Мошенники начали использовать Shop — приложение для отслеживания заказов — как канал для фишинга по телефону. Они подсовывают в историю покупок поддельные чеки, а потом просят позвонить по номеру «для отмены» или «оспаривания» операции.

Жертва слышит не службу поддержки, а злоумышленника, который выманивает данные карты, пароли и одноразовые коды. В ряде случаев людей уговаривают поставить программу удаленного доступа и тем самым отдают устройство в чужие руки.

1) История инцидента

По данным исследователей Gen Digital, поддельные заказы появляются рядом с настоящими покупками и маскируются под известные бренды — Norton, McAfee, Apple и PayPal. Схема выглядит убедительно: в чеке есть название магазина, сумма и номер телефона для связи.

Это не новая идея. Callback-фишинг давно используют через почту, но здесь злоумышленники бьют по более доверчивому каналу. Пользователь сам открывает приложение для заказов и видит сообщение там, где обычно ждёт полезную и безопасную информацию.

2) Что пошло не так в защите

Главная проблема — доверие к источнику. Если уведомление пришло не по почте и не в мессенджере, а внутри сервиса, человек реже проверяет детали и быстрее реагирует на «срочный» звонок.

Вторая слабая точка — плохая валидация содержимого. Исследователи отмечают, что многие ложные чеки написаны с ошибками, но на фоне крупной суммы или знакомого бренда это легко пропустить. На этом же принципе строятся многие атаки из разборов вроде массовых фишинговых сервисов: злоумышленнику достаточно подменить один убедительный элемент.

Есть и третий риск — дальнейшая эскалация. Если жертва уже заговорила с мошенником, его цель меняется с «получить звонок» на «получить код, пароль или удалённый доступ». После этого ущерб обычно растёт быстро.

Отдельно важно, что исследователи не нашли признаков взлома самой Shop, Shopify или компаний, чьи бренды подделывают. Значит, речь не о компрометации платформы, а о злоупотреблении доверием к ней и к уведомлениям внутри неё.

3) Уроки для читателя

Первое правило — не верить срочности. Любой неожиданный чек, крупная покупка или сообщение о списании требует проверки через банк, а не по телефону из подозрительного уведомления.

Второе — не сообщать коды из SMS, push-уведомлений и приложений подтверждения. Ни одна легитимная служба поддержки не должна просить одноразовый код, чтобы «отменить» покупку.

Третье — не ставить программы удаленного доступа по просьбе незнакомого человека. Для мошенника это почти идеальный сценарий: он не только получает данные, но и может действовать на устройстве сам.

Если вы активно пользуетесь цифровыми сервисами, держите под рукой базовую гигиену: менеджер паролей, двухфакторную защиту и отдельную проверку подозрительных уведомлений. Для тех, кто часто подключается к открытым Wi‑Fi в аэропортах, кафе и поездах, инструмент для дополнительной приватности в поездках может стать ещё одной мерой защиты наряду с 2FA и здравым смыслом.

4) Практические выводы и чек-лист

Сценарий с Shop показывает простую вещь: атакуют не только почту и мессенджеры, но и любые сервисы, которым вы привыкли доверять. Чем «обычнее» выглядит уведомление, тем внимательнее его надо проверять.

Короткий вывод для пользователей такой: не торопиться, перепроверять списания через банк и не давать мошеннику ни одного лишнего шага. Это особенно важно, если у вас уже есть привычка быстро реагировать на уведомления о покупках.

  • Проверьте в банке последние операции и не звоните по номеру из подозрительного чека.
  • Не называйте никому коды подтверждения, пароли и данные карты.
  • Если вас просят поставить программу удаленного доступа, сразу прекращайте разговор.
  • Сравните название магазина, сумму и дату покупки с тем, что действительно заказывали.
  • Включите двухфакторную аутентификацию в важных аккаунтах.
  • Обновите пароль, если уже разговаривали с мошенником или вводили данные.
  • Проверьте устройство на подозрительные приложения и удалите лишние.
  • Сохраните отдельный канал связи с банком на случай спорной операции.
  • Не открывайте вложения и ссылки из неожиданных уведомлений, даже если они выглядят официально.
Поделиться: