Ежедневно пять миллионов пассажиров пользуются услугами французской национальной железнодорожной компании SNCF. Именно этих людей выбрали своей целью организаторы сложной мошеннической схемы, сочетающей фишинговые письма и звонки от лжебанкиров. Исследователи из Group-IB подробно разобрали механизм атаки и обнаружили, что злоумышленники опираются на данные утечки 2024 года.
Описание
Схема состоит из двух чётко разделённых этапов. На первом жертва получает электронное письмо с заманчивым предложением большой скидки на абонемент или билеты SNCF. Мошенники тщательно выбирают время рассылки: она приурочена к французским школьным каникулам, которые приходятся на октябрь, декабрь, февраль, апрель, июль и август. В эти периоды люди активно планируют поездки семьёй и легче поддаются на обещания выгоды.
Поддельные веб-сайты, на которые ведут ссылки из писем, максимально точно копируют официальный портал SNCF. Доменные имена включают знакомые слова вроде "avantages" (преимущества), "offres" (предложения) или "sncf-connect". Например, домен avantage-offres[.]com активировался в декабре 2024 года, T-mail-avantages[.]com - в апреле 2025-го, а sncf-connect[.]net - в июле 2025-го. Внешний вид сайтов настолько реалистичен, что жертвы не замечают даже очевидных признаков подделки, таких как странный адрес отправителя письма.
Ключевая особенность схемы - использование легитимных платёжных систем. Когда жертва выбирает товар на фальшивом сайте, её перенаправляют на реальную страницу оплаты Stripe - известного международного сервиса. Это почти полностью снимает подозрения у покупателя. Однако, как выяснили аналитики, мошенники нашли лазейку в правилах самой платформы. Чтобы оспорить платеж, жертва должна сначала открыть обращение о злоупотреблении. К тому моменту, когда платформа начинает разбирательство, злоумышленники уже забирают деньги, и банку клиента становится крайне сложно провести расследование и вернуть средства.
На этом первый этап не заканчивается. В ходе оплаты жертва передаёт не только деньги, но и личные данные: имя, адрес электронной почты, номер телефона. Именно эти сведения запускают второй этап.
На следующий день после "покупки" жертве звонит человек, представляющийся сотрудником её банка. Он сообщает, что в банковском приложении обнаружена подозрительная транзакция, и предлагает помощь. Злоумышленник ловко играет на эмоциях: сначала напоминает о том, что жертва попалась на уловку мошенников, а затем даёт ложное чувство облегчения, обещая заблокировать платеж и вернуть деньги. Доверчивый собеседник охотно выполняет инструкции лжебанкира - сообщает секретный код подтверждения, добавляет в свой аккаунт чужой международный номер банковского счёта (IBAN) или одобряет переводы. В реальности все эти действия дают мошеннику доступ к счетам и позволяют вывести ещё больше средств.
Жертвы сами оставляют свидетельства в публичных форумах. Они признаются, что сначала получили письмо, а на следующий день - звонок от "банковского советника". Одна из пострадавших рассказала, что её попросили продиктовать код безопасности для блокировки первого мошеннического платежа, после чего с её счёта списали ещё несколько тысяч евро.
Как выяснили специалисты Group-IB, мошенники не действуют вслепую. Все жертвы ранее фигурировали в утечке данных, опубликованной на форуме в сентябре 2024 года под названием Addka72424. Адреса электронной почты пострадавших оканчиваются на .fr или принадлежат популярным французским почтовым сервисам, а номера телефонов начинаются на 06 или 07. Атака нацелена исключительно на клиентов SNCF, говорящих по-французски, и не затрагивает пользователей из других стран.
Последствия такой атаки могут быть катастрофическими для отдельного человека. Мало того что жертва теряет деньги, уплаченные за несуществующий товар, так ещё и лишается средств со своего счета - вплоть до полного опустошения. Вернуть украденное крайне трудно из-за пробелов в политике возмещения платёжных систем и длительных процедур банковских расследований.
Специалисты Group-IB подчёркивают, что эта схема демонстрирует рост сложности социальной инженерии. Пассивное фишинговое письмо уже не является главным инструментом. Злоумышленники активно взаимодействуют с жертвой по телефону, используя подробные сценарии и манипулируя доверием и страхом. Они хорошо изучили поведение своих целей и процессы компаний, которых имитируют.
Подобные атаки становятся всё более популярными в эпоху электронной коммерции. Каждый сезон распродаж, праздничные даты и туристические периоды создают идеальные условия для запуска таких кампаний. Организаторы схемы могут с лёгкостью адаптировать её под любой бренд или событие, что делает угрозу массовой и повторяющейся. Клиентам крупных сервисов стоит помнить: если предложение выглядит слишком заманчивым, это почти наверняка ловушка.
Индикаторы компрометации
