Spelers van Call of Duty Mobile moeten oppassen voor een phishingcampagne die zich voordoet als een gratis weggeefactie van Call of Duty-punten.
Slachtoffers wordt gevraagd om in te loggen met hun e-mailadres en wachtwoord om gratis Call of Duty-punten (CP) te claimen, de premiumvaluta van het spel. Vervolgens worden ze doorgestuurd naar een tweede pagina waar om hun code voor tweefactorauthenticatie (2FA) wordt gevraagd.
De website heeft geen enkele band met Activision. Het enige doel ervan is het stelen van de inloggegevens die nodig zijn om accounts over te nemen.
Waarom het de moeite loont om Call of Duty Mobile-accounts te stelen
Call of Duty Mobile is wereldwijd naar schatting 489 miljoen keer gedownload en heeft in totaal ongeveer 1,8 miljard dollar aan in-app-aankopen gegenereerd.
Een Activision-account kan niet alleen waardevol zijn vanwege de in-game valuta die erop staat. Veel spelers koppelen hun Activision-account aan Xbox, PlayStation of Battle.net, wat betekent dat bij een gestolen inlog kunnen de volgende gegevens openbaar worden:
- Opgeslagen betaalmethoden
- Aankoopgeschiedenis
- Andere gekoppelde game-accounts
Hoe de zwendel werkt
De eerste pagina lijkt op de officiële website van Call of Duty Mobile en biedt 10.800 gratis punten in ruil voor een e-mailadres en wachtwoord – geen inwisselcode, maar volledige inloggegevens voor een account. Er wordt ook beweerd dat de beloning binnen vier tot acht uur zal worden „bevestigd”, waarmee tijd wordt gewonnen voordat iemand doorheeft dat er niets is aangekomen.
Er zijn echter wel enkele alarmsignalen. Op de pagina staat „GET FREE POINT“ in plaats van „GET FREE POINTS“, de instructies zijn onhandig geformuleerd en er is een livechat-widget die er uitsluitend lijkt te zijn om de site een serieuzere uitstraling te geven.
De omleiding maakt gebruik van een veelvoorkomende phishingtechniek die bekendstaat als ‘real-time credential relay’. In plaats van gestolen gebruikersnamen en wachtwoorden op te slaan voor later gebruik, verstuurt de phishingsite deze gegevens onmiddellijk naar de echte inlogpagina van Activision. Dit kan leiden tot het genereren van een echte code voor tweefactorauthenticatie (2FA), die de tweede pagina is ontworpen om te onderscheppen voordat deze verloopt.
Het slachtoffer geeft uiteindelijk alles prijs wat nodig is om toegang te krijgen tot zijn of haar echte account: het wachtwoord en de eenmalige code die aanvallers juist buiten de deur moet houden.
Hoe je deze zwendel kunt voorkomen
- Controleer de adresbalk. Bij legitieme aanbiedingen wordt je niet gevraagd om in te loggen via een onbekende website.
- Laat je niet opjagen door afteltimers. Ze zijn bedoeld om je tot handelen aan te zetten voordat je er goed over nadenkt.
- Als je twijfelt of een aanbieding echt is, open dan de officiële Call of Duty Mobile-app of ga zelf naar de website van Activision in plaats van op een link te klikken.
- Gebruik hulpmiddelen die oplichting voor je opsporen. Malwarebytes Guard kan je helpen verdachte links te controleren, terwijl Malwarebytes Browser Guard blokkeert veel phishing-sites voordat ze worden geladen.
- Als je op je telefoon speelt, Malwarebytes Mobile Security voegt een extra beschermingslaag toe door te helpen bij het blokkeren van phishing-sites en andere mobiele bedreigingen.
Als je je gegevens al hebt ingevuld
- Wijzig je Activision-wachtwoord onmiddellijk.
- Als je een 2FA-code hebt ingevoerd, ga er dan vanuit dat iemand mogelijk toegang heeft gekregen tot je account. Controleer je accountactiviteit en meld je af op alle apparaten.
- Controleer alle gekoppelde betaalmethoden op ongeautoriseerde aankopen.
De eenvoudigste manier om dit soort phishingaanvallen te voorkomen, is door websites zelf op te roepen door het adres in je browser in te typen of de officiële app te gebruiken, in plaats van links uit berichten, posts op sociale media of advertenties te volgen.
Oplichters weten meer over je dan je denkt.
Malwarebytes Mobile Security je tegen phishing, oplichtings-sms’jes, schadelijke websites en nog veel meer. Met de ingebouwde, door AI aangestuurde Scam Guard die in realtime werkt.
