Re.: Telefonem, e-mailem i SMS-em. Jak atakowani są Polacy?
Grecki filozof, Heraklit, powiedział panta rhei - wszystko płynie. Ciągła zmiana otaczającego nas świata sprawia, że i przestępcy muszą co chwilę „udoskonalać” swoje ataki. Bank wdrożył nowe zabezpieczenie? Dzień później oszust modyfikuje sposób manipulacji ofiarą… Gdyby Heraklit żył w dzisiejszych czasach, zapewne powiedziałby, że jedyne, czego możemy być pewni, to fakt, że oszuści czyhający na nasze oszczędności zawsze będą próbowali znaleźć sposób, by nas okraść.
Popatrzmy więc na ich ostatnie, najbardziej dopracowane pomysły na internetowe oszustwa.
Na koronawirusa
Wbrew przewidywaniom, intensywniejsze korzystanie z internetu w czasach lockdownu nie wpłynęło na rozkwit nowych internetowych sposobów na atak. Przestępcy po prostu odpowiednio dostosowali stare, dobrze znane sposoby oszustwa. I tak, zamiast wyłudzania opłaty za zbyt ciężką przesyłkę, opłaty wyłudzano pod pretekstem konieczności dezynfekcji paczki. Drobna zmiana, ale przez osadzenie w aktualnej sytuacji, budząca większe zaufanie.
Kliknięcie w link oczywiście przenosi na fałszywą stronę pośrednika w płatności i jeśli ktoś po wyborze swojego banku nie zweryfikuje tego, co znajduje się w pasku adresowym przeglądarki, staje się ofiarą smishingu i traci swoje oszczędności:
Zapamiętaj!
Przestępcy często wplatają w swoje ataki bieżące wydarzenia, aby podnieść wiarygodność wyłudzenia. Niezależnie od treści SMS-a, e-maila lub wpisu na Facebooku będącego "wabikiem", końcówka ataku zazwyczaj zawsze jest podobna. Ofiara oddaje oszustowi swój login i hasło oraz dane osobowe na fałszywej stronie. Dlatego przeczytaj nasz poprzedni artykuł, w którym znajdziesz rady jak rozpoznać i nie nabrać się na phishing, smishing i vishing.
Na problem z Twoim zamówieniem...
Lockdowny i mniejszy niż jeszcze rok temu kontakt ze znajomymi sprzyja też korzystaniu z różnych serwisów streamingowych. Opłata za nie pobierana jest z naszej karty płatniczej co miesiąc, automatycznie.
No chyba, że nie jest! Bo przecież "system może napotkać różne problemy" z automatycznym pobraniem środków z naszej karty albo co gorsza "odnotować próby ataku na nasze konto" i wtedy - wiadomo! - trzeba jak najszybciej zalogować się i potwierdzić swoje dane, razem z numerem karty. Inaczej ryzykujemy, że nie dowiemy się jak rozpocznie się czwarta seria ulubionego serialu.
Zapewne domyślasz się, do czego prowadzi link w takich e-mailach…
Podobnie jak w przypadku "ataku na koronawirusa" i tu mamy możliwość zorientowania się, że zaraz stanie się coś niedobrego:
- Po pierwsze, wiadomości e-mail podszywające się pod usługi streamingowe nie przychodzą z ich prawdziwych adresów e-mail.
- Po drugie, choć wyglądem e-maile przypominają autentyczną korespondencję a w treści przywołują problemy z płatnością, które faktycznie mogą wystąpić, to link w wiadomości nie kieruje do poprawnej domeny usługi. Znów mamy do czynienia z klasycznym phishingiem!
Zapamiętaj!
Zanim zaktualizujesz na jakiejś stronie dane swojej karty płatniczej, sprawdź, czy faktycznie jest to prawdziwa strona usługi, z której korzystasz. Uważnie przeczytaj także treść komunikatu 3D Secure, który dotrze do Ciebie w formie SMS-a lub powiadomienia z aplikacji mobilnej i sprawdź czy zgadza się kwota oraz inne dane wykonywanej przez Ciebie transakcji kartowej.
Pamiętaj, że masz możliwość ustawienia limitów na swojej karcie płatniczej i warto je dostosować tak, aby zarówno w ciągu doby jak i w skali miesiąca, karta nie została obciążona powyżej kwoty spodziewanych wydatków.
