据Security affairs网站5月10日消息，网络安全机构Resecurity近期发现了一项名为Frappo的新型地下网络犯罪服务，以网络钓鱼即服务（PHaaS）的形式，使网络犯罪分子能够托管和生成以假乱真的网络钓鱼页面，这些页面主要针对网络银行、电子商务、流行零售商和在线服务来窃取客户数据。

这项服务最早于2021年 3 月22 日左右出现在暗网上，之后有过重大升级，最后一次更新是在 2022 年 5 月 1 日。除了暗网，Frappo也积极利用Telegram 进行宣传，拥有一个将近2000名活跃成员的群组，网络犯罪分子们在这就各种成功的攻击经验展开交流。

Frappo赋予网络犯罪分子以匿名和加密格式处理被盗数据的能力，具备匿名计费、技术支持、凭证搜集和追踪等功能。Frappo根据他们选择的订阅期限为网络犯罪分子提供了几种付款计划，就像为合法企业提供基于 SaaS 服务的平台一样，Frappo允许网络犯罪分子最大限度地降低开发网络钓鱼工具包的成本，并在更大范围内得到运用。

值得注意的是，网络钓鱼页面的部署过程完全自动化，Frappo利用一个预先配置的 Docker 容器和一个安全通道，通过 API 收集受损的凭证。 正确配置Frappo后，将会对搜集到的数据可视化——例如有多少受害者打开了网络钓鱼页面、授权或输入凭据、正常运行时间和服务器状态。日志部分将显示这些凭证，其中包含有关每个受害者的详细信息，例如 IP 地址、用户名、密码等。

根据Resecurity的观察，这些网络钓鱼页面的逼真度很高，其中包含诱骗受害者输入授权凭证的交互式场景。Frappo的出现表明，网络犯罪分子一直在利用先进的工具和技术来发动攻击，数字身份信息的保护已成为在线网络安全的关键。

参考来源：https://securityaffairs.co/wordpress/131136/cyber-crime/frappo-phishing-as-a-service.html