Phishing bảo hiểm chuyển sang chiếm quyền tài khoản theo thời gian thực
"CTM360 reported that insurance-themed phishing campaigns have evolved from delayed credential theft into real-time account hijacking, where attackers relay credentials and OTPs to legitimate portals during the victim’s active session. The investigation identified a phishing kit dubbed InsureOTP Kit, used with Google Ads, lookalike domains, and disposable cloud hosting to support live session management, backend control, and immediate account takeover without any CVE involvement."
Tác động đáng kể vì kẻ tấn công có thể chiếm quyền ngay trong phiên đăng nhập, chuyển tiếp OTP trước khi hết hạn và vượt qua nhiều kiểm soát truyền thống. Điểm then chốt: real-time account hijacking, OTP relay, và session-time compromise.
Rủi ro vận hành và uy tín tăng do tài khoản bảo hiểm bị chiếm có thể dẫn tới gian lận dữ liệu cá nhân và thanh toán. Điểm then chốt: nhắm vào nhiều nhà cung cấp, lạm dụng Google Ads để kéo người dùng, và mở rộng tác động sang nhiều khu vực.
Theo nghiên cứu của CTM360, các chiến dịch phishing theo chủ đề bảo hiểm đã tiến hóa từ việc đánh cắp thông tin để dùng sau sang mô hình real-time account hijacking. Thay vì chỉ thu thập tên đăng nhập/mật khẩu, kẻ tấn công đồng bộ thao tác với phiên đăng nhập của nạn nhân: khi nạn nhân đang đăng nhập trên cổng hợp lệ, trang phishing đóng vai trò trung gian, chuyển tiếp credentials và mã OTP ngay trước khi mã hết hạn. Nhờ đó, việc chiếm quyền có thể hoàn tất trong một phiên duyệt web.
Báo cáo nêu chiến dịch nhắm vào nhiều nhà cung cấp bảo hiểm ở nhiều khu vực, với trọng tâm được quan sát tại Saudi Arabia, đồng thời có hoạt động tại châu Âu, Mỹ và Ấn Độ. Điểm đáng chú ý là kênh phân phối ban đầu thường là Google Ads: quảng cáo cho các nhu cầu báo giá/so sánh bảo hiểm dẫn người dùng tới các trang giả mạo có giao diện và luồng thao tác giống cổng thật.
Về hạ tầng, CTM360 cho biết chiến dịch sử dụng tên miền giống thương hiệu (lookalike) và hạ tầng lưu trữ “dùng một lần” trên các nền tảng cloud/website builder (ví dụ GitHub Pages, Netlify, Hostinger, Wix). Nghiên cứu cũng xác định bộ công cụ phishing InsureOTP Kit hỗ trợ quản lý phiên, thu thập dữ liệu thời gian thực và điều phối phía máy chủ; không ghi nhận CVE liên quan.
Khuyến nghị: tăng giám sát quảng cáo trả phí lạm dụng thương hiệu, theo dõi domain lookalike và hạ tầng cloud tạm thời, đồng thời phân tích mẫu xác thực cho dấu hiệu OTP interception theo thời gian thực thay vì chỉ dựa vào phát hiện trang phishing.