Мошенники, создающие фишинговые схемы, нашли новый способ обходить защитные системы, предназначенные для предотвращения утечек личных данных. Эти меры оказываются неэффективными в случае прогрессивных веб-приложений (PWA), которые имеют меньшие привилегии и ограниченные функции.
На iOS пользователи могут устанавливать приложения исключительно из App Store, а на Android, по умолчанию, из Google Play, с предупреждением системы при использовании сторонних источников. Тем не менее, фишинговые атаки, зафиксированные в последние девять месяцев, вводят пользователей в заблуждение, заставляя их загружать вредоносные приложения, замаскированные под официальные банковские. Эти приложения крадут учетные данные и сразу же передают их мошенникам через Telegram, предупреждают специалисты ESET.
На iOS мошенники используют обычные PWA, заставляя веб-сайт открываться как полноценное приложение, в обход браузера. В случае с Android жертвам предлагают установить WebAPK — специфический вид PWA. Атака начинается, когда жертва получает текстовое сообщение, звонок или переходит по вредоносной ссылке в Facebook* или Instagram*. Перейдя по ссылке, они попадают на поддельную страницу, имитирующую App Store или Google Play.
Процесс установки PWA на iOS отличается от стандартной: пользователям показывается всплывающее окно, которое выглядит как системное сообщение. На Android, при установке WebAPK через Google Play, жертва теряет бдительность, так как приложение заявляется как не обладающее системными привилегиями. В обоих случаях пользователя просят ввести банковские данные, которые тут же отправляются на сервер злоумышленников.
На данный момент эта схема активно используется в Чехии, однако уже зафиксированы инциденты в Венгрии и Грузии. Эксперты по кибербезопасности ожидают, что количество таких атак будет расти, а их география расширяться.
*Входит в перечень общественных объединений и религиозных организаций, в отношении которых судом принято вступившее в законную силу решение о ликвидации или запрете деятельности по основаниям, предусмотренным Федеральным законом от 25.07.2002 № 114-ФЗ «О противодействии экстремистской деятельности»
