Huijarit käyttävät Shopify-sovellusta väärennettyjen kuittien levittämiseen – Älä soita annettuun numeroon

Tietoturvauhkatoimijat käyttävät Shopify-verkkokauppa-alustan Shop-tilaustenseurantasovellusta hyväkseen lisäämällä väärennettyjä ostokuitteja käyttäjien tilaushistoriaan. Tavoitteena on saada käyttäjä soittamaan petolliseen tukeen, jossa huijari yrittää varastaa tietoja tai asennuttaa etäkäyttöohjelmiston .

Huijarit tekeytyvät tunnetuiksi brändeiksi, kuten Norton, McAfee, Apple ja PayPal. Väärennetyissä kuitteissa on esiintynyt esimerkiksi iPhone-ostoja ja Apple-lahjakortteja sekä väärennettyjä tietoturvatilauksia . Tärkeää on, ettei Shop-sovellusta tai Shopify-alustaa ole murrettu – huijarit väärinkäyttävät sovelluksen normaalia ominaisuutta .

Miten huijaus toimii?

Huijaus perustuu siihen, että käyttäjät luottavat Shop-sovellukseen, joka kokoaa ostokuittaukset ja seurantatiedot yhteen paikkaan . Huijarit luovat väärennettyjä tilauksia, jotka ilmestyvät käyttäjän tilaushistoriaan aitojen ostosten joukkoon. Koska sovellus hakee tilauksia automaattisesti käyttäjän sähköpostista (esim. Gmail tai Outlook), väärennetty kuitti näyttää aidolta .

Brändit ja sosiaalinen manipulointi

Kuitit jäljittelevät Nortonin, McAfeen, Applen (iPhone ja lahjakortit) ja PayPalin kaltaisia brändejä . Brändit on valittu tarkkaan: esimerkiksi yli 300 euron tietoturvatilaus tai kallis Apple-tuote herättää kiireen ja paniikin, mikä saa käyttäjän soittamaan ilmoitettuun numeroon .

Callback-phishing-päätepiste

Olennaista on kuittiin upotettu puhelinnumero, joka on usein kirjoitettu tuotteen kuvaukseen, toimitusosoitteeseen tai tilauksen tietoihin. Viesti kehottaa soittamaan tukeen, jos veloitusta ei ole tunnistettu . Kun käyttäjä soittaa, huijari vastaa väittäen olevansa asiakaspalvelija ja yrittää:

• Varastaa luottokorttitiedot ja henkilötiedot väittäen tekevänsä hyvitystä.
• Saada käyttäjätunnukset ja salasanat.
• Asennuttaa etäkäyttöohjelmiston, joka antaa huijarille täyden hallinnan laitteeseen .

Useimmissa raportoiduissa tapauksissa oikeaa veloitusta ei koskaan ilmesty käyttäjän tileille – koko uhka on puhelu .

Shopifyn vastaus

Shopify kertoi BleepingComputerille tunnistaneensa väärinkäyttäjiä ja ottaneensa käyttöön uusia torjuntakeinoja, jotka ovat vähentäneet petoksia merkittävästi ja parantaneet niiden havaitsemista tulevaisuudessa . Yhtiö ei kertonut tarkkoja teknisiä yksityiskohtia, mutta ohjaa käyttäjiä viralliseen tietoturvaohjeistukseensa, jossa kehotetaan tarkistamaan sähköpostiosoitteen aitous (esim. @shopify.com) ja olemaan soittamatta epäilyttäviin numeroihin .

Ilmoituskanavat

Saat epäilyttävän sähköpostin? Lähetä se osoitteeseen phishing@shopify.com. Jos se tekeytyy Nortoniksi, lähetä se myös osoitteeseen spam@norton.com .

Toimi näin, jos näet epäilyttävän kuittauksen

1. Älä soita ilmoitettuun numeroon. Aidot yritykset eivät laita tukinumeroita kuittien yhteyteen .
2. Tarkista veloitus suoraan pankkisi tai korttisi kautta. Kirjaudu pankkisovellukseen tai -verkkosivulle, älä ilmoituksen linkkien kautta .
3. Älä klikkaa linkkejä tai lataa tiedostoja epäilyttävästä tilauksesta .
4. Katkaise sähköpostin synkronointi Shop-sovelluksesta väliaikaisesti (Asetukset > Sähköpostin integrointi), jotta väärennetyt tilaukset eivät täytä historiaa .
5. Ilmoita huijauksesta. Lähetä tieto phishing@shopify.com, ja jos kyseessä on Norton, myös spam@norton.com .
6. Jos olet jo soittanut numeroon, ota heti yhteys pankkiisi tilien jäädyttämiseksi, aja haittaohjelmatarkistus, vaihda Shopify-salasana ja ota kaksivaiheinen tunnistus käyttöön .
7. Merkitse tilaus epäilyttäväksi Shop-sovelluksessa, jos se on mahdollista – tämä auttaa alustaa tunnistamaan vastaavia petoksia .

Yhteenveto

Callback-phishing-huijaus Shop-sovelluksessa on uusi vaihe verkkourkinnassa: huijarit eivät enää tyydy sähköpostiin, vaan asettavat väärennetyt kuitit suoraan sovellukseen, jota käyttäjät pitävät luotettavana. Kyse ei ole teknisestä haavoittuvuudesta vaan käyttäjien luottamuksen väärinkäytöstä. Paras puolustus on yksinkertainen: älä koskaan soita kuitissa olevaan numeroon, tarkista mahdolliset veloitukset virallisten kanavien kautta ja ilmoita epäilyttävästä toiminnasta.