Regularnie sprawdzaj wyciągi ze swojej karty płatniczej i jeśli widzisz transakcję, której nie rozpoznajesz, zgłoś to do banku. A jeśli zorientowałeś się, że wpisałeś dane swojej karty na fałszywej stronie, jak najszybciej skontaktuj się z bankiem lub zastrzeż swoją kartę z poziomu aplikacji mobilnej.
Przez telefon też można Cię okraść
Kreatywność przestępców jest regularnie tłamszona przez osoby stojące na straży bezpieczeństwa w internecie. Wykorzystywane w atakach domeny błyskawicznie są blokowane przez operatorów, dzięki czemu próba ich odwiedzenia coraz częściej kończy się widokiem wielkiego, czerwonego komunikatu z ostrzeżeniem o oszustwie.
To pozwala chronić nawet tych, którzy nie wykryli zagrożenia na wcześniejszym etapie i niczego nieświadomi chcieli uregulować opłatę za dezynfekcję przesyłki albo zaktualizować dane swojej karty płatniczej w usłudze streamingowej.
Ale cyberbezpieczeństwo to ciągła zabawa w kotka i myszkę. Jak broniący internetu sprawniej blokują fałszywe domeny, to przestępcy uciekają się do pozadomenowych metod ataku. I między innymi dlatego w ostatnich miesiącach zauważamy wzmożoną falę ataków, która nie wymaga wchodzenia na stronę internetową banku. Złodziej zaczyna i kończy na ... rozmowie telefonicznej.
Wariantów tego oszustwa jest kilka, ale te dwa notują ostatnio rekordy popularności:
- Na pracownika banku, który zauważył niepokojącą transakcję na naszym koncie i chce nam pomóc uratować nasze oszczędności.
- Na konsultanta likwidowanej właśnie giełdy kryptowalut, który chce nam oddać Bitcoina, o którym zapomnieliśmy, żeby nie przepadł bezpowrotnie po zamknięciu serwisu.
Poniżej opiszemy je szczegółowo.
Na fałszywego konsultanta Twojego banku
Najbardziej przerażającym elementem tego oszustwa jest to, że przestępcy, którzy podszywają się pod pracowników banków znają sporo naszych danych. Zwracają się do nas po imieniu, cytują ostatnie cyfry karty płatniczej, a to powoduje, że ofiary faktycznie mają wrażenie, że rozmawiają z prawdziwym pracownikiem swojego banku. Bo któż inny mógłby znać te dane?
Niestety, nasze dane wyciekają z wielu miejsc. Jednym z nich są sklepy internetowe - jeśli za transakcję płaciliśmy kartą, w sklepowym systemie mogły zostać jej pełne lub fragmentaryczne dane. A po udanym ataku na ten sklep, dostęp do wykradzionych danych może uzyskać każdy, bo są one upubliczniane na forach dla przestępców. To właśnie dzięki nim, oszuści którzy do Ciebie dzwonią mają komplet informacji.
Co gorsza, fałszywi konsultanci dzwonią z numeru, który wygląda jak numer infolinii banku. To niestety możliwe, bo w internecie są specjalne bramki, z których każdy może skorzystać i ustawić numer telefonu dowolnej firmy jako ten, z którego jest wykona połączenie.
- Podrobienie numeru dzwoniącego, zwłaszcza w połączeniu z zacytowaniem danych osobowych ofiary, bardzo podnosi wiarygodność ataku. Zwłaszcza, że kiedy nabieramy wątpliości, czy to prawdziwy konsultant, ten prosi o sprawdzenie z jakiego numeru dzwoni i porównanie go z numerem na stronie banku.
- Co więcej, konsultanci strasząc nas nieautoryzowaną transakcją informują, że wszystkie pieniądze mogą zaraz zniknąć z naszego konta. Ale możemy je uratować, jeśli szybko zastosujemy się do ich poleceń. To powoduje, że wiele ofiar całkowicie podporządkowuje się oszustom i wierzy, że musi zainstalować specjalną aplikację, którą bankowy dział bezpieczeństwa przeskanuje telefon w poszukiwaniu wirusa. Aplikacja ma uchronić oszczędności przed kradzieżą, ale w rzeczywistości, dopiero kiedy zaczynamy z niej korzystać, nasze środki są wykradane.
