Итальянские пользователи сервиса денежных переводов Wise столкнулись с седьмой по счёту фишинговой кампанией 2026 года. Мошенники не ограничиваются кражей логина и пароля. Они выстраивают длинную цепочку поддельных страниц, чтобы получить доступ к счёту, электронной почте и документам человека. Для владельцев аккаунтов в международных платёжных сервисах риск не сводится к утечке личных данных. Захваченный профиль позволяет вывести деньги жертвы на чужие счета или задействовать её имя в схемах по отмыванию средств, добытых другими преступлениями. Именно поэтому такие кампании требуют подготовки: поддельные страницы создают заранее и ведут человека по шагам. Wise известен недорогими переводами и обменом валюты, поэтому им пользуются те, кто регулярно отправляет деньги за границу. Приёмы, которые применяют против итальянцев, знакомы пользователям платёжных сервисов по всему миру.
Описание
Против итальянской аудитории Wise подобные атаки идут с 2023 года. Пик пришёлся на 2024 год: тогда зафиксировали восемь кампаний. Дальнейший рост числа атак в 2026 году зависит от того, насколько успешными окажутся текущие попытки. Злоумышленники, занятые фишингом, действуют ситуативно. Они запускают массовые рассылки, и если выбранная цель приносит результат, возвращаются к ней снова. Когда схема не срабатывает, интерес смещается к другим сервисам. Чем чаще одна и та же схема даёт результат, тем дольше её используют без изменений. По данным за период с 2020 года итальянские клиенты Wise остаются постоянной мишенью, тогда как многие другие платёжные платформы попадают под атаки заметно реже.
Схема обмана состоит из шести последовательных шагов. По данным команды по борьбе с мошенничеством D3Lab, первая страница запрашивает логин и пароль от аккаунта Wise, а также номер телефона, привязанный к профилю. Затем две следующие страницы требуют одноразовые коды, которые приходят в СМС. Такой запрос указывает на живое взаимодействие с оператором преступной группы. Он сам инициирует отправку паролей, пока жертва вводит их на поддельном сайте. Четвёртая страница предлагает привязать аккаунт к почтовому ящику человека и просит пароль от почты. Это открывает путь к дальнейшим взломам, поскольку через письма можно сбросить пароли к другим сервисам и подтвердить операции от имени владельца.
Дальше следует просьба прислать фотографию лица с документом в руках. Такой снимок совпадает по формату с изображением, которое требуют при проверке новых аккаунтов на множестве площадок. Получив его, преступники могут регистрироваться от имени жертвы там, где нужна проверка личности. Снимок с документом остаётся пригодным для повторного использования дольше, чем пароль. Завершающая страница сообщает, что все операции прошли успешно. Спокойный финал нужен для того, чтобы человек не сразу обратился в поддержку и не заблокировал доступ.
Поддельный сайт работает на домене, который создали специально для этой кампании. Его название имитирует бренд Wise и рассчитано на невнимательность пользователей. Пока человек видит знакомый логотип и привычные поля, он редко проверяет адресную строку. Как распространялись ссылки на поддельные страницы - через электронные письма или СМС - неизвестно. Выявить клон удалось не через отслеживание канала распространения, поэтому источник переходов остался неустановленным. Захваченные аккаунты применяют для перевода средств, добытых другими преступлениями, либо для вывода денег со счетов самих жертв. Пострадавшие узнают о проблеме с задержкой, когда операции уже проведены. Для самой жертвы последствия не ограничиваются потерей денег: переписка и документы тоже попадают в чужие руки. Восстановление доступа занимает дни, а разбирательство с платёжной организацией может тянуться месяцами. Финансовым организациям такие инциденты добавляют работы: растёт нагрузка на службу поддержки и число разбирательств по жалобам клиентов.
Базовые меры защиты остаются прежними. Насторожиться уместно при любом неожиданном сообщении о проблемах со счётом, блокировке или проверке данных. Переходить по ссылкам из таких писем и СМС не нужно. Уточнить информацию можно в официальном приложении сервиса или по контактам, найденным на сайте компании вручную. Многие люди плохо различают подлинный адрес платёжной платформы и похожее написание, поэтому проверка домена на глаз помогает не всегда. Двухфакторная аутентификация (вход с подтверждением второго фактора) уменьшает ущерб, если пароль уже попал к мошенникам. От схем, где жертву убеждают добровольно назвать одноразовые коды, она не защищает. Полезно включить уведомления о каждой операции и раз в несколько дней просматривать историю платежей. Если доступ к профилю потерян, стоит сменить пароли в почтовом ящике, привязанном к аккаунту, и сообщить о случившемся в поддержку платёжного сервиса.
Число кампаний против итальянских клиентов Wise напрямую зависит от того, сколько попыток окажется успешными. До конца года счёт вполне может вырасти.
Индикаторы компрометации
