Специалисты по кибербезопасности из NordVPN обнаружили масштабную рекламную кампанию, в рамках которой злоумышленники используют Facebook и Instagram Ads для привлечения пользователей в нелегальные онлайн-казино. Для обхода модерации применяется технология cloaking, а в креативах используются названия и логотипы более 400 известных брендов.
Как работает схема
По данным Threat Intelligence Team компании NordVPN, кампания отслеживается под названием pwa_betterlinks. В рекламе фигурируют популярные сервисы и бренды, включая Google Authenticator, Disney+, Duolingo, Delta Air Lines, Kalshi и национальные лотереи.
После клика по объявлению пользователь сначала попадает на поддельную страницу Google Play, а затем автоматически перенаправляется в нелегальное онлайн-казино. Вместо установки обычного приложения ему предлагают Progressive Web App (PWA), которая создает ярлык на устройстве и подписывает пользователя на push-уведомления с рекламой азартных игр.
Cloaking помогает обходить модерацию
Исследователи отмечают, что злоумышленники используют классическую схему cloaking: модераторы рекламных платформ и автоматические системы видят безопасные страницы, тогда как реальные пользователи перенаправляются на гемблинг-лендинги.
По информации NordVPN, специалисты обнаружили более 7200 случаев, когда пользователи попадали на страницы нелегальных казино, а также свыше 3100 страниц-приманок, предназначенных исключительно для прохождения проверки рекламных платформ.
За схемой может стоять affiliate-инфраструктура
В NordVPN считают, что используемая инфраструктура напоминает коммерческую affiliate-платформу. По версии исследователей, технология распространяется через сервис Betterlinks, которым пользуются сотни партнерских аккаунтов для перенаправления трафика на нелегальных операторов азартных игр.
Главный технический директор NordVPN Мариюс Бредис заявил, что мошенники эксплуатируют доверие пользователей к известным брендам. Пока человек понимает, что оказался не на официальном сервисе, он уже может успеть зарегистрироваться и внести депозит в неизвестном казино.
Подобные схемы встречались и раньше
В NordVPN напомнили, что использование cloaking в гемблинг-вертикали не является новой практикой. Ранее о похожей схеме предупреждала нидерландская организация Keurmerk Verantwoorde Affiliates (KVA). Тогда злоумышленники создали практически полную копию сайта легального казино Kansino, а мобильных пользователей перенаправляли на нелегальное казино Giga Spinz.
По мнению KVA, подобные кампании опасны тем, что злоумышленники используют доверие к лицензированным брендам для привлечения игроков к нелегальным операторам.