Киберпрестъпници използват фалшиви съобщения за изтичащи T-Mobile награди, за да примамят потребители към фишинг сайтове

Широкомащабна фишинг кампания чрез текстови съобщения се представя за T-Mobile, за да принуди клиентите да посетят измамни страници за осребряване на награди.

Съобщенията твърдят, че точките за лоялност са на път да изтекат, превръщайки обикновено напомняне за акаунт в капан за данни за вход, лични данни, информация за плащане и кодове за потвърждение. Дейността е проследявана от началото на май 2026 г. и продължава, въпреки по-късен спад в обема.

Нейният обхват идва от бързи вариации: атакуващите променят малки детайли във всеки текст, което позволява същата основна измама да бъде изпращана в голям мащаб, като същевременно избягва елементарни защити за съпоставяне на съобщения. Анализатори от Malwarebytes идентифицираха повече от 1000 тясно свързани шаблона, включително 199 много сходни съобщения.

Malwarebytes заяви в доклад, споделен с Cyber Security News (CSN), че кампанията съчетава фалшиви баланси на точки, спешни срокове и променящи се връзки, за да подтикне получателите да действат, преди да проверят твърдението.

Измамата илюстрира защо SMS остава полезен за престъпниците. Текстово съобщение може да пристигне, когато човек е разсеян, а явната загуба на награди се усеща лично.

Подобни кампании за смишинг измами в реално време показват как едно докосване може да доведе до страници, създадени за събиране на пароли, данни за карти и еднократни кодове.

Киберпрестъпници използват фалшиви съобщения за изтичащи T-Mobile награди

Типична примамка гласи, че получателят има 18 400 T-Mobile Rewards точки, които ще изчезнат същия ден или на следващия. Описва връзката като начин за тяхното осребряване и представя срока като част от справедлива политика за точки.

Заявеният баланс и дата на изтичане са измислени, но придават на съобщението персонализиран вид. Формулировката се променя от една версия в друга.

Атакуващите сменят поздрави, теми на съобщенията, баланси и дати, като същевременно запазват централното твърдение непокътнато: ценни точки ще бъдат загубени, освен ако получателят не последва връзката незабавно.

Общи поздрави като „Уважаеми клиент на T-Mobile“ предлагат важен предупредителен знак, тъй като им липсват проверими данни за акаунт.

Връзките водят през краткотрайни домейни, направени да приличат на адреси на T-Mobile, често използващи случайни поредици от букви и домейна .top. Тази инфраструктура е умишлено за еднократна употреба.

Malwarebytes наблюдава най-малко 81 домейна за четири месеца, модел, който усложнява блокирането и дава на престъпниците нови адреси, когато по-старите са докладвани.

Този стил на имитация на марка не се ограничава до програми за награди. По-ранни широкомащабни смишинг домейни на iMessage също използваха приличащи уеб адреси и познати услуги, за да накарат получателите да свалят гарда си.

Постоянната величина е психологическият натиск: атрактивна полза, наближаващ краен срок и просто действие, представено като решение.

Проверката ограничава щетите

Получателите не трябва да използват връзка в непоискано съобщение, дори ако текстът изглежда изпипан или споменава правдоподобен баланс. Вместо това, те трябва самостоятелно да отворят официалното приложение на доставчика или да въведат известния му уеб адрес в браузър, след което да проверят дали там се появява някакво истинско известие за акаунт.

Всеки, който достигне до подозрителна страница, трябва да избягва въвеждането на идентификационни данни, лични данни, информация за карта или код, получен чрез текст.

Проверката на пълния адрес на браузъра, преди да влезете, е от съществено значение, тъй като убедително лого не прави даден сайт легитимен. Насоките за безопасност при смишинг на iMessage също така подчертават, че отговарянето на неизвестни податели може да сигнализира, че телефонният номер е активен.

За хора, които вече са споделили информация, бързите действия са от значение. Сменете засегнатата парола незабавно, особено ако е била използвана повторно другаде, прегледайте активността на акаунта и се свържете със съответната финансова институция, ако са предоставени данни за плащане или кодове за потвърждение.

Контактите за възстановяване на акаунт трябва да идват от официален сайт, извлечение или приложение, а не от оригиналния текст. Организациите могат да помогнат, като предупреждават клиентите за текущи опити за имитация и правят истинските известия лесни за проверка по официални канали.

Потребителите трябва да докладват подозрителни текстове чрез своята мобилна платформа и доставчик, докато защитниците проследяват променящите се домейни, изброени по-долу. Кампанията е напомняне, че спешността е тактика, а не доказателство, че съобщението е истинско.

Нито един легитимен екип за поддръжка не би възразил срещу клиент, който отказва вградена връзка и първо проверява твърдението чрез доверен маршрут. Тази кратка пауза предотвратява скъпоструващи грешки.

Индикатори за компромис (IoC):-

Забележка: IP адресите и домейните са умишлено „обезвредени“ (напр. [.]), за да се предотврати случайно разрешаване или хипервръзка. „Въоръжете“ ги само в контролирани платформи за разузнаване на заплахи като MISP, VirusTotal или вашия SIEM.

Намалете всяко SOC разследване на предупреждения с 21 минути. Увеличете мощността на вашия SOC с незабавен IOC контекст за незабавен отговор: Интегрирайте TI Lookup във вашия SOC