Qui non si ruba solo un accesso: la sessione bancaria resta viva e viene controllata da un operatore che decide il passo successivo. Il punto debole non è la password, ma la fiducia riposta in ciò che il browser mostra e in ciò che l’utente copia o autorizza mentre è ancora dentro il flusso legittimo.
Elastic Security Labs descrive REF6045, una campagna contro l’ecosistema finanziario messicano che usa fake CAPTCHA ClickFix per far eseguire un comando e installare SCMBANKER su Windows via PowerShell. Il toolkit consente monitoraggio della sessione bancaria, manipolazione degli appunti, schermate di falso avviso, deviazione verso una chiamata vocale e, se serve, il rilascio di un remote-access tool per il takeover.
Per ambienti che basano i controlli antifrode sulla sola autenticazione del browser o sulla verifica telefonica, il problema è la velocità dell’escalation: la frode prosegue mentre la vittima è ancora coinvolta. Il modello non si ferma al credential theft; punta a trasformare un accesso valido in controllo remoto prima che la transazione sia chiusa.