Odyseja po fałszywy bilet. Jak phishing na Multikino prowadzi od seansu do kradzieży danych

Rozpoznawalny kontekst codziennych zakupów to dla oszustów dobre środowisko do ukrycia ataku. Planowanie weekendu, wyjście na seans i szybka rezerwacja biletów online są czynnościami, które użytkownicy wykonują rutynowo, często bez zachowania minimalnego poziomu ostrożności, jaki powinien towarzyszyć logowaniu do banku, czy wykonywaniu przelewu.

W przypadku strony podszywającej się pod Multikino cyberprzestępcy wykorzystali właśnie ten mechanizm. Niemal wiernie odwzorowali serwis oraz kolejne etapy zakupu – od repertuaru, przez wybór filmu i miejsc, aż po płatność. Celem było pozyskanie danych karty oraz informacji o dostępnym saldzie rachunku.

Fałszywa strona została odwzorowana na tyle dokładnie, że użytkownikowi mogło być trudno odróżnić ją od oryginalnego serwisu. Znajoma kolorystyka, układ strony, materiały filmowe i sposób rezerwacji wzmacniają wiarygodność witryny, a zaufanie do rozpoznawalnej marki dodatkowo usypia czujność. Oszuści nie muszą więc tworzyć własnej wiarygodności – korzystają z tej, którą firma wypracowała wcześniej.

Dlatego taki phishing staje się problemem nie tylko dla poszkodowanego klienta. Użytkownik widzi logo, wygląd i proces kojarzony z konkretną siecią kin, więc skutki oszustwa mogą dotknąć ją w postaci zgłoszeń reklamacji oraz utraty zaufania ze strony Klientów.

Choć firma nie jest bezpośrednim celem ataku, jej marka może być wykorzystywana przez cyberprzestępców jako narzędzie do wyłudzania danych lub środków od klientów.

Phishing na Multikino – przebieg ataku

Oszuści wykorzystywali fałszywe witryny podszywające się pod Multikino, których adresy różniły się od właściwego adresu jedynie TLD domeny. Jednym z przykładów była strona multikino[.]me, podczas gdy oficjalny serwis działa pod adresem multikino[.]pl. Przy pobieżnej weryfikacji taka różnica może łatwo pozostać niezauważona.

Sama strona niemal wiernie odwzorowuje oficjalny serwis. Skopiowano układ strony, karuzelę promocyjną, kolorystykę, menu nawigacyjne oraz większość podstron. Jedną z widocznych różnic jest brak sekcji „Logowanie/Rejestracja”, co dodatkowo upraszcza ścieżkę prowadzącą użytkownika bezpośrednio do zakupu.

Takie odwzorowanie ogranicza momenty, w których użytkownik mógłby zakwestionować autentyczność strony. Socjotechnika nie opiera się tu na strachu, lecz na odtworzeniu znajomego doświadczenia i wykorzystaniu zaufania do rozpoznawalnej marki.

Fałszywa strona podszywająca się pod Multikino:

Oficjalny serwis Multikina:

Zamiast od razu prosić o dane finansowe, oszuści pozwalają użytkownikowi przejść przez kolejne etapy zakupu. Może on wybrać film, kino, godzinę seansu i zobaczyć szczegóły wydarzenia.
Każda kolejna, naturalnie wyglądająca czynność wzmacnia przekonanie, że użytkownik znajduje się na stronie oryginalnego serwisu. Po kilku etapach całość zaczyna być postrzegana jako jedna spójna transakcja.

Po wyborze seansu użytkownik przechodzi do mapy sali, na której może wskazać konkretne miejsca i zobaczyć ich ceny.
Z perspektywy samego wyłudzenia danych taka funkcja nie jest konieczna. Ma jednak duże znaczenie psychologiczne. Odtwarza element, którego użytkownik oczekuje podczas prawdziwego zakupu biletu i dodatkowo zwiększa wiarygodność całego scenariusza.
To pokazuje, że cyberprzestępcom zależało nie tylko na skopiowaniu wyglądu serwisu, lecz także na odwzorowaniu procesu zakupowego.

Po wyborze miejsc użytkownik przechodzi do finalizacji zamówienia. W tym miejscu fałszywy proces zaczyna wyraźniej odbiegać od oryginalnego. Oficjalny serwis udostępnia kilka metod płatności, m.in. BLIK, szybkie przelewy, portfele cyfrowe oraz płatność kartą. Fałszywa strona ogranicza wybór do formularza „Karta bankowa”, wymagającego podania numeru karty, daty ważności i kodu CVV.
Jednocześnie widoczny jest licznik czasu na dokończenie zakupu. Odliczanie wzmacnia wrażenie, że rezerwacja jest tymczasowa i trzeba szybko sfinalizować transakcję. Presja czasu została więc wpisana w naturalny kontekst rezerwacji miejsc, zamiast przyjmować formę alarmującego komunikatu.

