Мошенники заманивали пользователей на поддельные страницы ****** с помощью спам-писем. Сами страницы были размещены на взломанном новозеландском сайте под управлением WordPress. Киберпреступники не осуществили подмену ссылки в адресной строке браузера (спуфинг URL), поэтому внимательные пользователи могли заметить неправильный адрес. Однако те, кто попался на удочку, предоставляли не только свою платежную информацию, но и данные удостоверения личности. По мнению Криса Симса (Chris Sims) из PhishMe, мошенники использовали эти сведения для создания криптовалютного кошелька для дальнейшего отмывания похищенных средств.

Процесс загрузки селфи весьма необычен. Вместо того, чтобы с помощью WebRTC или Flash получить доступ к web-камере на устройстве пользователя, сделать снимок и автоматически загрузить его в поддельную форму авторизации, киберпреступники просили пользователя самого загрузить фото с компьютера. Такой процесс довольно продолжительный и давал жертве время на то, чтобы догадаться о мошенничестве.

Как бы то ни было, но даже самые ловкие мошенники допускают ошибки. Загруженные фотографии не сохранялись на сервере, а отправлялись на адрес oxigene[.]007@yandex[.]com. Как показывает поиск в Skype, адрес зарегистрирован за неким najat zou из Мансака (Франция).

Вышеописанный случай является не первым, когда киберпреступники требуют от жертв фото с паспортом. В октябре прошлого года эксперты McAfee Labs сообщили о варианте банковского Android-трояна Acecard, запрашивающего у пользователя в рамках «трехэтапной аутентификации» фотографию с удостоверением личности.