Warto też odnotować, że sposób nawiązywania pierwszego kontaktu z ofiarą ciągle się zmienia. Znane są przypadki, kiedy najpierw dzwoni ktoś podszywający się pod Biuro Informacji Kredytowej z gratulacjami dotyczącymi otrzymanej pożyczki i informacją, że nie może być ona wypłacona, bo brakuje w aplikacji poprawnego kodu pocztowego. Ofiary ze zdziwieniem informują, że o żadną pożyczkę nie wnioskowali i tu fałszywy pracownik BIK-u udając przerażenie, informuje że w takim razie doszło do kradzieży tożsamości i sprawę trzeba jak najszybciej zgłosić na policję i do banku. Mamy się nie przejmować, on się tym zajmie. Nasza rola? Odpowiedzieć na każde pytanie policjanta lub pracownika banku, którzy zaraz się z nami skontaktują.
Inny wariant rozpoczynający to oszustwo to telefon od robota. Lektor informuje, że właśnie dokonujemy transakcji wypłaty środków w bankomacie w Sopocie i jeśli to my, powinniśmy nacisnąć jeden. Ale jeśli to nie my? Wtedy naciskami dwa i jesteśmy przekierowywani do fałszywego działu bezpieczeństwa, którego pełny współczucia dla naszej sytuacji pracownik bardzo chce nam pomóc. Oczywiście wcześniej prosząc nas o odpowiedź na kilka pytań...
Na zapomniane kryptowaluty
Drugim popularnym rodzajem oszustwa, które zaczyna się od rozmowy telefonicznej, jest połączenie od reprezentanta giełdy kryptowalut. Rzekomo mieliśmy z niej kiedyś korzystać i obecnie na naszym rachunku został jakiś ułamek Bitcoina - dziś warty co najmniej kilkadziesiąt tysięcy złotych.
Konsultant informuje nas, że giełda właśnie będzie zamykana i zgodnie z dyspozycją KNF musi nam zwrócić nasze kryptowaluty. Ale żeby to zrobić, trzeba zainstalować specjalną aplikację do monitorowania transakcji, ponieważ jest to wymóg KNF-u. Bez instalacji tego oprogramowania, jak twierdzi fałszywy pracownik giełdy kryptowalut, trzeba będzie odprowadzić wysoki podatek.
Wskazywana do instalacji aplikacja nie jest złośliwa. To narzędzie wykorzystywane do zdalnej pomocy: Teamviewer Quick Support, albo AnyDesk. Niestety, jeśli po jej instalacji przekażemy wyświetlający się na ekranie kod oszustowi, który do nas dzwoni, to będzie widział wszystko to co my, a co gorsza, będzie też mógł sterować naszym urządzeniem, z czego niestety w kluczowym momencie oszustwa skorzysta, pozbawiając nasz oszczędności.
Zarówno fałszywy konsultant bankowy, jak i fałszywy pracownik giełdy kryptowalut to osoby bardzo dobrze przygotowane do swojej pracy. Mają gotowe odpowiedzi na każde pytanie ofiary. Wywołują pośpiech, a czasem nawet straszą ofiarę utratą środków, wiedząc, że w stresie ludzie często podejmują nieracjonalne decyzje.
Ofiar obu oszustów niestety jest sporo. Niektórzy łapią się, bo boją się utraty swoich pieniędzy innych gubi chciwość, chociaż doskonale zdają sobie sprawę, że nigdy wcześniej nie korzystali z żadnej giełdy kryptowalut. Ale kto pogardziłby darmowym ułamkiem bitcoina?
Dlatego zapamiętaj!
Jeśli ktoś do Ciebie zadzwoni, nawet z numeru wyglądającego jak infolinia Twojego banku, a w rozmowie będzie prosił o pobranie jakiejś aplikacji i zalogowanie się do bankowości internetowej rozłącz się. Rozmawiasz z oszustem! W przypadku, gdy nie jesteś pewien, czy osoba z którą rozmawiasz jest tą, za którą się podaje, najlepiej przerwij rozmowę i samodzielnie zadzwoń do instytucji, z której ta osoba rzekomo dzwoni.
TOP zagrożenia, na które szczególnie narażeni są w ostatnim czasie klienci ING zawsze znajdziecie tutaj: https://www.ing.pl/aktualnosci/bankowosc-elektroniczna.
