Студенческий развод

Мошенники из Нигерии атакуют студентов западных университетов, используя взломанные адреса электронной почты с доменом .edu. Их схема относится к advance fee fraud (AFF) — мошенничеству с требованием предварительной оплаты, когда жертву убеждают сначала перевести деньги или купить ценные товары, обещая взамен заработок или другую выгоду.

Каманию обнаружили специалисты компании Proofpoint. Злоумышленники заставляют студентов покупать подарочные карты за собственные деньги и отправлять им коды. Сколько человек уже пострадало и как долго работает схема, неизвестно. Однако исследователи считают, что университетская аудитория выбрана не случайно.

Первокурсники и другие молодые студенты могут хуже ориентироваться в деловой переписке и впервые сталкиваются с предложениями подработки. У выпускников университетские адреса иногда остаются активными, но используются редко — это упрощает захват контактов. Сотрудники и преподаватели ежедневно получают письма от студентов, родителей и представителей разных организаций, поэтому необычное сообщение может не сразу вызвать подозрения.

Особую ценность для мошенников представляет сам домен .edu. Он связан с учебными заведениями и придает письму видимость официального сообщения. Получив доступ к такому аккаунту, преступники могут использовать доверие к университету как внутри организации, так и за ее пределами.

Атака проходит в несколько этапов. Сначала владельцу адреса .edu отправляют фишинговое письмо. В нем утверждается, что аккаунт скоро отключат из-за выдуманной причины: выпуска, перевода, выхода на пенсию или другой формальной процедуры. Получателя просят «подтвердить» адрес, а вместе с этим — указать пароль.

После захвата почты злоумышленники рассылают с нее второе фишинговое сообщение. Его получают студенты из списка контактов и другие владельцы университетских адресов. В письме предлагают откликнуться на якобы настоящую вакансию.

Тем, кто «получает работу», присылают копию чека на 1000 долларов. Жертве предлагают внести его на счет, оставить себе 500 долларов в качестве зарплаты, а оставшуюся сумму потратить на подарочные карты и отправить мошенникам коды с этих карт.

Чек оказывается поддельным. Банк обнаруживает это не сразу: к моменту проверки жертва уже покупает карты и передает их преступникам. Затем банк отменяет зачисление, и пострадавший остается без 500 долларов, а иногда и без дополнительных средств, потраченных на комиссию или переводы.

Исследователи Proofpoint сами откликнулись на одну из таких вакансий и смогли восстановить всю схему. Они выяснили, что отказ от выполнения инструкций может вызвать давление и угрозы. Мошенники предлагают другие платежные сервисы, звонят по телефону, а иногда выдают себя за сотрудников ФБР и обещают жертве судебное преследование и арест.

Точно связать операцию с конкретной преступной группировкой исследователям не удалось. Однако мошенников удалось заставить использовать Grabify — сервис сокращения ссылок и регистрации IP-адресов, который обычно применяют интернет-маркетологи. Такие ссылки собирают сведения об устройстве и IP-адресе человека, открывшего их.

Анализ сотен взаимодействий показал, что обращения к ссылкам поступали из Нигерии. Proofpoint считает эту привязку достаточно надежной. Преступники могут подменять инфраструктуру или применять VPN, но часто переходят по ссылкам со своих настоящих мобильных устройств. Причина проста: они общаются сразу через несколько платформ и стремятся не упустить возможность заработать, даже рискуя раскрыть свое местоположение.