Короткий ролик обещает бесплатные робуксы, гемы или игровое золото. Рулетка почти сразу выдаёт главный приз, а для его получения остаётся лишь ввести номер телефона и код подтверждения. На самом деле никакой валюты пользователь не получит: код открывает мошенникам доступ к его аккаунту в мессенджере.
О новой схеме сообщила компания по кибербезопасности F6. Злоумышленники публикуют на YouTube короткие видео о Brawl Stars, Standoff 2 и Roblox, маскируя свои страницы под аккаунты игровых блогеров. Бесплатную валюту предлагают забрать по внешней ссылке, размещённой в профиле автора ролика.
Сам просмотр видео не приводит к взлому. Для захвата учётной записи потенциальную жертву необходимо вывести с YouTube на фишинговый сайт и убедить самостоятельно передать данные. В одном из обнаруженных сценариев такой ресурс оформлен под брендом NovaDrop.
Сначала пользователю предлагают выбрать мессенджер, через который он якобы собирается войти, а затем — одну из популярных игр. После этого открывается страница с виртуальной рулеткой. Посетитель крутит барабан, выигрывает главный «приз» и получает последнее задание: подтвердить, что он не робот, указав номер телефона.
В этот момент мошенники пытаются войти по полученному номеру в выбранный ранее мессенджер. Настоящий сервис присылает владельцу одноразовый код авторизации, однако фишинговый сайт просит ввести его якобы для получения игровой валюты. Ребёнок видит ожидаемое сообщение, переносит цифры на поддельную страницу — и собственноручно открывает злоумышленникам дверь в аккаунт.
После захвата учётной записи преступники могут получить доступ к переписке, контактам, фотографиям, видеозаписям и отправленным документам. Аккаунт также способен превратиться в следующую приманку: от имени знакомого мошенники рассылают новые ссылки его друзьям, которым подобное сообщение уже не кажется подозрительным.
Особенно опасной схему делает сочетание знакомой игры, формата YouTube Shorts и гарантированного выигрыша. Ребёнка не пугают угрозами и не торопят рассказами о заблокированной карте — ему предлагают понятную награду, которая обычно покупается за реальные деньги. При этом злоумышленникам не нужно взламывать ни YouTube, ни серверы игры, ни сам мессенджер: вся атака строится на доверии пользователя.
F6 не раскрыла количество найденных роликов и пострадавших, поэтому я не могу подтвердить, что речь идёт о массовом захвате аккаунтов. Однако похожие фишинговые кампании фиксировались и раньше. В июле специалисты обнаружили более десяти сайтов, которые предлагали пользователям тысячу бесплатных робуксов и похищали коды входа в мессенджеры.
Главный признак ловушки — просьба ввести код, который прислал настоящий мессенджер. Такой код предназначен только для авторизации и не может требоваться для участия в розыгрыше, проверки на робота или начисления игровой валюты. Если ребёнок уже передал его постороннему сайту, необходимо сразу проверить активные сеансы в мессенджере, завершить неизвестные подключения и включить дополнительную защиту аккаунта.
Бесплатные робуксы снова оказались самым дорогим товаром в интернете: платить за них предлагают не деньгами, а собственной перепиской.
- Стала известна причина смерти актера «Обители» Андрея Светоносова - 08/09/2026 14:13
- VPN в России массово сбоят вторые сутки: приложения не видят серверы - 08/09/2026 14:00
- «Таблетка от ожирения» из лиственницы: в России создают конкурента Оземпику - 08/09/2026 13:40
