Клиентите на банкови услуги в Турция са изправени пред мащабна кампания за измами, изградена около фалшиви уебсайтове и реклами в социалните медии.
Престъпниците злоупотребяват с доверени финансови марки, за да привлекат хората към кражба на идентификационни данни, фалшиви оферти за кредити и други измами, предназначени за бързо крадене на пари.
Операцията е забележителна със своя мащаб и скорост, като над 8400 фишинг домейна са насочени към турски банки.
Около 6600 измамни реклами са се появили във Facebook и Instagram в рамките на един месец, предоставяйки на престъпниците многократни възможности да достигнат до клиентите, преди страниците или рекламите да изчезнат.
Анализатори от Group-IB идентифицираха пет взаимосвързани схеми, които имитират десетки турски банки и използват няколко канала за намиране на жертви.
Group-IB заяви в доклад, споделен с Cyber Security News (CSN), че кампаниите представляват свързана престъпна верига, а не отделни инциденти с измами.
Проучването обхваща активност от ноември 2025 г. до април 2026 г., като по-ранна зловредна дейност е проследена до август 2023 г. Регистрирани са над 23 000 жалби от жертви в цяла Турция, което показва, че измамите са предизвикали широко безпокойство и финансови вреди.
Турски банки са атакувани от 8400 фишинг домейна
Фишинг инфраструктурата е изградена така, че да имитира легитимни банкови услуги и правителствени онлайн портали.
Нападателите са използвали сходно изглеждащи домейни за хостване на страници, които събират данни за вход, информация за карти, лични данни и еднократни кодове за проверка от нищо неподозиращи потребители.
Group-IB установи, че един търговски разпространяван фишинг комплект поддържа по-голямата част от турските банки и захранва над 6700 домейна, имитиращи портала за държавни услуги на Турция.
Комплектът се продава през подземни канали за около 250 долара, което намалява бариерата за престъпниците да стартират нови кампании.
Най-малко четири клъстера от кампании са свързани с една и съща инфраструктура, което предполага, че отделни оператори разчитат на споделени инструменти и шаблони.
Този подход позволява на престъпниците бързо да създават нови страници, когато по-старите домейни бъдат блокирани, докладвани или премахнати.
Фалшивите уебсайтове не са работили изолирано. Те са популяризирани чрез измамни реклами, хазартни платформи и тактики за социално инженерство, целящи да накарат измамните оферти да изглеждат легитимни.
Жертвите могат да бъдат пренасочени от публикация в социалните медии към фишинг страница само с няколко кликвания. Докладът описва също така фалшиви реклами за кредити, които използват логото на банки, за да привлекат хора, търсещи бърз кредит.
Тези промоции могат да притиснат жертвите да предоставят чувствителна информация или да платят предполагаеми такси за обработка, преди да осъзнаят, че офертата е измамна.
Социалните реклами захранват верига за пране на пари
Над 80 процента от наблюдаваната измамна дейност е преминала през Facebook и Instagram. Рекламите са оставали онлайн за едва 30 минути, преди да бъдат заменени, докато поддържащата инфраструктура се е ротирала ежеседмично, за да затрудни проследяването и премахването.
Веригата на измамата продължава и след кражбата на данни или пари. Обяви за набиране на персонал предлагат от 30 000 до 50 000 турски лири на хора, готови да „наемат“ банковите си сметки, създавайки мрежа от финансови мулета, използвани за укриване на движението на откраднати средства.
Съобщава се, че операторите разпределят откраднатите пари между групи от три до пет сметки, преди да ги конвертират в криптовалута чрез борси.
Съдебни записи, цитирани в изследването, показват, че хората, участващи в тези операции за пране на пари, са получили присъди лишаване от свобода до 10 години.
За потребителите най-ясните предупредителни знаци са неочаквани оферти за кредити, спешни искания за банкови детайли и реклами, които пренасочват към непознати уебсайтове.
Потребителите трябва да имат достъп до банкови услуги чрез официални приложения или ръчно въведени адреси, да избягват споделянето на кодове за потвърждение и независимо да проверяват офертите с банката си.
Финансовите институции и онлайн платформите също трябва да следят за имитиране на марка, бързо променящи се рекламни кампании и фишинг сайтове, които наподобяват техните услуги.
По-бързото докладване, координираното премахване и ясните предупреждения към клиентите могат да намалят времето, през което измамните страници остават достъпни за потенциални жертви.