کلاهبرداران با استفاده از یک ابزار توسعه وب (Toolkit) ارزان‌قیمت، شبکه‌ای از وب‌سایت‌های متقاعدکننده را ایجاد کرده‌اند تا اشتراک‌های تایید نشده و گران‌قیمت ابزارهای هوش مصنوعی (AI) را به کاربران بفروشند. نکته کلیدی در موفقیت این حملات، استفاده از صفحه ورود (Sign-in) واقعی گوگل است که باعث ایجاد اعتماد کاذب در کاربران می‌شود.
تحلیل ساختار حملات
تحقیقات شرکت Malwarebytes نشان می‌دهد که بیش از ۱۰۰ وب‌سایت مشابه شناسایی شده‌اند که همگی از یک کیت توسعه مشترک استفاده می‌کنند. این سایت‌ها با کپی‌برداری از نام محصولات شناخته شده مانند GPT-6 Astra، DaVinci Resolve و PixAI یا حتی استفاده از نام سرویس‌های متوقف شده مانند Omegle، سعی در جذب کاربران دارند.
مکانیسم فریب و پرداخت
برخلاف حملات رایج، این وب‌سایت‌ها از فرم‌های جعلی رمز عبور یا توزیع بدافزار (Malware) استفاده نمی‌کنند. در عوض، فرآیند به شرح زیر است:
- صفحات محصول صیقل‌خورده: ایجاد ظاهری حرفه‌ای برای متقاعد کردن کاربر.
- احراز هویت واقعی: هدایت کاربر به صفحه ورود رسمی گوگل. از آنجایی که این صفحه واقعی است، کاربر تصور می‌کند سرویس ارائه شده نیز معتبر است.
- طرح‌های پرداخت گران‌قیمت: فروش اشتراک‌هایی با قیمت‌های متغیر از ۱۰ دلار در ماه تا ۲۰۰۰ دلار در سال.
کشف زیرساخت‌های مشترک
محققان دریافتند که این سایت‌ها بر پایه یک کیت استارتر تجاری ۲۴۹ دلاری بنا شده‌اند که شامل سیستم مدیریت حساب، ابزارهای پرداخت و کنترل‌های مدیریتی است. شواهدی مانند باقی ماندن عبارت “boilerplate” در نام برخی طرح‌های پرداخت و استفاده از بنرهای دمو، نشان‌دهنده استفاده از قالب‌های آماده است. همچنین، بررسی ایمیل‌های توسعه‌دهندگان نشان می‌دهد که یک اپراتور واحد یا گروهی کوچک مدیریت این شبکه گسترده را بر عهده دارند.
نکات امنیتی در مورد Google Consent Screen
در این حملات، صفحه رضایت (Consent Screen) گوگل تنها نام اپلیکیشن و ایمیل توسعه‌دهنده را نمایش می‌دهد. در بسیاری از این موارد، ایمیل‌های ثبت شده از نوع رایگان (Webmail) هستند و هیچ ارتباطی با برندهای ادعایی ندارند. باید توجه داشت که استفاده از سیستم ورود گوگل، صرفاً تایید می‌کند که عملیات ورود توسط گوگل مدیریت شده است، نه اینکه خودِ سرویس یا محصول پشت آن معتبر باشد.
توصیه‌های پیشگیرانه
برای جلوگیری از این نوع کلاهبرداری‌ها، موارد زیر توصیه می‌شود:
- بررسی دقیق URL: هرگز تنها به لوگو یا نام نمایش داده شده اعتماد نکنید و آدرس وب‌سایت را با منابع رسمی تطبیق دهید.
- تحلیل صفحه رضایت گوگل: پیش از تایید دسترسی، نام اپلیکیشن و جزئیات توسعه‌دهنده را در صفحه Consent Screen بررسی کنید.
- جستجوی مستقل: محصول مورد نظر را به صورت جداگانه در موتورهای جستجو یا فروشگاه‌های رسمی اپلیکیشن جستجو کنید و به نظرات (Testimonials) درج شده در خود سایت اعتماد نکنید.
