Vanochtend ontving ik een phishingmail zogenaamd van bunq (ja, getelateerd aan het telefoontje).

Na klikken op de link daarin werd mijn browser, via een tussensite (achter Cloudflare), doorgestuurd naar (ook achter Cloudflare):

https:⧸⧸bunq.diaojj.com

Daar moest ik mijn telefoonnummer invullen (gedaan, toch al gelekt) en vervolgens mijn pincode van de bunq app (ik heb onzincijfers ingevuld).

Na even wachten werd mijn browser doorgestuurd naar:

https:⧸⧸bunq.stakebet.live

(andere provider dan Cloudflare). Die site toont een steeds veranderende QR-code die ik met mijn bunq app zou moeten scannen (niet gedaan natuurlijk).

In die QR-code zit een (normaal onzichtbare) link die begint met https:⧸⧸qr.bunq.com/ (met een hele riedel tekens daarachter).

Kort na het middaguur heb ik deze info aan bunq gemeld. Dat heeft NOG NIET tot afsluiting van de websites geleid, want #CloudFlareIsEvil - zij is medeplichtig aan cybercrime. Beide sites zijn nog live.

De bellende dame (later vandaag) liet mij ook eerstgenoemde site bezoeken, met als doel om de bunq app op hun smartphone aan mijn bunq bankrekening te koppelen (dat feestje ging natuurlijk niet door).

#BigTechIsEvil #InternetIsZiek #bunq #phishing

Zojuist heb ik aangifte gedaan op https://politie.nl.

Beide sites zijn nu nog live:

https:⧸⧸bunq.diaojj.com (achter Cloudflare)
https:⧸⧸bunq.stakebet.live (216.203.20.170)

Maar eens zien of de Politie hier (op zondagavond) iets mee kan, d.w.z. in elk geval #Cloudflare ervan overtuigen dat die eerste side uit de lucht moet.

#CloudflareIsEvil dus ik verwacht er niks van. De volgende site, ook achter Cloudflare, is ook nog steeds live:

https:⧸⧸digitaalformulier.4417.info

Zie https://todon.nl/@ErikvanStraten/116255199097910985 en verder.

Aan de andere kant is dat dweilen met de kraan open, want voor weinig geld en met weinig moeite hebben de criminelen zo weer nieuwe domeinnamen voor dezelfde nepsites.

M.b.t. de Cloudflare "evilness" zie https://todon.nl/@ErikvanStraten/116263229585961944.

Over de bellende nep bunq medewerker schreef ik vandaag ook in https://www.security.nl/posting/929480/nep+bunq+beller+%28odido+lek%29.

#BigTechIsEvil #InternetIsZiek #OdidoIsEvil #Odido #DataLek #OdidoDataLek #Aangifte #Politie #CyberCrime #BankHelpDeskFraude

Beide volgende sites waren om 23/3 om 08:00 nog live (edit 26/3 om 23:25, alle drie de volgende sites waren, toen ik een paar minuten geleden checkte, nog in de lucht. Zie ook ds reply op deze toot):

https:⧸⧸bunq.diaojj.com (achter Cloudflare)
https:⧸⧸bunq.stakebet.live (216.203.20.170)

Aanvulling, andere scamsite (live sinds 12 maart of eerder, zie https://todon.nl/@ErikvanStraten/116216004495882854 en follow-up in https://todon.nl/@ErikvanStraten/116255199097910985):

https:⧸⧸digitaalformulier.4417.info (ook achter Cloudflare)

Om een indruk te geven wat voor sites zich achter Cloudflare verstoppen, hieronder een screenshot van het RELATIONS tabblad in https://www.virustotal.com/gui/ip-address/104.21.21.112

#CloudFlareIsEvil #BigTechIsEvil

ODIDO PHISHING

Er is iets veranderd! Cloudflare waarschuwt nu voor PHISHING als ik open:

https:⧸⧸sozungolgesi.com

Dat was de "doorstuursite" die ik niet benoemde in https://todon.nl/@ErikvanStraten/116274355987240779. Immers, phishers gebruiken tegelijkertijd *meerdere* doorstuursites en vernieuwen ze vaak om te verhinderen dat spamfilters hun phishingmails blokkeren.

Erg effectief is Cloudflare niet, want als ik open:

https:⧸⧸sozungolgesi.com/whatever

waarschuwt Cloudflare *NIET* voor phishing. De cybercrims hebben de site echter opgedoekt, want met bovenstaande link meldt Cloudflare dat de bedoelde site onbereikbaar is.

