Cyberbezpieczeństwo w Praktyce: Jak Ustrzec Dzieci Przed Oszukańczymi Schematami

Oszustwa na zgubiony telefon – schemat na członka rodziny

Cyberprzestępcy doskonale opanowali umiejętność prowadzenia gry psychologicznej i stosowanie metod socjotechnicznych. Kolejny opisywany przez nas schemat znany pod nazwą „na zgubiony telefon” świetnie to obrazuje. Jak przebiega ten rodzaj oszustwa?

Oszuści, podszywając się pod członków rodziny, przesyłają wiadomości SMS, prosząc o kontakt przez WhatsApp. W treści wiadomości zawarty jest link – nie jest to jednak link phishingowy, prowadzi on bezpośrednio do rozmowy na komunikatorze. Oszuści informują o rzekomych problemach z telefonem, nowym numerze telefonu i proszą o pilny kontakt. Wszystko po to, aby wpłynąć na zachowanie odbiorców wiadomości i zachęcić do tego, aby zdecydowały się przenieść rozmowę na wskazany przez oszustów komunikator. Więcej informacji na ten temat.

Co dzieje się w przypadku, gdy ofiara zdecyduje się przenieść rozmowę do komunikatora WhatsApp? Gdy odbiorca wiadomości SMS nawiąże kontakt za pośrednictwem komunikatora WhatsApp, cyberprzestępcy, podszywając się pod członka rodziny, poinformują o zniszczonym telefonie i konieczności pilnego przelewu środków na wskazane konto bankowe. Cała rozmowa na komunikatorze będzie prowadzona tak, aby wpłynąć na emocje odbiorców, licząc na to, że wykorzystanie tego motywu przyniesie oczekiwany rezultat, a przestraszeni np. rodzice dokonają wpłaty na wskazane konto bankowe. Często również oszuści, aby wpłynąć na zachowania użytkowników, narzucają presję czasu, wymagając ich szybkiej reakcji i działania.

Aby uchronić się przed tego rodzaju oszustwem, pamiętaj o kilku zasadach. Po pierwsze, należy sprawdzać, czy dany kontakt rzeczywiście pochodzi od członka rodziny. Ponadto nie powinno się podejmować żadnych działań finansowych pod wpływem niezweryfikowanych wiadomości. W przypadku wątpliwości, najlepiej jest skontaktować się bezpośrednio z domownikami, korzystając z numerów, które znamy, a nie tych podawanych w wiadomości. Przykłady fałszywych wiadomości SMS i rozmów w komunikatorach WhatsApp można znaleźć w pliku PDF.

Oszustwa w mediach społecznościowych

Media społecznościowe stały się nieodłącznym elementem korzystania z Internetu dla znacznie większej części społeczeństwa. Nie powinno być to zaskoczeniem, ponieważ dzięki profilom na różnych platformach możemy dowiedzieć się, co nowego słychać u naszych znajomych, napisać do nich, dowiedzieć się, co dzieje się na świecie, poznać tzw. life hacki, poszukać nowej pracy i wiele innych rzeczy. Podobnie nie będzie nikt zdziwiony faktem, że skoro jest to tak szeroko wykorzystywane medium, to leży ono w zakresie zainteresowania cyberprzestępców, którzy wymyślają liczne sposoby, aby wykorzystać media społecznościowe do wykradania danych i pieniędzy.

Wstrząsające wiadomości

Zdarza się, że trafiamy na treść informującą o smutnych i przerażających, a jednocześnie spektakularnych w pewien sposób też ciekawych historiach. Co to może być? Mrożący krew w żyłach wypadek, tragedia, w której najczęściej głównym bohaterem jest dziecko, znana osoba w bardzo niekomfortowej dla siebie sytuacji i wiele innych. Przestępcy umieszczają taką fałszywą informację wraz z rzekomym nagraniem, jednak przy chęci obejrzenia go pojawia się komunikat informujący o potrzebie zweryfikowania wieku, a w związku z tym konieczności ponownego rzekomego logowania – ponowne logowanie do portalu Facebook, kiedy cały czas niby na tej platformie jesteśmy. W rzeczywistości kliknięcie w ikonę imitującą filmik niepostrzeżenie przenosi nas do strony phishingowej wykorzystującej wizerunek np. Facebooka, a wpisane tam dane trafiają w ręce przestępców.

