка в игре.
Его не следует вводить на сторонних сайтах и тем более передавать другому человеку.
Разработчики Standoff 2 также отдельно предупреждают пользователей не передавать посторонним лицам логины, пароли и другие данные учетной записи. Официальные представители игры не запрашивают такую информацию через случайные сообщения в социальных сетях и мессенджерах.
Родителям стоит объяснить ребенку еще одно правило: обещание получить бесплатно дорогую игровую валюту за переход на сторонний сайт само по себе должно стать поводом остановиться.
Особенно опасна ситуация, когда после такого перехода внезапно приходит настоящий код авторизации из мессенджера. Это означает, что кто-то уже пытается войти в аккаунт.
