INSPECTING ARCHIVED INTELLIGENCE (OUTDATED VERSION).

Group-IB Discloses Details of Fraudulent Facebook Accounts Scam

| 2026-06-12 12:38 MEDIUM HIGH PHISHING & SOCIAL ENGINEERING
JSON
Executive Summary
AI-generated
 Ravie Lakshmanan  Jun 15, 2026 Social Engineering / Browser Security Cybersecurity researchers have disclosed details of fraudulent activity targeting users across the Middle East and North Africa by employing various fraudulent Facebook accounts impersonating politicians, public figures, and trusted organizations. "These accounts promoted fake offers, including free mobile internet packages, financial compensation, and government subsidy programs," Group-IB analysts Anna Yurtaeva and Viacheslav Shevchenko said .
Technical Mitigations AI-generated
• Audit (ATT&CK mitigation for Phishing): Perform audits or scans of systems, permissions, insecure software, insecure configurations, etc. • Account Use Policies (ATT&CK mitigation for Social Engineering): Adds verification for helpdesk resets, approvals, and app consents commonly targeted by impersonation.
Technical Observables 1 IoCs Login Required
Indicators of Compromise (IoCs) Protected

Raw threat telemetry, malicious IP addresses, file hashes, and direct VirusTotal correlation are restricted to authenticated users.

Sign In to View 1 IoCs Create Free Account
domains 1
Intelligence Metadata
Actors / Malware / CVEs / Campaigns
Operation RamzOperation Ramz
Target & Sectors
MENA MENA AFRICA AFRICA telecommunicationstelecommunications mediamedia
Incident Timeline
‎between October 2025
Operation Ramz conducted a series of raids targeting free platforms that facilitated phishing attacks on cybercriminals.
campaign Operation Ramz
This raid was part of a broader threat mitigation initiative called Operation Ramz that ran between October 2025 and 28 February 2026.
‎28 February 2026
Operation Ramz conducted a raid on the free platform facilitating phishing attacks against cybercriminals.
campaign Operation Ramz
This raid was part of a broader threat mitigation initiative called Operation Ramz that ran between October 2025 and 28 February 2026.
‎18 May
INTERPOL shared its results in a press release on 18 May without explicitly naming the SniperDz network.
‎2026/06/11
Group-IB is the first to name a free platform facilitating phishing attacks on cybercriminals.
‎2026/06/12
Threat actors used a free platform to facilitate phishing attacks impersonating well-known telecom providers and other trusted organizations in the Middle East and North Africa.
organisation INTERPOL
Una operación internacional coordinada por INTERPOL ha permitido desmantelar Sniper Dz , una plataforma de phishing como servicio que llevaba activa al menos desde 2015 y que facilitaba a otros ciberdelincuentes la creación de campañas fraudulentas para ciberataques a gran escala.
Tracking the Infrastructure As per the details shared by INTERPOL and Group-IB, this PhaaS network was launched in 2015 but evaded detection for so long because the admins constantly changed its name.
organisation Como
Como parte de la operación, las autoridades retiraron la web utilizada para ofrecer capacidades de phishing como servicio a otros delincuentes.
organisation Sniper Dz
Ad Phishing listo para usar Sniper Dz funcionaba como una plataforma de phishing-as-a-service , un modelo criminal que permite a usuarios con pocos conocimientos técnicos lanzar campañas de robo de credenciales utilizando kits ya preparados.
organisation un
Ad Phishing listo para usar Sniper Dz funcionaba como una plataforma de phishing-as-a-service , un modelo criminal que permite a usuarios con pocos conocimientos técnicos lanzar campañas de robo de credenciales utilizando kits ya preparados.
