Отмененный рейс. Пропущенная пересадка. Возврат средств, который до сих пор не поступил.
Когда путешественникам требуется срочная помощь, они часто обращаются к поисковым системам, социальным сетям или инструментам на базе ИИ, чтобы найти номер службы поддержки. Злоумышленники все чаще используют этот момент спешки.
В нашем предыдущем исследовании «Мошенники следят за жалобами авиакомпаний и выдают себя за службу поддержки» исследователи Check Point Exposure Management обнаружили, что злоумышленники отслеживают жалобы на авиакомпании в социальных сетях и выдают себя за представителей службы поддержки.
Исследователи Check Point Exposure Management выявили связанную с этим кампанию, которая нацелена на более ранний этап поиска помощи: сам поиск контактных данных.
Злоумышленники массово создают фальшивые PDF-файлы и посты службы поддержки, размещают их на доверенных веб-сайтах и распространяют одни и те же телефонные номера в социальных сетях и ответах, сгенерированных ИИ. Кампания выдает себя более чем за 20 туристических брендов, включая крупные авиакомпании, туристические агентства и транспортные компании.
Рисунок 1. Пример PDF-файла с рекламой фальшивого номера службы поддержки авиакомпании
Ключевые выводы
- Фальшивые PDF-файлы создаются в массовом порядке. Исследователи обнаружили большое количество PDF-файлов, маскирующихся под более чем 20 туристических брендов и рекламирующих мошеннические номера службы поддержки и возврата средств.
- Доверенные домены размещают этот контент. Документы появлялись на сайтах государственного сектора и учреждений, включая университетские и правительственные сайты, а также на коммерческих платформах. Общедоступные формы загрузки и функции пользовательского контента, судя по всему, служат точкой входа.
- Авторитет домена придает мошенничеству достоверность. Авторитетные домены помогают фальшивым документам появляться в результатах поиска туристической поддержки и выглядеть заслуживающими доверия.
- Кампания охватывает социальные сети и сгенерированные ИИ ответы. Мошеннические номера появились в постах в Instagram и Facebook, а также в резюме, созданных Meta AI. Заголовки документов, ориентированные на поиск, также могут помочь контенту попасть в поисковые системы и системы ИИ.
- Номера соответствуют схемам телефонного мошенничества с обратным вызовом. От звонящих могут требовать уплаты мошеннических сборов или предоставления данных бронирования и платежных данных.
- Традиционное сканирование файлов не обнаруживает угрозу. Ни один из проверенных файлов кампании не был обнаружен 61–64 антивирусными движками, используемыми в каждом сканировании, поскольку PDF-файлы не содержат вредоносного кода.
Как доверенные сайты становятся частью мошенничества
Исследователи зафиксировали университетские веб-формы, порталы подачи заявлений на работу, государственные системы подачи документов и другие общедоступные формы, которые принимают файлы и делают их доступными через публичные URL-адреса. После загрузки фальшивый PDF-файл может обслуживаться с доверенного домена организации и индексироваться поисковыми системами.
Компоненты систем управления контентом также играют свою роль. Исследователи обнаружили общедоступные пути загрузки, связанные с веб-формами Drupal, плагинами форм WordPress, Optimizely и пользовательскими государственными порталами. Поскольку PDF-файлы являются ожидаемыми типами файлов для многих из этих форм, документы могут проходить стандартную проверку файлов, несмотря на содержание мошеннической информации.
Рисунок 2. Фальшивые PDF-файлы, проиндексированные на сайте Генерального консульства Молдовы в Чикаго
Рисунок 3. Фальшивый PDF-файл, размещенный на правительственном портале штата Юта
От результатов поиска к ответам ИИ
Исследователи обнаружили фальшивые номера, рекламируемые через рекламу в Instagram и страницы в Facebook. Одна пара фигурировала в размещенном PDF-файле, рекламе в Instagram, посте создателя Lenovo и PDF-файле государственного портала штата Юта.
