Мошеннические объявления Google вели владельцев Ledger на поддельную проверку кошелька

Объявление показывалось по запросам, связанным с продуктами Ledger. Поисковая система помечала его как рекламу проверенного рекламодателя с давней историей и без жалоб на прежние нарушения. В сведениях об аккаунте указывалась Германия. Рядом со ссылкой отображался счётчик посещений, который относился к самому домену google.com, а не к мошеннической странице. Для человека без технического опыта такая деталь усиливала доверие. Наиболее вероятное объяснение - взлом аккаунта рекламодателя: один скомпрометированный профиль открывает доступ к аудитории миллионов людей.

Нажатие на объявление не вело на поддельный сайт напрямую. Сначала браузер открывал страницу в облачном хранилище Google, затем перебрасывал пользователя на площадку Vercel и уже оттуда - на страницу Google Sites, где в отдельном встроенном окне отображалось содержимое, имитирующее сайт Ledger. По данным Zscaler ThreatLabz, адрес промежуточной площадки менялся примерно каждые 15-20 минут. Такая частота обновления затрудняет блокировку по репутации домена: защитные системы вносят адрес в списки тогда, когда он уже не используется.

Организаторы кампании могли менять отдельные звенья цепочки, не переделывая схему целиком. Страница в облачном хранилище оставалась прежней, а конечный адрес поддельного содержимого обновлялся. Такой подход продлевает жизнь кампании: даже если один адрес попадёт в чёрный список, остальные продолжат работать. Перебрасывать пользователя через несколько легитимных сервисов выгодно ещё и потому, что каждый из них по отдельности выглядит безобидно.

Поддельная страница повторяла официальный интерфейс и предлагала скачать приложение для Windows, macOS, Linux и мобильных устройств. Посетителю давали выбрать модель кошелька, показывали сообщения о подключении устройства и обновлении встроенного программного обеспечения. Ни одно из этих сообщений не отражало реальность - никакого подключения не происходило. Далее появлялось предложение подтвердить право владения устройством.

Кульминацией становился запрос секретной фразы восстановления. Этот набор слов служит резервным ключом к кошельку: с его помощью доступ возвращают в любой совместимой программе. Именно поэтому такая фраза интересует злоумышленников больше всего. Поддельная форма подсказывала слова по мере ввода, опираясь на стандартный список из 2048 английских слов, из которых подобные фразы и составляют.

После отправки данных страница сообщала об ошибке и просила ввести фразу заново. Вторая попытка тоже уходила на сервер, которым управляли преступники, после чего человека возвращали на исходную страницу. Сравнения двух введённых вариантов на стороне сервера не происходило: сообщение об ошибке служило убедительности и заставляло повторить ввод.

Страница собирала дополнительные сведения о посетителе: нажатия клавиш, касания экрана, движения мыши, характеристики устройства. Отдельный скрытый элемент проверял, не управляется ли браузер программой-роботом. Собранные данные помогали отсеивать автоматические системы анализа, способные раскрыть схему раньше времени. На поддельной странице работал и сторонний счётчик аналитики - обычный инструмент, который в руках преступников превращается в средство оценки эффективности кампании.

Аппаратные кошельки считаются одним из самых надёжных способов хранения криптовалюты, поскольку закрытый ключ не покидает устройство. Слабое место - человек. Фраза восстановления существует как раз для того, чтобы доступ можно было вернуть при утере или поломке гаджета. Мошенники переносят атаку с техники на владельца, и результат обходится дешевле и достигается быстрее, чем при попытке взлома самого устройства.

Ущерб в таких случаях оказывается полным. Секретная фраза не привязана к конкретному кошельку, поэтому после её передачи вернуть средства практически невозможно, а транзакции в криптовалютных сетях не отменяются. Производитель Ledger не запрашивает эту фразу - ни в приложении, ни по электронной почте, ни на сайте. Владельцам аппаратных кошельков стоит хранить её только на бумаге или в защищённом офлайн-месте и не вводить ни в одну форму в браузере.

Схема отражает общую тенденцию: мошенники всё чаще арендуют доверие крупных платформ вместо создания поддельных доменов. Объявление проходит модерацию, у аккаунта есть история, а промежуточные перебросы идут через легитимные сервисы. Проверить ссылку по внешнему виду почти невозможно, поэтому надёжнее набирать адрес вручную или пользоваться закладками. Компаниям стоит внимательнее следить за состоянием рекламных аккаунтов и включать двухфакторную аутентификацию для доступа к ним. Захват одного профиля даёт злоумышленникам готовую площадку для массовых атак, а восстановление доверия к бренду после такой кампании занимает куда больше времени, чем её подготовка.