کلاهبرداری‌های مرتبط با اپلیکیشن Venmo عمدتاً با هدف ترغیب کاربران به ارسال پول یا افشای اطلاعات حساس طراحی شده‌اند. این حملات به‌طور گسترده بر تکنیک‌های مهندسی اجتماعی (Social Engineering) متکی هستند تا کاربر را پیش از آنکه فرصت تفکر داشته باشد، به واکنش سریع وا دارند.
۱. کلاهبرداری پرداخت تصادفی (Accidental Payment)
در این سناریو، یک غریبه مبلغی را به حساب کاربر ارسال کرده و سپس ادعا می‌کند که این پرداخت اشتباه بوده است. عامل تهدید (Threat Actor) کاربر را تحت فشار قرار می‌دهد تا مبلغ را بازگرداند. اما نکته اینجاست که پرداخت اولیه احتمالاً از یک حساب یا کارت سرقتی انجام شده و بعداً توسط بانک بازگشت (Reverse) می‌شود؛ در نتیجه کاربر مبلغ بازگردانده شده را از جیب خود پرداخت کرده است.
۲. خریداران جعلی و ارتقای حساب تجاری
کلاهبردار در نقش خریدار ظاهر شده و نام کاربری و ایمیل کاربر را می‌گیرد. سپس ایمیلی جعلی ارسال می‌کند با این ادعا که پرداخت انجام شده اما به دلیل نداشتن حساب تجاری (Business Account)، مبلغ مسدود شده است. در نهایت، از کاربر خواسته می‌شود برای «ارتقای حساب» و آزادسازی پول، مبلغی را به عنوان هزینه پرداخت کند.
۳. سوءاستفاده از QR Code
عوامل تهدید ممکن است برای دریافت پرداخت، درخواست QR Code کاربر را کنند تا از آن در حملات فیشینگ (Phishing) هدفمند استفاده کنند. در حالت دیگر، آن‌ها QR Code جعلی خود را ارسال می‌کنند که کاربر را به صفحات ورود (Login Page) جعلی برای سرقت اطلاعات هدایت می‌کند.
۴. جعل هویت پشتیبانی Venmo
در این متد، مهاجم خود را به عنوان نماینده پشتیبانی معرفی کرده و ادعا می‌کند مشکلی در حساب یا تراکنشی مشکوک وجود دارد. هدف نهایی، دریافت رمز عبور یا کدهای تایید (Verification Codes) از طریق فشار روانی است.
۵. کلاهبرداری پرداخت بیش از حد (Overpayment)
خریدار مبلغی بیشتر از قیمت توافق شده را ارسال کرده و سپس از کاربر می‌خواهد مابه‌التفاوت را سریعاً بازگرداند. مشابه متد پرداخت تصادفی، تراکنش اولیه معمولاً جعلی یا سرقتی است و پس از بازگشت مبلغ اضافی، تراکنش اول لغو می‌شود.
۶. لینک‌های فیشینگ و صفحات ورود جعلی
ارسال پیامک‌ها یا ایمیل‌های جعلی که از طرف Venmo به نظر می‌رسند و کاربر را برای «تایید حساب» یا «رفع مشکل» به لینک‌های مخرب هدایت می‌کنند. این صفحات دقیقاً مشابه رابط کاربری اصلی طراحی شده‌اند تا اطلاعات ورود کاربر را سرقت کنند.
۷. جعل هویت افراد مورد اعتماد (Impersonation)
مهاجم با استفاده از نام و عکس پروفایل دوستان یا اعضای خانواده، درخواست پول یا اطلاعات حساب می‌کند. در این موارد، بررسی تاریخچه تراکنش‌ها و لیست دوستان می‌تواند به شناسایی حساب‌های جعلی کمک کند.
۸. کلاهبرداری در Facebook Marketplace
کلاهبرداران خریداران یا فروشندگان را ترغیب می‌کنند تا به جای سیستم پرداخت داخلی فیس‌بوک، از Venmo استفاده کنند. سپس با ارسال تاییدیه پرداخت جعلی، کالا را دریافت کرده یا پول خریدار را تصاحب کرده و ناپدید می‌شوند.
۹. کلاهبرداری «گوشی قرض گرفته شده»
در این روش فیزیکی، مهاجم با ادعای تمام شدن باتری، از کاربر می‌خواهد تا لحظاتی از گوشی او برای تماس اضطراری استفاده کند. در این فاصله کوتاه، مهاجم وارد اپلیکیشن Venmo شده و مبلغی را به حساب خود منتقل کرده و اعلان‌ها (Alerts) را پاک می‌کند.
نشانه‌های هشداردهنده (Red Flags)
- ایجاد فوریت: فشار برای انجام سریع تراکنش بدون بررسی جزئیات.
- درخواست اطلاعات حساس: درخواست رمز عبور، PIN یا کدهای تک‌بار مصرف (OTP).
- پرداخت‌های ناخواسته: دریافت مبالغی از افراد ناشناس.
- جلوگیری از تماس با بانک: توصیه به عدم تماس با پشتیبانی رسمی یا بانک.
راهکارهای حفاظتی و امنیتی
برای کاهش سطح حمله (Attack Surface)، توصیه‌های زیر ضروری است:
- فعال‌سازی احراز هویت چندعاملی (MFA) برای ایجاد لایه امنیتی اضافی.
- استفاده از Password Manager برای ایجاد رمزهای عبور پیچیده و منحصر‌به‌فرد.
- تنظیم حریم خصوصی تراکنش‌ها روی حالت Private یا Friends Only.
- عدم اعتماد به لینک‌های ارسالی در پیامک و مراجعه مستقیم به اپلیکیشن رسمی.
- استفاده از تایید هویت بیومتریک (Biometric Verification) برای دسترسی به اپلیکیشن‌های مالی.
