L'Europol smantella una rete di "unlocker" che sbloccavano smartphone rubati

Un'operazione internazionale coordinata dal Centro europeo per la criminalità informatica dell'Europol ha portato all'arresto di un cittadino argentino che gestiva iServer, una piattaforma di phishing utilizzata per sbloccare illegalmente telefoni cellulari rubati o smarriti. L'indagine ha inoltre portato alla scoperta di una rete criminale particolarmente ampia, composta da oltre 2000 "unlocker", che sono stati tutti identificiati, e oltre 1,2 milioni di dispositivi compromessi.

La scoperta di questo racket è stata possibile grazie al lavoro di Group-IB, un'azienda di sicurezza informatica che ha segnalato l'attività criminale alle autorità e ha illustrato i dettagli del funzionamento di iServer sul proprio blog.

Le indagini hanno permesso di scoprire che la piattaforma iServer forniva un'interfaccia web di facile utilizzo che permetteva anche a operatori poco qualificati di ottenere codici di accesso, credenziali utente e altre informazioni personali direttamente dai legittimi proprietari dei dispositivi, ingannandoli con tecniche di ingegneria sociale.

Il modus operandi di questa organizzazione criminale era sofisticato e ben strutturato. L'accesso alla piattaforma era venduto agli "unlocker", che a loro volta vendevano i servizi di sblocco a criminali in possesso di dispositivi rubati. Tramite la piattaforma era possibile condurre attacchi di phishing, architettati nello specifico per raccogliere i dati necessari per garantire l'accesso ai dispositivi mobile, acquisendo passowrd e credenziali di accesso direttamente dagli utenti.

Ciò è stato possibile poiché iServer poteva creare in maniera automatica pagine di phishing che scimmiottavano ben più note e legittime piattaforme mobile basate sul cloud. Gli unlocker ottenevano informazioni cruciali come IMEI, lingua, dettagli del proprietario e informazioni di contatto, spesso accessibili tramite la modalità "dispositivo smarrito" o attraverso servizi cloud. iServer metteva poi a disposizione domini di phishing, che gli unlocker utilizzavano per condurre attacchi mirati ai legittimi proprietari dei dispositivi inviando loro SMS contenenti link dannosi che invitavano a loggarsi ad un servizio di localizzazione geografica del dispositivo smarrito o rubato.

In questo modo, se l'utente forniva le sue credenziali di sblocco del telefono, i malfattori potevano accedere al sistema operativo, scollegare l'utente e ripristinare il dispositivo.

L'operazione delle forze dell'ordine è stata condotta tra il 10 ed il 17 settembre con 17 arresti, 28 perquisizioni e 921 dispositvi confiscati in Argentina, Cile, Colombia, Ecuador, Perù e Spagna, portando a compimento anche una serie di indagini che le forze dell'ordine dei singoli paesi avevano avviato già nel corso del 2022. Oltre agli arresti, le autorità hanno anche sequestrato il dominio iserver.com.