Łamiesz nasz regulamin

Przestępcy zakładają konta na platformie Facebook, podszywając się pod samego Facebooka. Nazwa takiego profilu nazywa się np. „KontrolaBezpieczeństwa”. Następnie przy wykorzystaniu tego konta publikują informację o rzekomym złamaniu zasad Meta, a w konsekwencji grożącej blokadzie fanpage’a. Pozostawiają jednak opcję dającą możliwość odwołania się od decyzji. W tym celu należy kliknąć w podany link, po przekierowaniu na phishingową stronę pojawia się panel imitujący stronę Facebooka, na której należy podać dane logowania – wpisanie ich tam oznacza, że trafią w ręce cyberprzestępców.

Szczegóły ogłoszenia

Kolejnym wykorzystywanym przez cyberprzestępców sposobem jest publikowanie ogłoszeń z informacją o rzekomej sprzedaży przedmiotu lub usługi. Po nawiązaniu kontaktu z wystawiającym, ofiara zainteresowana zakupem/wynajmem otrzymuje informację, że pod wskazanym linkiem znajduje się więcej szczegółów. Po kliknięciu w niego wchodzimy w rzeczywistości na stronę phishingową, na której przedstawiony jest fałszywy panel logowania.

Ale Cię ośmieszyli

Kto z nas nie przestraszyłby się, gdyby z konta swojego znajomego otrzymał informację, że znajduje się na nagraniu wideo lub zdjęciach w bardzo niekorzystnej, a wręcz kompromitującej sytuacji? To niestety kolejny sposób działania atakujących – podszywając się pod inne osoby, rozsyłają wiadomości z informacją j.w., a w treści umieszczają link do rzekomego zasobu. Po kliknięciu ofiara przekierowywana jest na stronę phishingową z panelem imitującym stronę logowania do platformy, a wpisane tam dane rzecz jasna trafiają do przestępców.

Niestety praktycznie niemożliwym jest opisanie wszystkich sposobów działania cyberprzestępców w mediach społecznościowych. Tym bardziej że nieustannie wymyślają nowe metody, jak oszukiwać ludzi. W powyższym materiale nie poruszano schematów, w których do starty finansowej doprowadza się już tą pierwszą osobę, w zamian za niewykradanie jej danych dostępowych do profilu, a są to m.in. wyłudzenia środków pieniężnych.

Należy również pamiętać, że media społecznościowe są nośnikiem wielu tzw. „fake news-ów”, które w danym momencie nie muszą prowadzić do starty finansowej, ale w trochę dłuższej perspektywie są równie niebezpieczne, co kradzież środków czy danych logowania do profilu.

Aby nie paść ofiarą oszustów grasujących w sieci, wystarczy pamiętać o kilku podstawowych zasadach bezpieczeństwa. Po pierwsze, należy sprawdzać adres strony, na której wpisujemy dane logowania do naszych kont w mediach społecznościowych. Ponadto warto korzystać z 2FA (weryfikacji dwuskładnikowej) np. za pomocą SMS lub stosować klucze U2F do weryfikacji tożsamości w serwisach internetowych. Należy jednak pamiętać, że atakujący mogą próbować przejąć i tę informację, np. poprzez podstawienie ekranu na stronie phishingowej do wpisania kodu z SMS, który trafia w ich ręce. Utrudnia to jednak działania atakujących, ponieważ mają już ograniczony czas na dostanie się do profilu (czas ważności kodu 2FA). A kiedy już się stanie i zorientujemy się, że cyberprzestępcy zarządzają naszym kontem, nie można spanikować, tylko trzeba szybko zacząć działania. Przede wszystkim zgłaszają się do pomocy technicznej danego serwisu – tej prawdziwej, z prośbą o pomoc w odzyskaniu lub doraźnym zablokowaniu naszego profilu. Dobrą praktyką jest też publikowanie przez znajomych/innych użytkowników na naszym profilu informacji o przejęciu konta (uwaga, przestępcy często czyszczą tablicę z tych wpisów).

A jaka jest zatem najważniejsza rada? Zachowanie zdrowego rozsądku i kierowanie się zasadą ograniczonego zaufania w Internecie, ponieważ nigdy nie wiemy, kto kryje się po drugiej stronie monitora, nawet jeżeli nazwa profilu i/lub zdjęcie profilowe wskazuje na kogoś, kogo znamy. Więcej informacji na ten temat można znaleźć w pliku PDF.

