Gekaapt Reddit-account van HBO Max ingezet voor grootschalige crypto-malwarecampagne

Dit is de gecontroleerde stand van zaken op het moment van publicatie.

Cybercriminelen hebben begin september 2026 misbruik gemaakt van het geverifieerde Reddit-account van streamingdienst HBO Max. Gedurende een periode van 48 uur wisten de aanvallers in totaal 108 frauduleuze advertenties te plaatsen en te verspreiden via het platform. De campagne was specifiek opgezet om gebruikers te misleiden en gevoelige gegevens, waaronder de inhoud van cryptoportemonnees, te ontfutselen.

De werking van de ClickFix-methode

De advertenties maakten gebruik van een geraffineerde techniek die bekendstaat als 'ClickFix'. Slachtoffers werden via de malafide advertenties doorgestuurd naar nagemaakte websites. Op deze platforms kregen zij instructies om bepaalde handelingen uit te voeren, met de schijnbare belofte dat zij legitieme software konden downloaden. De aangeboden nepversies deden zich onder meer voor als een officiële HBO Max-app voor macOS, maar omvatten ook nagemaakte AI-programma's en diverse systeemhulpprogramma's.

In plaats van een normale software-download, werden gebruikers op de valse websites aangezet om handmatig opdrachten te kopiëren en uit te voeren in de terminal of opdrachtprompt van hun computer. Doordat slachtoffers de code zelf invoerden, konden de aanvallers de ingebouwde beveiligingsmechanismen van webbrowsers en antivirussoftware succesvol omzeilen. Zodra de code werd uitgevoerd, kregen de criminelen toegang tot het systeem.

Koppeling aan de PasteSwitch-campagne

Cybersecurity-onderzoekers hebben de aanval via het gekaapte account inmiddels gekoppeld aan een bredere operatie die bekendstaat als de 'PasteSwitch'-campagne. Deze bredere reeks aanvallen is specifiek ontworpen om waardevolle en gevoelige informatie te bemachtigen. Naast inloggegevens zoals wachtwoorden en opgeslagen cookies, richt de campagne zich nadrukkelijk op het stelen van de inhoud van cryptovalutaportemonnees van getroffen gebruikers.