Attacchi phishing tramite l'app Shop di Shopify

I ricercatori di Gen Digital hanno rilevato diversi attacchi di phishing che sfruttano la popolarità dell’app Shop di Shopify. Gli utenti ricevono presunte fatture per acquisti mai effettuati, quindi devono contattare un falso supporto clienti per contestare la spesa. Risponderanno i cybercriminali e inizierà così la fase successiva della truffa.

Metodo più efficace del phishing via email

Shop è un’app che permette di tracciare le spedizioni, leggere le fatture e ricevere notifiche sugli ordini. Può tracciare automaticamente gli ordini da diverse fonti, tra cui Gmail, Outlook e l’indirizzo email collegato all’account Shop dell’utente. Supporta anche le notifiche push per gli aggiornamenti su consegne, pagamenti e prodotti preferiti.

La campagna di phishing è più efficace rispetto a quella tramite email, in quanto l’utente riceve notifica da un’app che già utilizza per acquisti reali. In questo caso si tratta di false fatture per abbonamenti a prodotti Norton, McAfee, Apple e altri di alto valore. Nel corpo della fattura, nella descrizione del prodotto o nel campo dell’indirizzo di consegna è presente un numero di telefono.

Se l’ignara vittima chiama al presunto supporto clienti per contestare la fattura, i cybercriminali cercheranno di ottenere le credenziali dell’account, i dati di pagamento o i codici OTP. In alcuni casi viene chiesto di installare un tool di accesso remoto.

Gli utenti più attenti noteranno errori grammaticali nelle fatture, quindi possono evitare la truffa. Ovviamente non deve essere mai chiamato il numero di telefono. Chi ha invece seguito le istruzioni deve subito cambiare tutte le password e disconnettere il dispositivo da Internet. I ricercatori non hanno ancora scoperto come le fatture sono state caricate nell’app.

Un portavoce di Shopify ha dichiarato:

Abbiamo identificato degli utenti malintenzionati che abusavano della nostra piattaforma per generare false notifiche d’ordine e abbiamo implementato nuovi controlli che hanno ridotto significativamente questa attività e migliorato la nostra capacità di rilevarla in futuro.