Un servicio gratuito para ampliar el alcance del fraude Uno de los elementos que diferenciaba a Sniper Dz de otras plataformas similares era su modelo de acceso.
organisation campañas de robo de credenciales utilizando
Ad Phishing listo para usar Sniper Dz funcionaba como una plataforma de phishing-as-a-service , un modelo criminal que permite a usuarios con pocos conocimientos técnicos lanzar campañas de robo de credenciales utilizando kits ya preparados.
organisation campañas de phishing
Esta gratuidad permitía que más actores pudieran lanzar campañas de phishing sin necesidad de invertir en alojamiento, plantillas o conocimientos técnicos avanzados.
organisation la credibilidad de personajes
La estrategia combinaba la credibilidad de personajes públicos con el atractivo de beneficios inmediatos, un recurso habitual en campañas de phishing dirigidas a grandes audiencias.
organisation el atractivo de beneficios
La estrategia combinaba la credibilidad de personajes públicos con el atractivo de beneficios inmediatos, un recurso habitual en campañas de phishing dirigidas a grandes audiencias.
organisation Telegram
Operating via Telegram and Facebook channels, SniperDz allowed anyone, even novice hackers, to use its toolkit of 80 ready-made phishing templates for free to create fake login pages and trick people into giving away their login credentials (usernames – passwords) and other personal data.
organisation PayPal
The phishing platform allowed scammers to target users on around 30 popular platforms, including PayPal, Facebook, Instagram, Netflix, and Steam, via more than 20,000 domains.
Entre los objetivos imitadas figuraban compañías y plataformas globales como PayPal, Facebook, Instagram, Yahoo, Netflix y Steam .
infrastructure 20,000 domains
The phishing platform allowed scammers to target users on around 30 popular platforms, including PayPal, Facebook, Instagram, Netflix, and Steam, via more than 20,000 domains.
organisation Hackread.com
Decade-Long SniperDz Phishing Network on Telegram (Image credit: Hackread.com) About Operation Ramz
organisation Group-IB
Tracking the Infrastructure As per the details shared by INTERPOL and Group-IB, this PhaaS network was launched in 2015 but evaded detection for so long because the admins constantly changed its name.
organisation Uno de los
Un servicio gratuito para ampliar el alcance del fraude Uno de los elementos que diferenciaba a Sniper Dz de otras plataformas similares era su modelo de acceso.
organisation La operación
La operación, denominada Operation Ramz , se desarrolló entre octubre de 2025 y febrero de 2026 y se saldó con 201 detenciones en 13 países de la región de Oriente Medio y Norte de África.
organisation denominada Operation Ramz
La operación, denominada Operation Ramz , se desarrolló entre octubre de 2025 y febrero de 2026 y se saldó con 201 detenciones en 13 países de la región de Oriente Medio y Norte de África.
organisation febrero de 2026
La operación, denominada Operation Ramz , se desarrolló entre octubre de 2025 y febrero de 2026 y se saldó con 201 detenciones en 13 países de la región de Oriente Medio y Norte de África.
organisation Norte de África
La operación, denominada Operation Ramz , se desarrolló entre octubre de 2025 y febrero de 2026 y se saldó con 201 detenciones en 13 países de la región de Oriente Medio y Norte de África.
organisation Operation Ramz
According to INTERPOL’s press release , Operation Ramz covered 13 nations, including Egypt, Morocco, Jordan, and Qatar, leading to 201 arrests and the seizure of 53 malicious servers.
infrastructure 53 malicious servers
According to INTERPOL’s press release , Operation Ramz covered 13 nations, including Egypt, Morocco, Jordan, and Qatar, leading to 201 arrests and the seizure of 53 malicious servers.
organisation Entre los
Entre los arrestados se encuentra Guedz , señalado como principal desarrollador y administrador de Sniper Dz.
organisation Policía Nacional de Argelia
La detención fue realizada por la Policía Nacional de Argelia.
organisation Según Group-IB
Según Group-IB, la plataforma habría recopilado más de 45.000 registros de víctimas y, a lo largo de los años, operó bajo distintos nombres, como Joker Dz , Storm Dz y Spam Dz .
organisation incautaron
También se incautaron dispositivos con software y scripts destinados a la creación y despliegue de páginas fraudulentas.
organisation los operadores
En lugar de desarrollar desde cero sus propias páginas falsas, los operadores podían acceder a plantillas, infraestructura de alojamiento y soporte operativo.
