Chiến dịch lừa đảo sử dụng Facebook giả mạo và thông báo trình duyệt nhắm vào người dùng MENA
"Researchers reported a fraud campaign targeting MENA users through fake Facebook accounts impersonating politicians, telecom providers, and trusted organizations to push bogus offers and redirect victims through intermediary link-aggregation sites. The campaign uses browser notification abuse, VAPID-based push subscriptions, back-button hijacking, and tab-under redirects to funnel users into phishing, premium SMS/call scams, and investment fraud; no CVE is mentioned and the platform was previously disrupted in an INTERPOL-led operation."
Chiến dịch sử dụng lạm dụng thông báo trình duyệt, chiếm quyền điều hướng, và kỹ thuật social engineering để dẫn dụ và kiểm soát nạn nhân.
Có thể gây mất dữ liệu cá nhân, tổn thất tài chính và ảnh hưởng uy tín tổ chức nếu người dùng nội bộ bị lừa đảo.
Các nhà nghiên cứu an ninh mạng vừa phát hiện một chiến dịch lừa đảo quy mô lớn nhắm vào người dùng tại khu vực Trung Đông và Bắc Phi (MENA). Chiến dịch này sử dụng các tài khoản Facebook giả mạo mạo danh chính trị gia, nhà cung cấp viễn thông và tổ chức uy tín để quảng bá các ưu đãi giả như gói internet miễn phí, hỗ trợ tài chính hoặc chương trình trợ cấp. Nạn nhân được dẫn dụ nhấp vào các liên kết, sau đó bị chuyển hướng qua nhiều trang trung gian sử dụng các dịch vụ link-aggregation như Linkbio, Linktree trước khi tới các trang lừa đảo cuối cùng.
Kỹ thuật tấn công bao gồm lạm dụng thông báo trình duyệt, đăng ký push notification dựa trên VAPID, chiếm quyền nút quay lại (back-button hijacking) và tab-under redirect. Khi người dùng cho phép thông báo, trình duyệt sẽ bị đăng ký vào hệ thống push notification sử dụng VAPID public key chung cho nhiều chiến dịch khác nhau, cho thấy sự chia sẻ hạ tầng giữa các nhóm lừa đảo. Trang lừa đảo còn tạo nhiều trạng thái lịch sử giả để giữ chân người dùng và tăng lượt hiển thị quảng cáo hoặc chuyển hướng tới nội dung độc hại.
Sau khi nạn nhân tham gia hệ thống thông báo, họ sẽ bị chuyển hướng tới hệ thống phân phối lưu lượng (TDS), nơi quyết định hình thức lừa đảo tiếp theo như gian lận SMS/cuộc gọi trả phí hoặc lừa đảo đầu tư. Khuyến nghị kỹ thuật: tổ chức nên tăng cường nhận diện các hành vi lạm dụng tính năng trình duyệt, kiểm soát quyền thông báo, và cảnh báo người dùng về các ưu đãi bất thường trên mạng xã hội.