Kitul de Phishing Milk Dragon Transformă Reclamele din Social Media în Fraudă de Card în Timp Real
Un kit de phishing-as-a-service (PhaaS) disponibil prin abonament, cunoscut sub numele Milk Dragon, coboară pragul de intrare pentru frauda cu carduri: oferă operatorilor fără cunoștințe tehnice avansate o imagine live a sesiunii de plată a victimei, inclusiv codul de unică folosință necesar pentru aprobarea unei tranzacții frauduloase.
Cum funcționează frauda
Momeala pornește din rețelele sociale, nu din inbox: reclame cu reduceri exagerate la electronice, jucării, modă și produse de larg consum, uneori susținute de imagini generate cu AI sau de urmăritori cumpărați, pentru a părea credibile. Click-ul duce cumpărătorul către un magazin clonat, construit pe WordPress și WooCommerce, care imită un retailer real.
Un modul malițios de checkout menține o conexiune permanentă între browserul victimei și panoul de control al fraudatorului. Această legătură îi permite operatorului să vadă, caracter cu caracter, ce se scrie în formular, să aprobe sau să respingă datele de card introduse și să direcționeze victima către un ecran fals de „verificare a plății”, urmat de o pagină contrafăcută de autentificare bancară. Când sosește codul real de unică folosință, operatorul îl retransmite prin pagina falsă pentru a aproba tranzacția pe contul real — o tehnică de tip adversary-in-the-middle (AiTM), care ocolește autentificarea în doi pași în timp real, nu doar o simplă colectare de parole statice.
De ce contează
Momeala mizează pe teama de a rata o ofertă, nu pe semnalele de urgență cu care oamenii sunt obișnuiți să fie precauți în phishingul clasic. Panoul din spate este construit pentru scalare: centralizează datele victimelor și ale cardurilor pe mai multe pagini clonate, susține conturi de operator cu roluri diferite și trimite alerte prin Telegram — totul pentru câteva sute de dolari pe lună. Este încă un semnal că phishing-as-a-service se mută de la furtul de parole statice la retransmiterea autentificării în timp real, ceea ce anulează eficiența codurilor de unică folosință trimise prin SMS sau aplicație.
Ce e de făcut
Reducerile neobișnuit de mari, oferite de magazine necunoscute pe rețelele sociale, trebuie tratate ca un semnal de alarmă, iar retailerul trebuie verificat independent înainte de a introduce date de plată, nu doar pe baza reclamei. Oricine a introdus datele cardului sau un cod de unică folosință pe o pagină de checkout suspectă trebuie să contacteze imediat banca și să verifice tranzacțiile recente. Organizațiile trebuie să monitorizeze domeniile care imită magazinele lor și fluxurile de checkout neobișnuite, iar autentificarea rezistentă la phishing — passkeys sau chei de securitate fizice, în locul codurilor prin SMS sau aplicație — rămâne cea mai solidă apărare, pentru că elimină complet valoarea unui cod retransmis.