TRUEOSINT News

Скамонт, или туда и обратно

Интересный шаблон можно увидеть на доменах SBERKUDA.RU и SBERTUDA.RU.
На сайтах пользователю предлагается воспользоваться персональным помощником, для подбора отелей в различных городах России. Сейчас в демоверсии в качестве примера указана Тула.
Для авторизации предлагается использовать Sber ID, однако при попытке входа пользователь получает ошибку. Сам по себе такой способ авторизации обычно не вызывает опасений: в рамках корректной сессии сторонний сервис не получает данные, которые позволили бы злоумышленникам получить доступ к личному кабинету банка.
Но здесь внимание привлекает другое — неработающая авторизация и надпись: «Мобильный вход сохранен как резервный сценарий».
Это может указывать на подготовку более интересной схемы: пользователю намеренно демонстрируют неудачную попытку авторизации на официальном ресурсе Сбера, после чего предлагают воспользоваться «резервным» способом входа. А вот резервным вариантом уже может оказаться фишинговая форма, в которой попросят ввести данные для доступа к личному кабинету, например для оплаты отеля.
Пока непонятно, каким именно способом злоумышленники планируют привлекать потенциальных жертв, однако под эту схему уже, похоже, готовится отдельный пул доменов. Помимо указанных выше, зарегистрированы:
SBERKYDA.RU
SBER-KYDA.RU
SBER-TUDA-SUDA.RU
SBER-TYDA-SUDA.RU
Так что кто-то явно основательно готовится отправлять пользователей то «туда», то «сюда», ну а мы в случае выявления фишинга:

Домен заблокируем.

#фишинг #сбер #sber

Мошенники, использующие опросы как приманку, решили покуситься на Сбер — это можно увидеть на домене A5000K.RU.

На сайте пользователям предлагают оценить качество обслуживания в Сбербанке и получить 5000. Вероятно, на эту страницу будут перенаправлять людей, которые обращаются за консультацией к представителям банка в социальных сетях. Судя по CSS шаблон изначально делали под ВТБ.

При этом с политикой обработки персональных данных скамонты решили не заморачиваться: вместо документа они просто благодарят пользователя за доверие.
Разумеется, действия посетителей на сайте отслеживаются, а после выставления оценки их перенаправляют… пока в никуда. Мошенники еще не доделали страницу, на которую должен приземляться трафик.

Домен заблокируем.
(Заблокирован за 7 часов 24 минуты)

#фишинг #сбер #сбербанк #опрос

Выдачу ваучеров на топливо от имени Сбербанка решили организовать мошенники на домене SBER2026-PROMO491.WEBSITE.

На сайте исключительно клиентам Сбербанка предлагают бесплатно получить от 20 до 100 литров топлива. Для этого необходимо пройти опрос — уж очень мошенникам нравятся опросы: видимо, они считают, что так проще затянуть жертву в свои сети.

Что именно вы будете отвечать, значения не имеет. Ваучер получают даже те, кто не является клиентом банка. Однако для его получения необходимо пройти фейковую идентификацию Сбербанка и ввести банковские данные. В дальнейшем мошенники могут использовать их, чтобы оплатить топливо уже для себя.

Домен заблокируем.
(Заблокирован за 8 часов 48 минут)

#фишинг #сбер #сбербанк #топливо #ваучер

Фишинг под видом корпоративной СУДИР Сбербанка можно увидеть на домене SBER.NETWORK.

На сайте пользователям предлагают ввести логин и пароль Sigma для доступа к корпоративным ресурсам Сбера. Также на странице размещены элементы, имитирующие вход через OTP-код из SMS и ссылки на внутренние сервисы, что должно повысить доверие к форме авторизации.

Фишинг, вероятно, нацелен на сотрудников Сбербанка. Реализация выглядит достаточно небрежно, однако стоит отметить удачно подобранный домен, который может восприниматься как связанный с корпоративной инфраструктурой.

Домен заблокируем.
(Заблокирован за 1 час 17 минут)

#фишинг #сбер #sber #судир

Скамонты очень стараются сделать из старых фишинговых шаблонов что-то новое, но, как обычно, ничего не получается.

Пример такого апгрейда можно увидеть на домене SBERBANK-ONLINES.RU.

На сайте от имени Сбербанка пользователям предлагают принять участие в акции «Помощь 2026» и якобы получить 5000 рублей за прохождение опроса.

При этом для снижения шансов автоматического выявления страницы мошенники снова решили использовать схему с заменой русских букв на похожие латинские и греческие символы. Из 199 слов такие замены встречаются в 55, то есть почти в 28% текста.

Отдельно скамонты, видимо, попытались добавить «естественности» за счет грубых орфографических ошибок. Хочется верить, что даже школьнику не пришло бы в голову писать «Приймите» вместо «Примите».

Снова использовали и ту самую несчастную женщину с копилкой, образ которой встречается в фишинге под разные банки еще с 2024 года.

Опрос, кстати, проходить не придется. Скамонты решили, что пользователю не стоит терять на него время, или просто не смогли придумать вопросы. Вместо этого сайт сразу предлагает ввести данные для входа в личный кабинет и передать их мошенникам.

Домен заблокируем.
(Заблокирован за 1 час 00 минут)

#фишинг #сбер #сбербанк #sber #опрос #скамонты