Przesłanie danych karty nie kończy scenariusza. Na kolejnym ekranie pojawia się komunikat sugerujący rozpoczęcie „weryfikacji banku”. Widoczne są również odwołania do mechanizmów bezpieczeństwa płatności.
Oszuści wykorzystują tutaj sytuację znaną z prawdziwych zakupów internetowych. Użytkownik może spodziewać się dodatkowego etapu autoryzacji, dlatego kolejny ekran nie musi automatycznie wzbudzać podejrzeń.

Na stronie pojawia się również element imitujący obsługę klienta, informujący o trwającej weryfikacji. Jego zadaniem jest utrzymanie użytkownika w procesie i ograniczenie wątpliwości, gdy płatność trwa dłużej lub przebiega inaczej, niż oczekiwał.

W ostatnim analizowanym etapie użytkownik zostaje poproszony o podanie aktualnego dostępnego salda karty, rzekomo potrzebnego do zakończenia weryfikacji.
To wyraźne odejście od standardowego procesu płatności. Żądanie pojawia się jednak dopiero po wyborze filmu, miejsca, podaniu danych kontaktowych i informacji z karty. Użytkownik zdążył już przejść przez kilka wiarygodnie wyglądających etapów, dlatego nietypowe pytanie może potraktować jako kolejną część rozpoczętej transakcji.

Informacja o dostępnych środkach może pomóc oszustom ocenić finansową wartość przejętych danych. Samo żądanie podania salda w ramach rzekomej autoryzacji powinno być jednak wyraźnym sygnałem ostrzegawczym.

Na tym etapie kończy się analizowana ścieżka ataku, ale sam proces wyłudzenia może być kontynuowany. Kolejne ekrany mogą służyć do pozyskania dodatkowych danych, np. kodu autoryzacyjnego, a wcześniej przejęte informacje mogą zostać wykorzystane do dalszych nadużyć.

Kiedy marka staje się narzędziem phishingu

W tym scenariuszu cyberprzestępcy nie atakują bezpośrednio infrastruktury Multikina. Wykorzystują jednak jego nazwę, wygląd serwisu i znany klientom proces zakupowy jako element oszustwa.

Fałszywa witryna może prowadzić do:

• wyłudzenia danych kart i dodatkowych informacji finansowych,
• strat finansowych po stronie klientów,
• zgłoszeń i reklamacji kierowanych do prawdziwej firmy,
• konieczności reagowania komunikacyjnego,
• osłabienia zaufania do oficjalnych kanałów marki.

Problem polega na tym, że organizacja może ponosić konsekwencje incydentu, mimo że fałszywa infrastruktura znajduje się całkowicie poza jej kontrolą. Dlatego wykrywanie podobnych domen i nadużyć identyfikacji wizualnej powinno być elementem ochrony marki, a nie dopiero reakcją na zgłoszenia poszkodowanych klientów.

Czy Twoi klienci rozpoznaliby fałszywy serwis, gdyby oszuści skopiowali nie tylko jego wygląd, ale również cały znany im proces składania zamówienia?

PODSUMOWANIE

Atak podszywający się pod Multikino pokazuje, że skuteczny phishing może odtwarzać nie tylko wygląd strony, ale również całe doświadczenie zakupowe. Im bardziej proces przypomina ten znany użytkownikowi, tym trudniej zauważyć moment, w którym zwykła rezerwacja seansu w kinie zmienia się w próbę wyłudzenia danych.

Dla organizacji oznacza to, że ochrona nie kończy się na zabezpieczeniu własnych systemów. Przestępcy mogą działać całkowicie poza jej infrastrukturą, wykorzystując jednocześnie nazwę, wizerunek i zaufanie klientów.

Stałe monitorowanie nadużyć marki i szybkie reagowanie na fałszywe domeny wymagają czasu, narzędzi i odpowiednich kompetencji. Współpraca z zewnętrznym zespołem reagowania może odciążyć wewnętrzne zespoły i pozwolić organizacji skupić się na kluczowych zadaniach biznesowych, podczas gdy eksperci zajmują się wykrywaniem i ograniczaniem skutków nadużyć wobec marki i jej klientów.

Ochrona marki w sieci powinna zaczynać się zanim pierwszy poszkodowany klient zgłosi incydent.

Więcej o tym, w jaki sposób PREBYTES SIRT pomaga organizacjom wykrywać, analizować i ograniczać skutki nadużyć wizerunku znajdziesz na stronie zespołu Security Incident Response Team.