organisation Según los investigadores
Según los investigadores, ofrecía toda su infraestructura de forma gratuita, lo que reducía la barrera de entrada para ciberdelincuentes menos experimentados.
organisation tanto de vender el kit
La monetización no dependía tanto de vender el kit, sino de aprovechar las credenciales robadas y el tráfico generado por las víctimas.
organisation las credenciales
La monetización no dependía tanto de vender el kit, sino de aprovechar las credenciales robadas y el tráfico generado por las víctimas.
organisation el tráfico generado
La monetización no dependía tanto de vender el kit, sino de aprovechar las credenciales robadas y el tráfico generado por las víctimas.
organisation campañas de afiliación vinculadas
Group-IB señala que los usuarios que no entregaban credenciales podían ser redirigidos a otros esquemas fraudulentos, como cargos mediante operador móvil, suscripciones SMS premium, abuso de notificaciones del navegador u otras campañas de afiliación vinculadas a estafas online.
organisation Suplantación de marcas
Suplantación de marcas y figuras públicas Las campañas asociadas a Sniper Dz no se limitaban a copiar páginas de inicio de sesión.
organisation Las campañas asociadas
Suplantación de marcas y figuras públicas Las campañas asociadas a Sniper Dz no se limitaban a copiar páginas de inicio de sesión.
organisation páginas de inicio de sesión
Suplantación de marcas y figuras públicas Las campañas asociadas a Sniper Dz no se limitaban a copiar páginas de inicio de sesión.
organisation los operadores creaban
En la región de Oriente Medio y Norte de África, los operadores creaban cuentas falsas en redes sociales que imitaban a figuras políticas conocidas para promocionar enlaces fraudulentos.
organisation presentaban como supuestas ofertas
Estos enlaces se presentaban como supuestas ofertas, promociones o acceso gratuito a Internet.
organisation el equipo de investigación de Palo Alto Networks
Sniper Dz ya había sido analizada por Unit 42, el equipo de investigación de Palo Alto Networks, en octubre de 2024.
organisation detallaba el uso de un canal de Telegram
En ese análisis se detallaba el uso de un canal de Telegram con más de 7.300 suscriptores , donde se compartían vídeos tutoriales y recursos para utilizar la plataforma.
victims 15 forced workers
During the mitigation process in Jordan, investigators tracked an investment scam platform run by 15 forced workers.
organisation Group
In 2024, Group-IB cybersecurity researchers detected fake Facebook accounts of politicians in the Middle East and North Africa delivering malicious links.
organisation JokerDz, StormDz
The platform was also known as JokerDz, StormDz, and SpamDz.
organisation SpamDz
The platform was also known as JokerDz, StormDz, and SpamDz.
organisation Guedz
With the support of INTERPOL, slowly, information started emerging; the code’s developer turned out to be a threat actor known online as Guedz.
data_breach 45,000 victim records
The scale of its reach became concrete in 2016, when the platform published statistics showing that campaigns run through its service had already collected more than 45,000 victim records.
infrastructure 3,867 compromised endpoints
Over 3,867 compromised endpoints and victims were identified.
Tactical Metrics
Metrics
infrastructure
53
Malicious Servers
According to INTERPOL’s press release , Operation Ramz covered 13 nations, including Egypt, Morocco, Jordan, and Qatar, leading to 201 arrests and the seizure of 53 malicious servers.
Metrics
victims
15
Forced Workers
During the mitigation process in Jordan, investigators tracked an investment scam platform run by 15 forced workers.
Metrics
infrastructure
20,000
Domains
The phishing platform allowed scammers to target users on around 30 popular platforms, including PayPal, Facebook, Instagram, Netflix, and Steam, via more than 20,000 domains.
Metrics
data_breach
45,000
Victim Records
The scale of its reach became concrete in 2016, when the platform published statistics showing that campaigns run through its service had already collected more than 45,000 victim records.
Metrics
infrastructure
3,867
Compromised Endpoints
Over 3,867 compromised endpoints and victims were identified.
Intelligence Sources
The Hacker News 2026-06-15
HackRead 2026-06-11
Bit Life Media 2026-06-12