2026 FIFA Dünya Kupası heyecanı artarken, siber güvenlik firması Group-IB, taraftarları hedef alan büyük çaplı bir dolandırıcılık operasyonunu gün yüzüne çıkardı. Geçtiğimiz Ağustos ayından bu yana 4300'den fazla sahte domain tescil edildi. Bu alan adlarının büyük kısmı şu an için pasif durumda, ancak turnuva yaklaştıkça aktif hale gelmeye hazırlanıyor. Benzer bir dalganın 2022 Katar Dünya Kupası öncesinde de yaşandığı belirtiliyor.
Operasyonun merkezinde, Group-IB'in Ghost Stadium olarak izlediği bir tehdit aktörü yer alıyor. Çin kökenli olduğu düşünülen bu grup, kâr odaklı çalışıyor ve 300'den fazla phishing domainini tek bir kit kullanarak yönetiyor. Bu kit, fifa.com'un neredeyse kusursuz bir kopyasını oluşturuyor; hatta PingIdentity tek oturum açma (SSO) akışını bile taklit ediyor. Sahte sayfalar, FIFA logolarını ve ürün görsellerini resmi içerik ağından çekerek otantik görünüyor ve görüntü eşleme tabanlı tespitleri atlatıyor.
Ghost Stadium'ın kampanyasının ana itici gücü, ücretli Facebook reklamları. Group-IB, yüzlerce domaini aynı reklam hesaplarına bağlayan ortak Meta takip kodları tespit etti. Ayrıca, kaynak kodunda bulunan Çince notlar ve 11 dilde (3 Çince varyantı dahil) arayüz desteği, geliştiricinin Çin kökenli olduğuna işaret ediyor.
Group-IB, Ghost Stadium dışında üç tehdit aktörü daha belirledi: toplu domain squatting yapan bir grup, hazır kitler satan bir Phishing-as-a-Service (PhaaS) tedarikçisi ve kimlik bilgisi hırsızlığı için geniş çaplı infostealer kampanyaları yürüten aktörler. Özellikle Vidar ve Lumma infostealer aileleri, yaklaşık 2500 FIFA giriş bilgisini çalarak karanlık ağda satışa sundu.
Para akışı çeşitli kanallardan sağlanıyor; kripto para girişleri, fonların geri alınamaz hale gelmesini sağlıyor. Group-IB, yalnızca premium ve hospitality bilet dolandırıcılığının 71 milyon ila 474 milyon dolar arasında kayba yol açabileceğini, tüm kampanyanın ise milyarları bulabileceğini tahmin ediyor.
Taraftarlar için en güvenli yol, yalnızca fifa.com üzerinden alışveriş yapmak, kripto para talep eden bilet tekliflerini reddetmek ve çok faktörlü kimlik doğrulamayı (MFA) etkinleştirmektir. Marka koruma ve dolandırıcılık ekiplerine ise pasif domainleri izlemeleri ve teker teker kovalamak yerine kayıt düzeyinde kaldırma işlemi yapmaları öneriliyor.
Kaynak: infosecurity-magazine.com