Номера также появлялись в сводках поиска Facebook с пометкой «Суммарно с помощью Meta AI». Поисковые запросы, связанные со службой поддержки Booking.com, возвращали сгенерированные ИИ ответы, содержащие мошеннические контактные номера.
Рисунок 4. Сводка Meta AI, выдающая фальшивый номер живого агента Booking.com
Кампания, судя по всему, разработана для влияния на оптимизацию под ответы (AEO) и оптимизацию под генеративные движки (GEO), а также на традиционный поиск. Заголовки на основе вопросов, повторяющиеся телефонные номера, насыщенный ключевыми словами текст и размещение на авторитетных доменах могут увеличить вероятность того, что мошенническая информация появится в ответах, сгенерированных ИИ.
Как работает атака
Исследователи разделили кампанию на пять этапов:
- Производство: Насыщенные ключевыми словами руководства «как связаться с [брендом]» создаются оптом из общих шаблонов, при этом названия брендов и телефонные номера меняются в разных документах.
- Посев: PDF-файлы и посты распространяются через сторонние веб-сайты и платформы, которые принимают общедоступный контент и предоставляют к нему доступ для сканеров.
- Индексация: Поисковые системы, поисковые системы с ответами на базе ИИ и сводки платформ поглощают контент, причем мошенническая информация использует авторитет хостингового домена.
- Захват: Путешественник, столкнувшийся с отменой, пропущенным рейсом, задержкой возврата средств или другой срочной проблемой, ищет поддержку, находит номер и звонит.
- Монетизация: От звонящего могут потребовать уплаты мошеннических сборов или раскрытия информации о бронировании и платежах. Возможные методы оплаты включают подарочные карты, банковские переводы, одноранговые платежи и криптовалюту.
Почему традиционное сканирование файлов не обнаруживает угрозу
Исследователи повторно проверили подтвержденные файлы кампании, используя от 61 до 64 антивирусных движков на одно сканирование. Ни один из файлов не был обнаружен. PDF-файлы не содержат эксплойт-кода, вредоносных макросов, встроенных полезных нагрузок или подозрительного исполняемого поведения, которые могли бы обнаружить традиционные инструменты сканирования файлов. Угроза заключается в информации, которую они представляют, и сигналах доверия, которые они используют.
Операция также демонстрирует признаки растущей автоматизации. Исследователи наблюдали общие шаблоны, файлы, созданные с разницей в секунды, инкрементируемые счетчики и несколько методов производства. За семь недель рабочий процесс прошел путь от экспорта из Google Docs до скриптовой генерации и пользовательского приложения автоматизации.
Что могут сделать организации и путешественники
Туристическим брендам следует постоянно мониторить результаты поиска, социальные платформы, хранилища файлов и ответы, сгенерированные ИИ, на предмет фальшивой информации о поддержке, связанной с их именами. Им также следует сделать так, чтобы проверенные каналы поддержки было легко найти на официальных сайтах, в приложениях и коммуникациях по бронированию.
Организациям, принимающим публичные загрузки, следует рассмотреть возможность внедрения надлежащей аутентификации и элементов контроля модерации, предотвращать доступ к загруженным файлам в каталогах, доступных для сканирования, проверять временные пути загрузки и регулярно проводить аудит общедоступного хранилища.
Путешественникам следует получать номера службы поддержки только с официального сайта туристического бренда, мобильного приложения или подтверждения бронирования. Запросы платежных реквизитов, сборов за выплату возврата средств, подарочных карт, криптовалюты, программного обеспечения для удаленного доступа или срочных переводов следует рассматривать как предупреждающие знаки.
На момент расследования кампания оставалась активной. Check Point Exposure Management продолжает следить за ее развитием. Полученные данные показывают, как можно использовать доверенные домены и видимость в результатах поиска или ответах, сгенерированных ИИ, для распространения мошеннической информации даже при отсутствии вредоносного кода.
Полное расследование, технические выводы, индикаторы и рекомендации читайте в полном отчете: читать здесь
Узнайте больше о Check Point Exposure Management и о том, как это решение помогает организациям выявлять и снижать риски во всей поверхности атаки.
