Una sofisticada operación de estafa como servicio denominada clasiscam ahora se ha infiltrado en Singapur, más de 1,5 años después expandirse a Europa.
“Los estafadores que se hacen pasar por compradores legítimos se acercan a los vendedores con la solicitud de comprar productos de sus listados y el objetivo final de robar datos de pago”, Group-IB dijo en un informe compartido con The Hacker News.
La firma de ciberseguridad llamó a los operadores una “red criminal estafadora bien coordinada y tecnológicamente avanzada”.
Classiscam se refiere a un Operación de ciberdelincuencia con sede en Rusia eso se registró por primera vez en el verano de 2019, pero solo se destacó un año después, coincidiendo con un aumento en la actividad debido a un aumento en las compras en línea a raíz del brote de COVID-19.
Llamó al esquema de fraude más utilizado durante la pandemia, Classiscam se dirige a las personas que usan mercados y servicios relacionados con alquileres de propiedades, reservas de hoteles, transferencias bancarias en línea, venta minorista en línea, viajes compartidos y entregas de paquetes.
Los objetivos iniciales incluían usuarios de mercados y clasificados rusos populares, antes de migrar a Europa y EE. UU. Se cree que hay más de 90 grupos activos que utilizan los servicios de Classiscam para dirigirse a usuarios en Bulgaria, República Checa, Francia, Kazajstán, Kirghizia, Polonia, Rumania, Ucrania, Estados Unidos y Uzbekistán.
La operación fraudulenta se extiende por 64 países de Europa, la Comunidad de Estados Independientes (CEI) y Oriente Medio, con 169 marcas utilizadas para llevar a cabo los ataques. Desde abril de 2020 hasta febrero de 2022, se dice que los delincuentes que aprovecharon Classiscam obtuvieron al menos USD 29,5 millones en ganancias ilícitas.
Lo notable de esta campaña es su gran dependencia de los bots y chats de Telegram para coordinar operaciones y crear páginas de phishing y estafa.
Aquí está el núcleo de cómo funciona todo: los estafadores publican anuncios de cebo en mercados populares y sitios web clasificados, generalmente ofreciendo consolas de juegos, computadoras portátiles y teléfonos inteligentes a la venta con importantes descuentos.
Cuando una víctima potencial se pone en contacto con el vendedor (es decir, el actor de amenazas) a través de la tienda en línea, el operador de Classiscam engaña al objetivo para que continúe el chat en un servicio de mensajería de terceros como WhatsApp o Viber antes de enviar un enlace a una página de pago deshonesto para completar la transacción.
El esquema implica una jerarquía de administradores, trabajadores y llamantes. Si bien los administradores están a cargo de reclutar nuevos miembros, automatizar la creación de páginas fraudulentas y registrar nuevas cuentas, son los trabajadores quienes crean cuentas en sitios web de clasificados gratuitos y colocan los anuncios de señuelo.
Los trabajadores, que reciben entre el 70% y el 80% de las sumas robadas, también son responsables de comunicarse con las víctimas a través de los sistemas de chat de la plataforma y enviar enlaces de phishing diseñados para realizar los pagos de los bienes adquiridos.
“Los trabajadores son participantes clave del esquema de estafa Classiscam: su objetivo es atraer tráfico a los recursos de phishing”, dijeron los investigadores.
Las URL de phishing, por su parte, se generan a través de bots de Telegram que imitan las páginas de pago de los sitios web clasificados locales pero se alojan en dominios parecidos. Sin embargo, esto requiere que los trabajadores envíen el enlace con el producto cebo al bot.
“Después del contacto inicial con el vendedor legítimo, los estafadores generan un enlace de phishing único que confunde a los vendedores al mostrar la información sobre la oferta del vendedor e imitar el sitio web y la URL del clasificado oficial”, dijeron los investigadores. “Los estafadores afirman que se ha realizado el pago y engañan a la víctima para que haga un pago por la entrega o cobre el pago”.
Las páginas de phishing también incluyen una opción para verificar el saldo de la cuenta bancaria de la víctima con el objetivo de identificar las tarjetas más “valiosas”.
Es más, algunos casos incorporan un intento de engañar a las víctimas por segunda vez llamándolas para solicitar un reembolso para recuperar su dinero. Estas llamadas son realizadas por trabajadores asistentes que se hacen pasar por especialistas de soporte técnico para la plataforma.
En este escenario, los objetivos son llevados a una página de pago fraudulenta para ingresar los detalles de su tarjeta y confirmarla al proporcionar una contraseña recibida por SMS. Pero en lugar de un reembolso, se vuelve a debitar la misma cantidad de la tarjeta de la víctima.
Si bien el modus operandi mencionado anteriormente es una instancia de estafa del vendedor, en la que un comprador (es decir, la víctima) recibe un enlace de pago de phishing y es defraudado con su dinero, también existen estafas del comprador.
Esto implica que un estafador se comunique con un vendedor legítimo bajo la apariencia de un cliente y envíe un formulario de pago falso generado por un bot haciéndose pasar por un mercado supuestamente con fines de verificación. Pero una vez que el vendedor ingresa la información de su tarjeta bancaria, se deduce de su cuenta una cantidad equivalente al costo del producto.
Toda la infraestructura de ataque operada por Classiscammers consta de 200 dominios, 18 de los cuales se crearon para engañar a los usuarios de un sitio web clasificado sin nombre de Singapur. Otros sitios en la red se hacen pasar por empresas de mudanzas de Singapur, sitios web clasificados de Europa, Asia y Medio Oriente, bancos, mercados, marcas de alimentos y criptomonedas y empresas de entrega.
“Como parece, Classiscam es mucho más complejo de abordar que los tipos convencionales de estafas”, dijo Ilia Rozhnov de Group-IB. “A diferencia de las estafas convencionales, Classiscam está totalmente automatizado y podría distribuirse ampliamente. Los estafadores podrían crear una lista inagotable de enlaces sobre la marcha”.
“Para complicar la detección y eliminación, la página de inicio de los dominios maliciosos siempre redirige al sitio web oficial de una plataforma de clasificados local”.