Oszustwa głosowe – vishing

Oszustwo głosowe znane jako vishing (voice phishing) polega na kontakcie telefonicznym z wykorzystaniem najczęściej tzw. spoofingu, czyli podszycia się np. pod infolinię banku, instytucji państwowej lub organów ścigania, w celu wyłudzenia wrażliwych danych i nakłonienia ofiary do wykonania określonych czynności. Vishing w Polsce jest często spotykanym rodzajem oszustwa, a wykorzystana w tym scenariuszu inżynieria społeczna z naciskiem na wywieranie na ofierze dużej presji czasu oraz wywołująca negatywne emocje, jak strach i niepewność, jest bardzo skuteczna.

Schemat oszustwa głosowego wygląda następująco:

1. Oszustwo rozpoczyna się od kontaktu telefonicznego przestępcy z ofiarą. Przestępca, podszywając się pod pracownika banku, przesyła ofierze fałszywy SMS, aby potwierdzić swoją tożsamość. Oszust informuje ofiarę o rzekomej próbie przelewu z jej rachunku lub o zaciągniętej na jej dane pożyczce krótkoterminowej. Zadaniem przestępcy jest w pierwszym kroku przekonać ofiarę, że dzwoni on do niej w celu zapobieżenia utraty przez nią środków. Takie działanie ma na celu uśpić czujność ofiary, wyłudzić od niej dane i nakłonić ją, aby postępowała zgodnie z wydanymi poleceniami przez oszusta.

2. Rzekomy pracownik banku, po przeprowadzeniu z ofiarą wstępnej rozmowy, przełącza ją do działu technicznego lub departamentu bezpieczeństwa banku celem zainstalowania przez nią programu do zarządzania zdalnym pulpitem. Jeżeli ofiara nie potrafi wykonać tego polecenia lub po prostu nie korzysta z bankowości internetowej, przestępca pod pozorem zabezpieczenia jej środków poleca jej wykonanie przelewu na wskazany przez niego rachunek techniczny. Jeżeli ofiara nie może również wykonać tej czynności, a ma zainstalowaną aplikację banku, oszust sugeruje jej podanie kodu BLIK lub wypłatę środków w bankomacie, a następnie dokonania ich wpłaty we wpłatomacie na podany przez niego rachunek.

3. Gdy ofiara zainstaluje program do zarządzania zdalnym pulpitem, oszuści proszą ją, aby ta zalogowała się do bankowości elektronicznej w celu weryfikacji operacji na swoim rachunku. Ofiara w ten sposób udostępnia swoje dane uwierzytelniające. W dalszym kroku oszuści zaciągają na nią kredyt w bankowości elektronicznej, a zmanipulowana ofiara najczęściej sama autoryzuje tę czynność w bankowości mobilnej lub poprzez podanie im kodów autoryzujących SMS.

4. Środki z rachunku ofiary mogą zostać rozdysponowane w następujący sposób: przestępcy mogą je wyprowadzić na własne rachunki lub scedować na inne osoby, które następnie przeniosą je dalej. Oszuści stosujący różne warianty oszustwa mogą podszywać się również pod Policję lub członka rodziny ofiary (np. wnuka), by poinformować o jakiejś krytycznej sytuacji (np. wypadku) i dzięki temu nakłonić ofiarę do wykonania określonych czynności.

Aby nie paść ofiarą oszustów grasujących w sieci, wystarczy pamiętać o kilku podstawowych zasadach bezpieczeństwa. Przede wszystkim należy zawszeweryfikować tożsamość osoby dzwoniącej, na przykład kontaktując się z bankiem pod znanym numerem telefonu. Ponadto nigdy nie należy podawać danych uwierzytelniających, takich jak hasła czy kody autoryzacyjne, obcym osobom, nawet jeśli podają się za pracowników instytucji finansowych. Więcej informacji na temat schematu oszustwa można znaleźć w pliku PDF.

Oszustwa na fałszywe sklepy internetowe

Obecnie wiele osób kupuje potrzebne im rzeczy poprzez Internet. Zaczynając od sprzętu elektronicznego przez ubrania i kosmetyki po produkty spożywcze, można śmiało powiedzieć, że bez wychodzenia z domu jesteśmy w stanie zadbać o wszystkie swoje materialne potrzeby. Dodatkowo wybierając zakupy w Internecie, możemy zapoznać się z opiniami innych osób czy sprawdzić różne oferty. Nie jest więc zaskoczeniem fakt, że cyberprzestępcy również zdają sobie z tego sprawę i chętnie wykorzystują to, by spróbować okraść użytkowników Internetu.

Atakujący tworzą strony