Возвращение Селин Дион на сцену после длительного перерыва вызвало огромный ажиотаж среди поклонников по всему миру. Концерты певицы во Франции, запланированные на 2026 год, стали одним из самых ожидаемых событий в музыкальной индустрии. Однако высокая популярность и дефицит билетов создали идеальную среду для масштабной мошеннической кампании, которую исследовала компания Group-IB. Аналитики выявили многоуровневую схему обмана, сочетающую социальную инженерию и технические манипуляции.
Описание
Злоумышленники действуют по двум основным направлениям. Первое - прямое внедрение в сообщества поклонников в социальных сетях, в частности в группы Facebook* и на Facebook* Marketplace. Мошенники выдают себя за обычных фанатов, постепенно втираются в доверие, а затем предлагают купить билеты якобы в личном резерве. Ключевой признак обмана - временные аномалии. Участники схемы утверждали, что у них есть билеты ещё до официального старта предпродажи 6 апреля. Такие заявления практически гарантированно указывают на мошенничество.
После того как жертва проявляет интерес, включаются приёмы создания искусственной срочности. Мошенники используют повторяющиеся сценарии, подталкивая покупателя к импульсивному решению и блокируя рациональную оценку ситуации. Они требуют перевести деньги напрямую банковским переводом, минуя официальные площадки перепродажи. При этом после подтверждения оплаты жертва действительно получает ссылку на легитимный билет на платформе Ticketmaster с уникальным кодом. Но в этом и заключается суть обмана.
Злоумышленники распространяют одну и ту же цифровую копию билета с идентичным кодом неограниченному числу покупателей. Поскольку билет является одноразовым, на концерт пройдёт только первый зритель, который предъявит его на входе. Все остальные останутся за дверями с потраченными деньгами. Дополнительным признаком мошенничества служит несовпадение имени владельца банковского счёта с именем продавца в профиле Facebook*. Часто мошенники используют украденные или подставные аккаунты, а оригинальное имя можно обнаружить в URL-адресе страницы. После получения денег злоумышленники обычно деактивируют свой профиль - как для заметания следов, так и из-за блокировки после жалоб пострадавших. В ходе исследования аналитики Group-IB лично общались с несколькими такими продавцами, которые целенаправленно эксплуатировали эмоциональный подъём, чтобы снизить критичность мышления жертв.
Второе направление атак - создание поддельных сайтов, имитирующих официальных дистрибьюторов билетов. Group-IB обнаружила более двух десятков мошеннических доменов, которые мимикрируют под ресурсы AXS, Ticketmaster, а также под официальный сайт певицы и страницу концертной площадки Paris La Défense Arena. Эти сайты использовали инфраструктуру Shopify для приёма платежей, что придавало им видимость легитимности. Злоумышленники размещали страницы с доменами вида pay.* для оплаты и account.* для имитации входа в личный кабинет. На страницах аутентификации применялся протокол OAuth 2.0 от Shopify, а в URL были включены параметры для доступа к истории заказов, адресам электронной почты и сохранённым способам оплаты.
Анализ внутренней структуры сайтов показал использование путей /cdn/shop/files/, что является фирменной чертой сети доставки контента Shopify. Это указывает на то, что сайты были созданы с использованием стандартных инструментов платформы. Однако самое интересное открытие - единый фишинговый набор, применяемый для всех поддельных ресурсов. Group-IB выявила, что в параметрах OAuth state все домены содержат префикс "hWNA". Такая повторяемость не может быть случайной. Вероятно, это результат использования общего скрипта - с низкоэнтропийным генератором случайных строк, типичным для готовых фишинговых наборов.
Дополнительным доказательством служит копия-вставка: во всех поддельных сайтах в параметрах OAuth указан язык locale=en-GB, несмотря на то что домены зарегистрированы во французской зоне и текст на сайтах написан по-французски. Это говорит о том, что набор был разработан для англоязычной аудитории, а затем адаптирован для французских фанатов без корректировки настроек. Аналитики предполагают, что тот же самый комплект мог использоваться во время аналогичных мошеннических кампаний, приуроченных к туру Oasis в 2024 году и туру Taylor Swift в 2023-2024 годах.
Сложность схем и их масштаб свидетельствуют о профессиональном подходе злоумышленников. Они не только создают поддельные сайты и внедряются в сообщества, но и используют психологическое давление, а также технические возможности легальных платформ для придания видимости законности своих действий. Для обычных поклонников отличить настоящий билет от поддельного становится всё труднее. Group-IB рекомендует всегда покупать билеты только на официальных площадках дистрибьюторов (в данном случае AXS, Ticketmaster или Fnac). При покупке с рук предпочтение стоит отдавать физическим билетам, которые можно проверить лично. Если мошенничество всё же произошло, необходимо немедленно обратиться в банк для опротестования платежа. Всегда стоит проверять URL-адрес сайта, сравнивать цены с официальными и не поддаваться на искусственно созданную срочность.
* Компания Meta и её продукты (включая Instagram, Facebook, Threads) признаны экстремистскими, их деятельность запрещена на территории РФ.
