Una richiesta di modifica del pagamento da un indirizzo simile
Il 6 agosto 2024, INTERPOL ha segnalato una truffa di impersonificazione via email che aveva come obiettivo un'azienda di materie prime di Singapore. Il 15 luglio, l'azienda ha ricevuto una presunta email dal fornitore che chiedeva di effettuare un pagamento in sospeso su un nuovo conto a Timor-Leste. INTERPOL ha dichiarato che l'indirizzo email fraudolento era leggermente diverso da quello ufficiale del fornitore.
L'azienda ha trasferito 42,3 milioni di dollari il 19 luglio e ha scoperto il problema quattro giorni dopo, quando il fornitore reale ha dichiarato di non aver ricevuto il pagamento. Il report non pubblica l'indirizzo né specifica se la differenza fosse nella parte locale, nel dominio o in entrambi. Pertanto, non giustifica la denominazione di un particolare dominio fraudolento.
Intervento transfrontaliero e arresti segnalati
Dopo una denuncia alla polizia il 23 luglio, le autorità di Singapore hanno richiesto assistenza tramite il meccanismo I-GRIP (Global Rapid Intervention of Payments) dell'INTERPOL. Il comunicato afferma che 39 milioni di dollari sono stati rilevati e trattenuti dal conto di destinazione, e che le indagini successive hanno portato al recupero di oltre 2 milioni di dollari.
L'INTERPOL ha segnalato sette arresti e ha dichiarato che erano in corso misure per restituire i fondi rubati. L'intercettazione e il recupero non equivalgono a un rimborso completato. Gli arresti non sono condanne; questo articolo riflette solo lo stato descritto nel rapporto citato.
Lezioni forensi: una piccola differenza di indirizzo può essere importante
Verificare le modifiche ai dettagli bancari attraverso i recapiti del fornitore precedentemente noti. Confrontare l'indirizzo email effettivo, non solo il nome visualizzato. Conservare insieme il messaggio, la fattura, le intestazioni originali e i registri di pagamento in modo da poter esaminare l'autorizzazione e le modifiche di destinazione.
I dati DNS e di registrazione possono essere utili quando un dominio simile viene effettivamente identificato. In questo caso, non sono stati divulgati indicatori di dominio. La lezione è un flusso di lavoro di verifica e un'attenta conservazione delle prove, non l'affermazione che il rapporto pubblico abbia provato il typosquatting o esposto l'infrastruttura dell'attaccante.
Fonte primaria
Leggi il rapporto ufficiale INTERPOLQuesta revisione riassume il rapporto pubblico citato. La data della fonte originale è mostrata separatamente dalla data di pubblicazione di questa revisione. Procedimenti successivi o recuperi non sono stati verificati qui.