CTM360: Tanınmış markaları taklit eden sahte hediye kartı kampanyası 1.000'i aşkın olayda görüldü, ödül hiç gelmiyor
CTM360'ın raporuna göre küresel bir dolandırıcılık ağı, sosyal medya reklamları ve sahte çekilişlerle kullanıcıları hediye kartı vaat eden portallara çekiyor; kod "doğrulama" adımında anket, uygulama kurulumu ve operatör faturalı aboneliklere dönüşüyor. Test edilen hiçbir akışta ödül verilmedi.
Dijital risk koruma şirketi CTM360, 4 Kasım'da yayımladığı raporda tanınmış markaları taklit eden küresel bir sahte hediye kartı kampanyasını anlattı. Şirket kampanyaya ait 1.000'den fazla olay tespit ettiğini söylüyor. Raporda adı geçen markalar arasında PlayStation, Google Play, Sephora, SHEIN ve Walmart var; markaların kendisi saldırıya uğramış değil, yalnızca logoları ve adları taklit ediliyor.
Konu 7 Kasım'da BleepingComputer'da da yer aldı; ancak o yazı CTM360 tarafından yazılmış sponsorlu bir içerik. Rakamlar ve bulgular şirketin kendi araştırmasına dayanıyor.
Tuzak nasıl işliyor?
CTM360'a göre akış sosyal medyada başlıyor: ünlülerin desteği varmış gibi görünen sponsorlu reklamlar ya da viral "çekiliş" paylaşımları kullanıcıyı sahte bir ödül portalına götürüyor. Sayfada kopyalanmış marka logoları, geri sayan sayaçlar ve uydurma "son kazananlar" yorumları bulunuyor.
Kullanıcı bir hediye kartı tutarı seçtikten sonra sahte bir yükleme animasyonu oynuyor ve kısmen gizlenmiş bir kod gösteriliyor. Kodun tamamı görünmeden önce "güvenlik kontrolü" ya da "insan doğrulaması" adımı çıkıyor ve kullanıcı anketlere, testlere, uygulama ya da tarayıcı eklentisi kurulumlarına ve operatör faturasına yansıyan aboneliklere yönlendiriliyor. CTM360, test ettiği akışların hiçbirinde ödül verilmediğini belirtiyor.
Dolandırıcı nasıl kazanıyor?
Rapora göre yönlendirme sayfaları affiliate (ortaklık) parametreleri taşıyor; kullanıcı telefon numarasını ve kendisine gelen PIN ya da tek kullanımlık kodu (OTP) girdiğinde operatör komisyon kazanıyor. Altyapı modüler: marka, ünlü adı ve alan adı kolayca değiştirilebiliyor. Kullanıcının kaybı hediye kartı değil; kişisel bilgilerinin ifşası, telefon faturasında beklenmedik ücretler, spam ve istenmeyen yazılım kurulumları.
Ne yapılmalı?
- Sosyal medyada "bedava hediye kartı" ya da "çekilişi kazandınız" diyen reklamlara tıklamayın; kampanyayı markanın kendi resmî sitesinden ya da uygulamasından kontrol edin.
- Ödül almak için anket doldurmanız, uygulama kurmanız ya da telefon numaranızla gelen bir kodu girmeniz isteniyorsa işlemi durdurun. Bu kod çoğu zaman faturanıza yansıyan bir aboneliğin onayıdır.
- Telefon faturanızda tanımadığınız bir abonelik görürseniz operatörünüzün resmî uygulamasından ya da müşteri hizmetlerinden iptal ettirin ve mümkünse operatör faturalı ödemeyi kapattırın.
- Kurumlar ve markalar, adlarını kullanan sahte reklam ve alan adlarını izlemeli, sosyal medya platformlarına kaldırma talebi göndermeli ve müşterilerini resmî kampanya kanalları konusunda bilgilendirmeli.
- Black Friday ve yılbaşı alışveriş dönemine girerken çalışanlara ve ailenize bu tuzak hakkında kısa bir hatırlatma yapın.
