#phishing-as-a-service
7 artikkelia
Microsoft kaatoi kalasteluverkoston, joka lähetti yli miljardi huijausviestiä
Microsoft kaatoi oikeuden määräyksellä kolme kiinankielistä rikosalustaa, jotka ovat lähettäneet yli miljardi huijausviestiä tammikuusta 2026 lähtien. YAM Store, CoGUI ja Iron Man System myivät valmiita kalastelutyökaluja tuhansille toisistaan riippumattomille rikollisille saman infrastruktuurin alla. Samantyyppistä toimitus- ja viranomaistekeytymistä on varoitettu myös Suomessa, vaikka operaatiota ei ole yhdistetty suoraan suomalaisiin kampanjoihin.
BlueKit-kalastelupalvelu laajeni tekstiviesteihin – rikollispalvelu väittää ylittäneensä tuhannen asiakkaan rajan
Kalastelupalvelu BlueKit lisäsi elokuussa tekstiviestien lähetykseen tarkoitetun moduulin ja kasvatti mallipohjiensa määrän 97 brändiin. Malwarebytesin lokakuisen raportin mukaan operaattorit väittävät ylittäneensä tuhannen asiakkaan rajan, mutta väitettä ei ole vahvistettu riippumattomasti. Huijausvahti käsitteli BlueKitin AiTM-tekniikan ja kaksivaiheisen tunnistautumisen ohituksen ensin toukokuussa.
Aito DocuSign-viesti kätkee väärennetyn asiakirjan – NovaCookies-kalastelu kaappaa Microsoft 365 -istunnon
Island.io kuvaa raportissaan NovaCookies-kalastelupalvelun, joka lähettää aidon DocuSign-ilmoituksen mutta piilottaa haitallisen linkin ilmoituksen sisällä olevaan väärennettyyn asiakirjaan. Linkin klikkaus käynnistää OAuth-uudelleenohjausketjun, joka päättyy live-välityspalvelimelle ja kaappaa käyttäjätunnuksen, salasanan sekä kirjautuneen istunnon evästeen, jolloin kaksivaiheinen tunnistautuminen ei enää auta. Kyse on eri palvelusta kuin aiemmin uutisoitu Mirage2FA, vaikka molemmat kohdistuvat Microsoft 365 -tileihin.
500 dollarin valmispaketti tekee kenestä tahansa sijoitushuijarin
Malwarebytesin tutkijat löysivät rikollispalstalta 500 dollarin hintaisen valmispaketin, joka rakentaa Teslan nimellä esiintyvän valeennakkomyynnin. Sivusto noutaa uhrin X-profiilikuvan, laskee hänelle kuvitteellisen token-osuuden ja pyytää lopuksi lompakon 12 sanan palautuslausetta. Paketti toimii usealla kielellä, joten suomenkielinen toteutus ei vaatisi ostajalta lisätyötä.
Vuosikymmenen toiminut kalastelutehdas kaatui – näin 'phishing-as-a-service' tekee huijaamisesta valmispaketin
INTERPOLin koordinoima Operaatio Ramz pysäytti lähes vuosikymmenen toimineen SniperDz-kalastelualustan ja johti 201 pidätykseen 13 maassa. Alustalta vuokrattiin valmiita huijaussivuja, jotka jäljittelivät PayPalia, Netflixiä ja Steamia. Suomalaisuhreja ei julkisuudessa vahvistettu, mutta juuri tällainen palvelumalli tuo kalastelun Suomeen riippumatta siitä, missä tekijät istuvat.
FBI varoittaa Kali365-kalastelupalvelusta – 250 dollarin kuukausimaksulla Microsoft 365 -tilien kaappauspaketti
FBI julkaisi 21.5.2026 varoituksen Kali365-nimisestä kalastelupalvelusta, jota myydään Telegramissa noin 250–2 000 dollarin hintaan. Alusta tuotteistaa device-code-kalastelun ja OAuth-tokenien varkauden samaan pakettiin, ja sen kampanjat ovat ajoittuneet samaan jaksoon kuin Kyberturvallisuuskeskuksen huhtikuussa kirjaamat 87 suomalaista M365-kompromisaatiota.
Kalastelusta tuli palvelubisnes — Bluekit-alusta myy tekoälyavusteisia huijauksia
Uusi Bluekit-kalastelualusta myy valmiita huijauskampanjoita kuukausimaksulla, tekoälyavustaja ja yli 40 kohdepohjaa mukaan lukien. Varonis Threat Labs paljasti alustan, joka ohittaa kaksivaiheisen tunnistautumisen varastamalla istuntoevästeitä. Suomessa vastaava tekniikka uhkaa pankkitunnuksilla kirjautumista.
