Supermarket Phishing
In un momento tanto difficile per l’economia delle famiglie, attanagliate dal caro vita, dalle scadenze fiscali e dall’assenza di lavoro, i cyber criminali, dimostrandosi soggetti ad un livello sempre più abbietto, decidono di lucrare colpendo fasce sempre più ampie di popolazione con false offerte relative alla spesa di tutti i giorni.
D3Lab ha appena rilevato il nuovo tentativo di frode, ad opera di coloro che già si sono resi autori del phishing contro Agip/Eni e Carrefour. La mail fraudolenta, riportata nell’immagine sottostante, presenta le seguenti caratteristiche
Mittente visualizzato: “Ritira 50 euro in buoni supermercato” <[email protected]>
Oggetto: Richiedi il buono sconto di 50 euro a 5 euro !
Testo del messaggio:
————————————————————-
PAGANDO SOLO 5€,AVRAI DIRITTO A: – 50 EURO DA SPENDERE NEL SUPERMERCATO PIÙ VICINO A TE. VERRA’ RECAPITATO AL TUO INDIRIZZO DA UTILIZZARE PRESSO I SUPERMERCATI : AUCHAN – LD – LIDL – COOP – CONAD . CARREFOUR – DESPAR – IPER. SU UNA SPESA MINIMA DI 100 EURO NON CUMULABILI. http://www.buonisconti.tv/ Servizio offerto da: Europublic Srl Via Campo Rotondo n.14 00132 Roma RM P.Iva 01584760431 REA RM12998/57
————————————————————
La mail è partita da una rete locale, presumibilmente aziendale dato il range di indirizzi IP rilevabile dagli headers, per transitare su un server di posta britannico nelle prime ore della notte appena trascorsa.
Il link proposto porta effettivamente all’unica pagina del dominio buonisconti.tv, dove un frame trae la sua sorgente dall’url
http://www.buonsconto.com/Persolo5euro.html
Entrambi i domini sono di recentissima registrazione
la pagina web fraudolenta, riprodotta nell’immagine sottostante, propone al costo di soli 5 Euro l’adesione ad un offerta per la
ricezione di un buono sconto da 50 Euro spendibile presso i supermercati Auchan, Carrefour, LD Market, Lidl, Despar, Coop, Conad e Iper. Cliccando sul pulsante procedi si viene portati ad una seconda pagina in cui vengono richiesti dati anagrafici
compilata la quale si prosegue verso la richiesta di dati della carta di credito e, nelle pagine successive dei relativi codici di verifica
I criminali hanno cercato di nascondere il proprio operato inserendo su buonosconto.com pagine di un sito di e-commerce fasullo, basta fare riferimento ai recapiti di contatto per rendersi conto della natura posticcia del sito, atta unicamente a trarre in inganno chi dovesse svolgere accertamenti superficiali.
Che gli autori di tale frode siano i medesimi che hanno colpito Agip/Eni e Carrefour Italia, lo si desume dal template delle pagine in cui vengono richiesti e verificati i dati anagrafici e quelli di carta di credito, dal modus operandi facente uso di domini registrati presso No-Ip e di frame, nonché dalle strutture dei siti fraudolenti, rilevabili dall’esame dei codici html. Se infatti osserviamo il link nascosto dal pulsante “Procedi” posto nella prima pagina rileviamo l’url seguente:
http://www.buonsconto.com/travel.eni.com/iveportal/cards/W155.PKG_RICONLINE.show_pageNL22.php
possiamo in esso notare la presenza delle stringhe travel.eni.com, iveportal, W155.PKG_RICONLINE.show_pageNL22.php
Abbiamo a che fare con criminali pigri, che pur di non riscrivere i collegamenti, i link, mantengono nomi di directory non attinenti alla frode stessa.
Quanto accaduto nell’anno in corso dimostra come il phishing non sia una minaccia rivolta solo ai conti correnti ed agli istituti di credito. Con un minimo di fantasia i criminali possono riproporre attacchi di phishing motivandoli con offerte di spesa, carburante, rimborsi fiscali, pagamenti tasse e quant’altro una mente dalla fantasia vivace può inventarsi.
Nel caso specifico quale degli enti coinvolti (le diverse catene di iper e super mercati) sarà intenzionata ad intervenire attivando la propria struttura a contrasto della frode. Nessuna di esse trae un danno economico diretto e se vogliamo anche quello di immagine può considerarsi spalmabile tra tutti i diversi marchi. Questa tipologia di phishing rischia di mostrarsi efficace e duratura se le parti coinvolte non si riterranno tali ed eviteranno azioni dirette a contrasto del fenomeno.