Er is nog iets veranderd: in elk geval de bovenste twee doorstuursites (de rest heb ik niet gecheckt) die ik noemde in https://todon.nl/@ErikvanStraten/116260867512597776 sturen nu door naar een ANDERE phishingsite (ook achter Cloudflare).

Oftewel, dweilen met de kraan open. In onderstaand plaatje heb ik met groen aangegeven wat (een half uurtje geleden en waaschijnlijk nu nog) werkt, en met rood wat "dood" is.

Nb. de kleine vierkante rode plekjes, ☎️, stellen telefoons voor - d.w.z. dat je gebeld wordt door een bankhelpdeskfraudeur, zoals ik zondag eind van de middag meemaakte (zie https://todon.nl/@ErikvanStraten/116274275041117317).

#CloudflareIsEvil #Phishing #BigTechIsEvil #Odido #OdidoDataLek

Hieronder screenshots van hetgeen ik noemde in de toot hierboven:

• De nieuwe ICS phishingsite (achter Cloudflare, geen phishing-waarschuwing);

• De Coudflare phishing-waarschuwing;

• Met "/whatever" achter de link geplakt waarschuwt Cloudflare NIET voor phishing (dus hadden de phishers dat eenvoudig kunnen omzeilen). Na enige tijd meldt Cloudflare dat de site onbereikbaar is.

#ICS #ICSphishing #Phishing #CloudflareIsEvil

Interessant, de volgende nepsite toont nu een KNAB QR-code (de link in de QR-code begint met "knab-app://qr-login?login_token=<lange_reeks>"):

https:⧸⧸bunq.stakebet.live (IPv4: 216.203.20.170)

zie onderstaande screenshot.

De volgende nepwebsite:

https:⧸⧸bunq.diaojj.com (achter Cloudflare)

is nog live, maar als ik mijn echte telefoonnummer gevolgd door een verzonnen 6-cijferige bunq-app code invoer, blijft er een cirkeltje draaien. Mogelijk ben ik geblacklist, dus ik weet niet of dit voor iedereen geldt.

Denkbaar is dat criminelen een nieuwe scam aan het voorbereiden zijn en er binnenkort nepsites verschijnen met domeinnamen die met "knab." beginnen.

Zie de tweede reactie in deze draad voor hoe deze sites afgelopen zondag werkten.

#CloudFlareIsEvil #Phishing #bunq #knab #InfoSec

PHISHING - update 1/2

De volgende sites waren gisteravond nog live maar nu niet meer:

https:⧸⧸bunq.stakebet.live (IPv4: 216.203.20.170)
https:⧸⧸bunq.diaojj.com (achter Cloudflare)

Die laatste link laat Cloudflare testen of U wel betrouwbaar bent en meldt daarna een time-out met de feitelijke server.

Dezelfde groep cybercriminelen zit kennelijk nog niet achter de tralies, de volgende phishingsites waren zojuist nog live, op de volgende na - die nog niet of niet meer live is:

https:⧸⧸knab.stakebet.live (dit subdomein achter Cloudflare)

In de volgende toot screenshots met domeinnamen van "doorstuursites".

P.S. druk op een plaatje om te vergroten.

#Phishing #Odido #OdidoDataLek #knab #bunq #KvK #BitVavo #knabPhishing #bunqPhishing #KvKPhishing #BitVavoPhishing #Cloudflare #CloudflareIsEvil #CloudflareIsCrimineel

Nog zeven phishing-websites die niet geblokkeerd worden door Cloudflare (met screenshots van de eerste vier, de rest zijn ook Cloudflare time-out pagina's):

https:⧸⧸digitaalformulier.4417.info (sinds minstens 12 maart)
https:⧸⧸ing.stakebet.live
https:⧸⧸abnamro.stakebet.live
https:⧸⧸rabobank.stakebet.live
https:⧸⧸triodos.stakebet.live
https:⧸⧸asn.stakebet.live
https:⧸⧸n26.stakebet.live

Mogelijk zijn de phishermen overgestapt op een andere domeinnaam dan "stakebet punt live" die ik (nog) niet ken, met subdomeinen die waarschijnlijk ook achter bullet proof hoster Cloudflare zitten.

Druk op een plaatje om te vergroten.

#CloudflareIsEvil #Phishing #CloudflareBulletProofHosting #ING #INGphishing #ABNAmro #ABNAmroPhishing #Rabobank #RabobankPhishing #Triodos #TriodosPhishing #ASN #ASNbank #ASNphishing #ASNbankPhishing #N26 #N26phishing