В поисковой выдаче всё чаще появляются сайты, которые выглядят как сервис подарочных карт Bitrefill. Человек выбирает сумму и криптовалюту, получает QR-код и адрес для перевода. Деньги уходят не компании, а мошенникам. Вернуть их обратно практически невозможно.
Описание
Bitrefill - легальная компания. Она продаёт подарочные карты Amazon, Deliveroo, Apple, Nintendo и тысяч других магазинов, а также виртуальные SIM-карты и пополнение мобильных счетов. Оплатить покупку можно криптовалютой прямо на сайте. Этой узнаваемостью и пользуются злоумышленники. Они копируют бренд и весь процесс оформления заказа.
Схема рассчитана на тех, кто ищет Bitrefill или конкретный товар, например подарочную карту. В результатах поиска человек видит ссылку, похожую на официальный ресурс, но попадает на другой домен. Поддельная страница проводит его через привычную покупку. Никакого отношения к Bitrefill такие сайты не имеют.
Такая схема обходит барьеры, которые обычно мешают фишингу. Злоумышленнику не нужно красть пароль, обходить двухфакторную аутентификацию и входить в чужой аккаунт. Жертва сама переводит криптовалюту на адрес, который контролируют мошенники. Как показало исследование, это объясняет, почему обнаружена целая группа поддельных сайтов, а не одна страница; приём платежей на них доходит до 1990 долларов.
Разобранный сайт почти неотличим от настоящей страницы оплаты Bitrefill. Домен собран из названия бренда и добавленного слова. Оформление совпадает, страница работает быстро, платёжный сценарий повторяет оригинал. Покупателя просят указать электронную почту для уведомлений о заказе, рядом стоят ссылки на условия обслуживания и политику конфиденциальности. Затем предлагают способ оплаты: Bitcoin, Ethereum, USDC, USDT, Solana, Litecoin. Есть и оплата картой с небольшой наценкой.
Далее человек выбирает сумму кнопками с готовыми значениями. Верхняя граница - 1990 долларов. Несогласованные обозначения валют на этой странице выдают подделку, но заметить их трудно. Финальный экран показывает QR-код, адрес для одноразового перевода, сумму в выбранной криптовалюте и таймер примерно на час. Сам по себе ни один из этих элементов не должен настораживать. Одноразовые адреса, ограничение по времени и конвертация валюты обычны для криптовалютных касс. Отличается только адрес получателя.
Распространяются такие страницы не через почтовые рассылки. Bitrefill публично сообщила, что сайты-копии с похожими названиями появляются в поисковой выдаче, а её служба безопасности вместе со специалистами по удалению добивается их блокировки. Настройки поддельной страницы это подтверждают. Посетителя перебрасывают на второй домен той же группы, а ссылка содержит параметр с названием поисковой системы. Значит, операторы помечают трафик по источнику. Ещё одна деталь: на поддельной кассе установлена коммерческая аналитика, та же, что используют легальные интернет-магазины для подсчёта брошенных корзин. Владельцы хотят измерять и улучшать долю посетителей, которые доводят оплату до конца. Такие кампании ведут как бизнес, а не как разовую затею, и жертва в них играет роль клиента.
Домены в этой группе маскируются несколькими способами. В одних одну букву заменяют на похожий символ, и бренд выглядит правильным, пока не присмотришься. В других добавляют правдоподобное слово вроде pay или gift, получая адрес, похожий на официальную платёжную страницу. Иногда применяют оба приёма. Часть адресов построена на интернационализированных доменных именах: они могут содержать символы разных алфавитов или латинские буквы со знаками. Браузер преобразует их в формат с началом xn-- (так называемый Punycode). На экране телефона такие написания почти неразличимы. Присутствие названия компании в адресе ничего не говорит о владельце.
Простая внимательность к мелким различиям не спасает. Адреса рассчитаны на то, чтобы обмануть зрительный контроль. Надёжнее начинать с сайта, которому вы уже доверяете: открыть сохранённую закладку или вручную ввести bitrefill.com. Если покупка уже идёт на настоящем сайте, не стоит открывать кассу из отдельного поискового запроса. К результатам поиска по платёжным страницам следует относиться с подозрением, потому что рекламу и верхние позиции покупают. Перед отправкой денег проверьте адресную строку: криптовалютные платежи не отменяются и не возвращаются. Настораживать должно и слово, добавленное к названию бренда. Настоящий поддомен ставит уточнение перед основным доменом, как в pay.example.com; адрес вида example-pay.com - отдельный домен, который может зарегистрировать кто угодно. Не подтверждайте запросы кошелька на непроверенных сайтах. Подключение кошелька обычно не переводит средства, но мошенники могут попросить подтвердить операцию или выдать права на цифровые активы, что позволяет их украсть.
Если деньги уже отправлены, действовать нужно быстро, хотя шансы на возврат малы. Сообщите адрес получателя бирже или провайдеру кошелька, подайте заявление в службу по борьбе с мошенничеством, уведомьте Bitrefill - она добавит домен в список на удаление. Сервисы, которые обещают вернуть похищенную криптовалюту за предоплату, часто оказываются повторным обманом. Число копий платёжных страниц растёт, потому что схема требует лишь аккуратной имитации внешнего вида и доверия к первой ссылке в выдаче.
Индикаторы компрометации
