在澳大利亚，myGov是“方便及安全的网上政府服务”。
- 使用一个用户名和密码安全访问一系列政府服务
- 一个收件箱，你的邮件来自Centrelink，医疗保险，儿童支持和澳大利亚税务局
- 一个快速和简单的方法，以建议选定的会员服务更改您的一些个人资料
不幸的是，鉴于丰富的数据，令人愉快地定位这些服务的网络钓鱼活动令人满意的骗局可以相对容易地收获。这是一个令人讨厌的一个，一周左右通过电子邮件做一周的讨厌：
澳大利亚政府和Mygov必须验证您的身份！
这只是一封通知邮件。请不要回复此邮件，因为此邮箱未被监控。
这是myGov团队的消息。
澳大利亚政府和myGov必须验证您的身份- (AML/CTF规则4.2部分4.2.13段)。
点击“Go to myGov”并开始验证过程。
谢谢你！
网址 - 我们已报告并脱机 - 似乎是一个受妥协的网站，位于
peletycmc sk(点)
着陆页是真实Mygov登录屏幕的碳副本，并要求MyGov用户名和密码。
对于一个更典型的网络钓鱼，这可能是骗子的极限;在这里，当我们进入下一页时，数据抓取相当壮观:
文本如下所示：
澳大利亚政府和我的政府必须验证您的身份- (AML/CTF规则第4.2部分第4.2.13段)。
请使用“浏览”按钮上传您的身份文件。重要的提示
确保您上传许可证前后和背面的高质量副本，并且它是直的，而不是一定角度。我们只接受有效的澳大利亚司机许可证。
确保您上传了护照的高质量副本，并且它是直的，而不是一定角度。我们只接受有效的澳大利亚护照。澳大利亚驾照的前面未连接
澳大利亚司机的背面被解开了
澳大利亚护照取消链接
是的，这是询问受害者浏览其PC并上传他们的护照和驾驶执照前/背面的副本。然而，他们尚未完成，并下降促使受害者“链接他们的银行账户”。这是事情变得非常有趣的地方 - 请注意设计变更。它仍然在顶部说“澳大利亚政府 - Mygov”，但我们突然呈现狭窄的矩形，几乎就像我们正在看一个完全不同的网站风格：
有多个银行列出，但只能选择两个 - 花旗银行和英联邦银行。无论哪一个被挑选，诈骗者然后要求：
客户号码和密码
母亲的婚前姓
电话号码
电话银行密码
注意第一句提到的" Poli ID "。在这一点上，它似乎只是“一些银行的东西”与整个过程有关，可能不会吸引太多的注意。以后会变得很重要。
目前，骗子们坚持手机银行的主题:
一次性密码已通过短信发送到您的注册手机。请输入下面的6位数字OTP并选择继续。
骗子发送银行信息通过:[form id= " stpForm " action= " safe2(dot)php " method= " post " name= " date "]，然后我们看到什么声称是一个试图付款失败的消息，通过页面的HTML中的一些代码:
终极是澳大利亚支付系统，允许您“使用您的网上银行安全地支付商品和服务”。如果您是网站所有者，您可能会成为一个商人和将支付设施集成到您的网站。
碰巧的是，花旗银行和联邦银行都可以和Poli一起使用，这是钓鱼页面唯一允许你选择的两家银行。这名骗子——出于只有他们知道的原因——弹出一个硬编码的“付款失败”信息，金额高达1000美元(澳元?)假设的尝试付款似乎是通过Coinspot(dot)com发送到一个比特币钱包，在“商户”标签下的代码中列出。
这里是失败的付款尝试消息弹出，无论你做什么:
网络钓鱼者在这里所做的是先在myGov上设置一个网络钓鱼者，然后将受害者转移到一个与myGov完全无关的支付流程中，然后在Polipay上模拟“将你的银行账户链接到myGov”部分(看看演示)．
1000美元的付款是不可能的，因为正在收集被盗信息并通过.php页面发送到诈骗者，而不是使用终点。我们通知Twitter（2月14日）和2月15日的电子邮件通知终点，他们的回复如下：
似乎罪犯从交易中抓取屏幕并操纵它们以获取他们需要的信息。这一系列屏幕托管在罪犯的URL上。
屏幕抓取了一个不完整的交易与一个POLi商人。
用户对互联网的认识是一个重要因素 - 具体而言，了解如何确保网站所有者的身份。Poli为其支付系统采用扩展验证SSL，这使得他们可以通过POLI付款服务网站付款。声称是Poli的网站，不承担这种级别的公司验证是转移/诈骗者/ phisher等。
这是一件有点奇怪的事情做一个活的钓鱼，因为直到骗局的最后一部分，受害者不会知道任何Polipay / Coinspot的事情。如果你想让受害者不知道发生了什么有趣的事情，我想不出比随机告诉他们“嘿，付款失败了”更糟糕的方法了，因为自然的反应会是“……什么付款?”
这是一个非常有趣的制作工作，那么，无论诈骗者都达到了什么，他们仍然有受害者的其他信息，如上传的文档。
如果被问及上述信息，一定要保持警惕，如果有疑问，直接联系相关的官方机构，无论是银行还是政府门户网站。这可能会节省您的时间、精力、金钱，以及一些形式的身份验证。
克里斯博伊德（谢谢史蒂文和内森的其他信息）
评论