Индикаторы компрометации
Domain
- account.celine-dion-arena.com
- account.celinedion-paris-billetterie.com
- account.celinedion-parisladefense-arena.com
- account.ticketmaster-celinedion.fr
- axs-billetterie.com
- billeteriecelinedion.com
- celinedion.co
- celinedion-2026.com
- celinedion2026tour.com
- celine-dion-arena.com
- celinedion-billetterie.com
- celinedion-fr.com
- celinedion-france.com
- celinedionofficial.com
- celinedionparis.com
- celinedion-paris.com
- celine-dion-paris.com
- celinedion-paris-billetterie.com
- celinedion-parisladefense-arena.com
- celinedionparistickets.com
- celinedionparsifr.com
- fr-celinedionparis.com
- pay.celinedionparis.com
- pay.celinedion-paris.fr
- pay.celinedion-parisladefense-arena.com
- pay.celinedionparistickets.com
- pay.ticketmaster-celinedion.com
- ticketmaster-celinedion.com
- ticketmaster-celinedion.fr
- tickets-celinedion.com
- www.celinedionparistickets.com
URL
- https://account.celine-dion-arena.com/authentication/login?client_id=4983cefd-9810-444e-9eb0-64b4933878eb&locale=en-US&redirect_uri=%2Fauthentication%2Foauth%2Fauthorize%3Fclient_id%3D4983cefd-9810-444e-9eb0-64b4933878eb%26locale%3Den-US%26nonce%3Dc4f2c148-2acb-4684-b19e-097d64ab8dd6%26redirect_uri%3Dhttps%253A%252F%252Faccount.celine-dion-arena.com%252Fcallback%26response_type%3Dcode%26scope%3Dopenid%2Bemail%2Bcustomer-account-api%253Afull%26state%3DhWNArFqrbMvKRksSv7JganvH
- https://account.celinedion-paris-billetterie.com/authentication/login?client_id=96d99313-0cf3-46ba-948f-066e2979c652&locale=en-US&redirect_uri=%2Fauthentication%2Foauth%2Fauthorize%3Fclient_id%3D96d99313-0cf3-46ba-948f-066e2979c652%26locale%3Den-US%26nonce%3D13b6260a-3cc5-4f4f-84d7-cb314641b7dc%26redirect_uri%3Dhttps%253A%252F%252Faccount.celinedion-paris-billetterie.com%252Fcallback%26response_type%3Dcode%26scope%3Dopenid%2Bemail%2Bcustomer-account-api%253Afull%26state%3DhWNArFqrU84fIsT8RqGf7zPf
- https://account.celinedion-parisladefense-arena.com/authentication/login?client_id=a53f5577-962a-4b5c-96cd-03e498fb55d5&locale=en-US&redirect_uri=%2Fauthentication%2Foauth%2Fauthorize%3Fclient_id%3Da53f5577-962a-4b5c-96cd-03e498fb55d5%26locale%3Den-US%26nonce%3D4cd5dff3-c483-4abd-a99e-c90be7965ef0%26redirect_uri%3Dhttps%253A%252F%252Faccount.celinedion-parisladefense-arena.com%252Fcallback%26response_type%3Dcode%26scope%3Dopenid%2Bemail%2Bcustomer-account-api%253Afull%26state%3DhWNArFqsvrke3GcGkFZxAqQd
- https://account.ticketmaster-celinedion.fr/authentication/login?client_id=7e7dbd4b-c5a9-4d4e-af60-64fd673ea525&locale=en-US&redirect_uri=%2Fauthentication%2Foauth%2Fauthorize%3Fclient_id%3D7e7dbd4b-c5a9-4d4e-af60-64fd673ea525%26locale%3Den-US%26nonce%3Dcdc91d10-2a95-4f80-92cd-ba9204a5edd7%26redirect_uri%3Dhttps%253A%252F%252Faccount.ticketmaster-celinedion.fr%252Fcallback%26response_type%3Dcode%26scope%3Dopenid%2Bemail%2Bcustomer-account-api%253Afull%26state%3DhWNAmhJgfrrdQ1bVJJXLbgCh
- https://billeteriecelinedion.com/en/
- https://celinedion.co/
- https://celinedion-2026.com/
- https://celine-dion-arena.com/
- https://celinedion-fr.com/
- https://celinedion-france.com/
- https://celinedion-france.com/cart
- https://celinedionofficial.com/
- https://celinedionparis.com/
- https://celinedion-paris.com/
- https://celinedion-paris.fr/
- https://celinedion-paris-billetterie.com/
- https://celinedion-parisladefense-arena.com/
- https://celinedionparistickets.com/
- https://celinedionviptickets.com/
- https://fr-celinedionparis.com/
- https://pay.celinedionparis.com/
- https://pay.celinedion-paris.fr/
- https://pay.celinedion-parisladefense-arena.com/
- https://pay.celinedionparistickets.com/
- https://pay.ticketmaster-celinedion.com/
- https://scamadviser.com/
- https://ticketmaster-celinedion.com/
- https://ticketmaster-celinedion.fr/
- https://tickets-celinedion.com/
- https://urlscan.com
- https://virustotal.com
- https://www.celinedion2026tour.com/
- https://www.celine-dion-paris.com/
