Je 10-jarige zoon is Roblox gaan spelen, en dan beseft hij dat al zijn in-game valuta, Robux, verdwenen is. Wanneer je probeert uit te zoeken wat er gebeurd is, zegt hij dat hem onlangs extra Robux beloofd was als hij een link op YouTube zou volgen. Toen hij inlogde op de site van de link, werd hij zoals gewoonlijk naar de Roblox-site gebracht, maar er was geen spoor van de extra valuta. Hij is slachtoffer geworden van fraude waarbij Roblox-gebruikers – velen van hen kinderen – worden getarget op hun inloggegevens. Met die gegevens kunnen criminelen de virtuele valuta en persoonlijke gegevens van spelers stelen.

Binnen Roblox gebruiken spelers Robux om virtuele items te kopen, zoals skins of animaties voor hun avatar. Je kunt de valuta in het spel verdienen, maar hij kan ook gekocht worden. In de online winkel van Roblox kun je pakketten kopen die tot £199,99 kosten. Met kant-en-klare kits die op het dark web worden gekocht, maken fraudeurs een valse inlogpagina die qua uiterlijk identiek is aan de legitieme Roblox-site.

"Het kind voert zijn gegevens in en de valse website verwijst hen vervolgens door naar een legitieme Roblox-pagina," zegt Gerald Kasulis, vice-president global affairs bij het cybersecuritybedrijf NordVPN. "Dus uiteindelijk komt het kind waar het wil zijn." Op dat moment hebben de criminelen echter de gegevens die ze nodig hebben om te frauderen.

Onderzoekers van NordVPN zeggen dat ze in een periode van zeven dagen bijna 200 adressen hebben gevonden die kant-en-klare phishingpagina's verkopen die de tools bieden om Roblox-gebruikers op te lichten. Vaak staan de links naar de phishing sites in reacties op YouTube- of TikTok-video's of in chats op Discord, de chat-app voor gamers. Het bericht kan zeggen dat er gratis Robux beschikbaar zijn als een speler op de gegeven link klikt. Zoals bij veel scams is er vaak een element van urgentie, zoals dat het aanbod zogenaamd slechts een paar uur geldig is, om het slachtoffer aan te zetten tot actie zonder de gevolgen volledig te overdenken.

Vanaf die link wordt het kind naar een valse inlogpagina gebracht die waarschijnlijk identiek is aan een legitieme Roblox-site. Het adres zal meestal de naam Roblox bevatten, bijvoorbeeld "Roblox-verify" of "login-Roblox". Eenmaal op de scam-site wordt het kind om hun gebruikersnaam en wachtwoord gevraagd, maar mogelijk ook om tweefactor-authenticatiecodes in te voeren, zegt NordVPN. Maar dan wordt het kind naar de legitieme Roblox-site gebracht zodat ze hun games normaal kunnen spelen, waardoor er weinig aanwijzingen zijn dat er iets mis is. Zodra ze de inloggegevens hebben, kan de fraudeur ze doorverkopen of gebruiken om Robux naar een ander account over te maken.

"Een van de eenvoudigste gewoontes is om kinderen aan te moedigen Roblox direct via de officiële app of website te openen in plaats van in te loggen via links die ze toegestuurd krijgen," zegt Marijus Briedis, chief technology officer bij NordVPN. "Tweefactor-authenticatie blijft een belangrijke bescherming, maar authenticatiecodes en back-upcodes moeten net als wachtwoorden worden behandeld en nooit aan iemand anders worden gegeven."

Als je speler zijn Robux kwijt is aan een hacker, lijkt het onwaarschijnlijk dat hij ze terugkrijgt. Roblox zegt dat het onder "geen enkele verplichting" valt om mensen te helpen wier accounts zijn gecompromitteerd, tenzij de wet dit vereist. "Roblox garandeert niet dat het account van een individu wordt hersteld naar de vorige staat, of dat Roblox verloren virtuele items of virtuele valuta kan terugvinden," zegt het bedrijf. In "zeer beperkte omstandigheden" zegt Roblox verloren items of de waarde ervan te kunnen terugvinden.

Een woordvoerder van Roblox zegt dat er veiligheidsmaatregelen zijn om phishing te voorkomen, zoals tweefactor-authenticatie en een functie die voorkomt dat criminelen vanaf elders inloggen op je account. "We blijven werken aan nieuwe manieren om het risico op accountdiefstal te minimaliseren en moedigen Roblox-gebruikers actief aan om best practices op het gebied van beveiliging te volgen, waaronder het niet klikken op links of het downloaden van iets van onbekende afzenders of websites," voegt de woordvoerder toe.