Chiến dịch INTERPOL triệt hạ nền tảng lừa đảo Sniper Dz, bắt quản trị viên
"INTERPOL-led Operation Ramz disrupted the decade-long Sniper Dz phishing-as-a-service platform, resulting in the arrest of its primary developer and administrator and the seizure of infrastructure used to host phishing kits. The operation, conducted across 13 MENA countries, targeted a service linked to more than 45,000 victim records and over 20,000 associated domains; no CVEs were involved, and the main impact was the takedown of phishing infrastructure and credential-theft campaigns."
Tác động đáng kể nhờ triệt hạ hạ tầng PhaaS và chiến dịch credential theft; trọng tâm là gỡ bỏ website cung cấp phishing kits, thu giữ phần cứng chứa mã/phishing scripts, và làm gián đoạn chuỗi cung cấp dịch vụ cho tội phạm mạng.
Giảm rủi ro lừa đảo nhắm vào người dùng và thương hiệu, nhưng vẫn cần theo dõi vì các chiến dịch có thể chuyển sang hạ tầng khác; tác động chính nằm ở giảm nguồn cung phishing kits và giảm lưu lượng lừa đảo nhắm tới nạn nhân.
INTERPOL phối hợp với các cơ quan thực thi pháp luật đã triển khai Operation Ramz nhằm làm gián đoạn nền tảng phishing-as-a-service (PhaaS) Sniper Dz. Theo thông tin từ Group-IB, chiến dịch diễn ra từ 10/2025 đến 02/2026, với lực lượng từ 13 quốc gia khu vực MENA tham gia và ghi nhận 201 vụ bắt giữ.
Đối tượng bị bắt gồm Guedz, nhà phát triển và quản trị chính của Sniper Dz. Nền tảng này được cho là đã thu thập hơn 45.000 bản ghi nạn nhân và theo thời gian đổi tên thành Joker Dz, Storm Dz và Spam Dz. Cơ quan chức năng đã gỡ bỏ website cung cấp khả năng PhaaS cho tội phạm mạng, đồng thời thu giữ phần cứng chứa phishing software và các script.
Sniper Dz được mô tả là hoạt động từ ít nhất 2015, cung cấp bộ công cụ gồm phishing kits, hạ tầng lưu trữ và hỗ trợ vận hành. Nhóm nghiên cứu ghi nhận hơn 20.000 domain liên quan; các chiến dịch nhắm tới người dùng của nhiều tổ chức lớn và thương hiệu toàn cầu, sử dụng 80 mẫu lừa đảo bằng nhiều ngôn ngữ.
Khuyến nghị: doanh nghiệp nên tăng cường giám sát phishing, rà soát dấu hiệu truy cập/redirect bất thường, siết chính sách credential protection và triển khai đào tạo nhận biết lừa đảo cho người dùng.