Az Egyesült Államokban új adathalász kampány terjed, amelyben a támadók bíróságok nevében küldenek hamis, „fizetési felszólítás” (Notice of Default) tárgyú szöveges üzeneteket közlekedési szabálysértésekre hivatkozva. Az üzenetek célja, hogy a címzetteket egy QR-kód beolvasására ösztönözzék, amely egy adathalász weboldalra irányít. Az oldalon 6,99 dollár befizetését követelik, miközben megszerzik az áldozatok személyes és pénzügyi adatait.

A módszer a korábban, széles körben elterjedt csalások továbbfejlesztett változata, amelyekben a támadók állami útdíjkezelő szervezetek nevében küldtek adathalász üzeneteket, ki nem fizetett útdíjakra vagy parkolási bírságokra hivatkozva. A korábbi kampányokkal ellentétben, amelyek közvetlen adathalász hivatkozásokat tartalmaztak, az új változat egy állítólagos bírósági értesítés képét küldi el, amelybe QR-kódot ágyaztak (1. ábra).

A jelentések szerint az üzenetek például a „New York-i városi büntetőbíróság” nevében érkeznek, és azt állítják, hogy a címzettnek ki nem fizetett parkolási vagy útdíjtartozása van. Az üzenetek sürgős fizetésre szólítanak fel, ellenkező esetben jogi következményeket helyeznek kilátásba, és a QR-kód beolvasására ösztönöznek.

A QR-kód egy köztes weboldalra irányít, amely CAPTCHA-kitöltést kér annak igazolására, hogy a felhasználó nem automatizált rendszer. A CAPTCHA megoldása után a felhasználó egy újabb adathalász weboldalra jut, amely az adott állam gépjármű-nyilvántartó hatóságát (Department of Motor Vehicles, DMV) vagy más hivatalos szervet személyesít meg. Az oldal ki nem fizetett útdíjra vagy parkolási bírságra hivatkozik, és minden eddig vizsgált esetben egységesen 6,99 dollár befizetését követeli. A New York-i DMV-t megszemélyesítő adathalász weboldalak például a „ny.gov-skd[.]org” vagy a „ny.ofkhv[.]life” domainneveket használják.

A „Continue” gombra kattintva egy űrlap jelenik meg, amely a felhasználó személyes és bankkártya adatait kéri be a tartozás állítólagos rendezéséhez. Az így megszerzett adatok (név, lakcím, telefonszám, e-mail-cím és bankkártyaadatok) a támadók számára további visszaélésekre adnak lehetőséget, többek között pénzügyi csalásokhoz, személyazonosság-lopáshoz, további adathalász kampányokhoz, illetve más támadók számára történő értékesítéshez is.

Általánosságban elmondható, hogy ismeretlen feladótól érkező fizetési felszólításokat célszerű figyelmen kívül hagyni. A hatóságok többször is hangsúlyozták, hogy nem küldenek olyan szöveges üzeneteket, amelyekben személyes vagy fizetési adatok megadását kérik.