TRUEOSINT News

Скамонт, или туда и обратно

Интересный шаблон можно увидеть на доменах SBERKUDA.RU и SBERTUDA.RU.
На сайтах пользователю предлагается воспользоваться персональным помощником, для подбора отелей в различных городах России. Сейчас в демоверсии в качестве примера указана Тула.
Для авторизации предлагается использовать Sber ID, однако при попытке входа пользователь получает ошибку. Сам по себе такой способ авторизации обычно не вызывает опасений: в рамках корректной сессии сторонний сервис не получает данные, которые позволили бы злоумышленникам получить доступ к личному кабинету банка.
Но здесь внимание привлекает другое — неработающая авторизация и надпись: «Мобильный вход сохранен как резервный сценарий».
Это может указывать на подготовку более интересной схемы: пользователю намеренно демонстрируют неудачную попытку авторизации на официальном ресурсе Сбера, после чего предлагают воспользоваться «резервным» способом входа. А вот резервным вариантом уже может оказаться фишинговая форма, в которой попросят ввести данные для доступа к личному кабинету, например для оплаты отеля.
Пока непонятно, каким именно способом злоумышленники планируют привлекать потенциальных жертв, однако под эту схему уже, похоже, готовится отдельный пул доменов. Помимо указанных выше, зарегистрированы:
SBERKYDA.RU
SBER-KYDA.RU
SBER-TUDA-SUDA.RU
SBER-TYDA-SUDA.RU
Так что кто-то явно основательно готовится отправлять пользователей то «туда», то «сюда», ну а мы в случае выявления фишинга:

Домен заблокируем.

#фишинг #сбер #sber

Фишинг под видом корпоративной СУДИР Сбербанка можно увидеть на домене SBER.NETWORK.

На сайте пользователям предлагают ввести логин и пароль Sigma для доступа к корпоративным ресурсам Сбера. Также на странице размещены элементы, имитирующие вход через OTP-код из SMS и ссылки на внутренние сервисы, что должно повысить доверие к форме авторизации.

Фишинг, вероятно, нацелен на сотрудников Сбербанка. Реализация выглядит достаточно небрежно, однако стоит отметить удачно подобранный домен, который может восприниматься как связанный с корпоративной инфраструктурой.

Домен заблокируем.
(Заблокирован за 1 час 17 минут)

#фишинг #сбер #sber #судир

Скамонты очень стараются сделать из старых фишинговых шаблонов что-то новое, но, как обычно, ничего не получается.

Пример такого апгрейда можно увидеть на домене SBERBANK-ONLINES.RU.

На сайте от имени Сбербанка пользователям предлагают принять участие в акции «Помощь 2026» и якобы получить 5000 рублей за прохождение опроса.

При этом для снижения шансов автоматического выявления страницы мошенники снова решили использовать схему с заменой русских букв на похожие латинские и греческие символы. Из 199 слов такие замены встречаются в 55, то есть почти в 28% текста.

Отдельно скамонты, видимо, попытались добавить «естественности» за счет грубых орфографических ошибок. Хочется верить, что даже школьнику не пришло бы в голову писать «Приймите» вместо «Примите».

Снова использовали и ту самую несчастную женщину с копилкой, образ которой встречается в фишинге под разные банки еще с 2024 года.

Опрос, кстати, проходить не придется. Скамонты решили, что пользователю не стоит терять на него время, или просто не смогли придумать вопросы. Вместо этого сайт сразу предлагает ввести данные для входа в личный кабинет и передать их мошенникам.

Домен заблокируем.
(Заблокирован за 1 час 00 минут)

#фишинг #сбер #сбербанк #sber #опрос #скамонты

Мошенники, работающие по схеме "ошибочные переводы", начали использовать и целевые сайты, что можно наблюдать на домене ONLINE-SBERBANK24.RU.

На сайте размещен PDF-файл, имитирующий чек перевода денежных средств по номеру телефона. Фейковость данного документа определяется не только по метаданным (дата создания - 2025 год), но и по содержанию. В частности, указана формулировка о том, что деньги может вернуть только получатель, что не соответствует действительности, а также сама подача этой информации выглядит нехарактерной для банковских документов.

В результате потенциальной жертве предоставляется "доказательство" перевода и выдвигается требование вернуть деньги на другой номер. Это может привести не только к потере денежных средств, но и к дальнейшему развитию схемы - например, к звонку от псевдоправоохранительных органов с утверждением, что перевод якобы был связан с финансированием терроризма.

Домен заблокируем.
( Заблокирован за 120 часов 15 минут)

#фишинг #сбер #перевод #sber #сбербанк

Новый, но очень простой шаблон фишинга от имени Сбербанка можно увидеть на домене SBER-ONLINERU.RU.

На сайте пользователю предлагают войти в Сбербанк Онлайн, указав номер карты и введя код из SMS для подтверждения. Фактически таким образом данные передаются мошенникам.

Остальные способы входа, как и другие ссылки на сайте, стандартно не работают. При этом даже с единым стандартом оформления у создателей сайта явно есть проблемы - шаблон и логотип выполнены неаккуратно и не вполне соответствуют привычному стилю Сбербанка.

Домен заблокируем.
(Заблокирован за 2 часа 08 минут)

#фишинг #сбер #sber #сбербанк