I giocatori di Call of Duty Mobile dovrebbero prestare attenzione a una campagna di phishing mascherata da iniziativa di distribuzione gratuita di Call of Duty Points.
Alle vittime viene chiesto di effettuare l'accesso con il proprio indirizzo e-mail e la password per richiedere i Call of Duty Points (CP) gratuiti, la valuta premium del gioco. Vengono quindi reindirizzate a una seconda pagina in cui viene richiesto il codice di autenticazione a due fattori (2FA).
Il sito non ha alcun legame con Activision. Il suo unico scopo è quello di rubare le credenziali di accesso necessarie per appropriarsi degli account.
Perché vale la pena rubare gli account di Call of Duty Mobile
Si stima che Call of Duty Mobile sia stato scaricato 489 milioni di volte in tutto il mondo e abbia generato circa 1,8 miliardi di dollari in acquisti in-app nel corso della sua vita.
Un account Activision può avere un valore che va ben oltre la valuta di gioco in esso contenuta. Molti giocatori associano il proprio account Activision a Xbox, PlayStation o Battle.net, il che significa che un furto delle credenziali di accesso potrebbe compromettere:
- Metodi di pagamento salvati
- Cronologia degli acquisti
- Altri account di gioco collegati
Come funziona la truffa
La prima pagina riproduce il sito ufficiale di Call of Duty Mobile e offre 10.800 punti gratuiti in cambio di un indirizzo e-mail e di una password: non si tratta di un codice promozionale, ma di credenziali di accesso complete all’account. Inoltre, sostiene che il premio verrà “confermato” entro quattro-otto ore, guadagnando così tempo prima che qualcuno si accorga che non è arrivato nulla.
Ci sono però alcuni segnali di allarme. La pagina riporta la dicitura “GET FREE POINT” anziché “GET FREE POINTS”, contiene istruzioni formulate in modo poco chiaro e include un widget di chat live che sembra esistere esclusivamente per conferire al sito un’aria più credibile.
Il reindirizzamento segue una tecnica di phishing comune nota come “relay delle credenziali in tempo reale”. Anziché memorizzare i nomi utente e le password rubati per un uso successivo, il sito di phishing li invia immediatamente alla vera pagina di accesso di Activision. Ciò può generare un codice di autenticazione a due fattori (2FA) autentico, che la seconda pagina è progettata per intercettare prima che scada.
La vittima finisce per fornire tutte le informazioni necessarie per accedere al proprio account reale: la password e il codice monouso che dovrebbe impedire l'accesso agli hacker.
Come evitare questa truffa
- Controlla la barra degli indirizzi. Le promozioni legittime non ti chiedono di effettuare l'accesso tramite un sito web sconosciuto.
- Non lasciarti mettere sotto pressione dai timer con il conto alla rovescia. Sono pensati per farti agire prima ancora di riflettere.
- Se non sei sicuro che una promozione sia autentica, apri l'app ufficiale di Call of Duty Mobile oppure visita direttamente il sito web di Activision, invece di seguire un link.
- Utilizza strumenti che individuano le truffe al posto tuo. Malwarebytes Guard può aiutarti a verificare i link sospetti, mentre Malwarebytes Browser Guard blocca molti siti di phishing prima ancora che vengano caricati.
- Se giochi sul tuo telefono, Malwarebytes Mobile Security aggiunge un ulteriore livello di protezione aiutandoti a bloccare i siti di phishing e altre minacce mobili.
Se hai già inserito i tuoi dati
- Cambia subito la tua password Activision.
- Se hai inserito un codice 2FA, considera la possibilità che qualcuno possa aver avuto accesso al tuo account. Controlla l'attività del tuo account ed esci da tutti i dispositivi.
- Controlla eventuali metodi di pagamento associati per verificare la presenza di acquisti non autorizzati.
Il modo più semplice per evitare attacchi di phishing come questo è accedere ai siti web digitando direttamente l'indirizzo nel browser o utilizzando l'app ufficiale, anziché cliccare sui link contenuti in messaggi, post sui social media o annunci pubblicitari.
I truffatori sanno più cose su di te di quanto tu creda.
Malwarebytes Mobile Security tiMobile Security da phishing, SMS truffaldini, siti dannosi e altro ancora. Con la funzione Scam Guard basata sull'intelligenza artificiale integrata e attiva in tempo reale.
