Điểm chính

  • Chiến dịch lừa đảo trực tuyến xuất phát từ Trung Quốc nhắm mục tiêu chính vào người dùng tại Nhật Bản.
  • Hệ thống sử dụng ba bộ công cụ phishing chuyên biệt cùng mạng lưới 17.000 tên miền để đánh cắp thông tin tài chính.
  • Các đối tượng tấn công liên tục xoay vòng hạ tầng và sử dụng mã CAPTCHA nhằm qua mặt các hệ thống bảo mật tự động.

Các nhà nghiên cứu bảo mật vừa phát hiện một chiến dịch tấn công lừa đảo trực tuyến (phishing) có quy mô lớn, xuất phát từ Trung Quốc và sử dụng mạng lưới lên tới 17.000 tên miền nhằm nhắm vào người dùng tại Nhật Bản để đánh cắp dữ liệu cá nhân cùng thông tin tài chính.

Vận hành và bộ công cụ của chiến dịch

Chiến dịch này được triển khai dựa trên sự kết hợp chặt chẽ của ba bộ công cụ phishing mang tên CoGUI, CoAceV và CoFish_Ws. Những công cụ này đóng vai trò cốt lõi trong việc tạo lập và gửi các email lừa đảo, điều hướng nạn nhân tới các cổng thanh toán hoặc trang đăng nhập giả mạo với độ tinh vi cao.

Phương thức né tránh hệ thống phòng thủ

Để qua mặt các giải pháp bảo mật, kẻ tấn công thực hiện xoay vòng hạ tầng mạng liên tục. Thống kê từ các chuyên gia trong khoảng thời gian từ ngày 1 tháng 7 đến ngày 17 tháng 9 cho thấy có tới 3.788 tên miền đầy đủ (FQDN) khác nhau được đưa vào sử dụng, khẳng định việc chặn đứng một danh sách tĩnh không thể mang lại hiệu quả triệt để.

Các nội dung email lừa đảo thường xoay quanh các chủ đề mang tính khẩn cấp như cảnh báo tài khoản ngân hàng, vấn đề thanh toán thẻ tín dụng hoặc thông báo giao hàng. Đáng chú ý, trước khi dẫn đến trang web giả mạo, các đường dẫn thường đi qua các bước trung gian bao gồm cả việc xác thực CAPTCHA nhằm vô hiệu hóa các công cụ quét tự động của bên bảo mật.

Thương hiệu bị mạo danh và khuyến cáo phòng vệ

Hệ thống trang web giả mạo trong chiến dịch này mô phỏng tinh vi giao diện của nhiều tổ chức, doanh nghiệp và thương hiệu lớn như PayPay, MyJCB, Rakuten, SMBC, Aeon Card, UC Card, Matsui Securities, Amazon, Apple, DHL cùng Yamato Transport. Toàn bộ thông tin do người dùng nhập vào sẽ được chuyển thẳng về máy chủ của kẻ gian.

Trước những nguy cơ trên, các tổ chức được khuyến nghị tăng cường giám sát hoạt động bất thường và áp dụng xác thực đa yếu tố (MFA). Về phía người dùng cá nhân, tuyệt đối không truy cập hoặc đăng nhập qua các liên kết lạ trong email, tin nhắn mà nên sử dụng ứng dụng chính thống hoặc gõ trực tiếp địa chỉ trang web lên trình duyệt. Các đội ngũ vận hành an ninh mạng (SOC) cũng cần tích hợp dữ liệu tình báo mối đe dọa để kịp thời cập nhật các tên miền độc hại mới nổi.