Zadzwonił oszust i zburzył mój spokój. Znał nawet moje imię
Niemal codziennie piszemy na łamach Spider’s Web o nowych metodach oszustw, ale do tej pory byłem obiektem jedynie prymitywnych prób phishingu przez SMS. Dotyczyły dopłaty za paczkę czy odcięcia prądu, czyli były tak typowe, że musiałbym być niezwykle naiwny, żeby dać się nabrać. Wczoraj moje poczucie bezpieczeństwa zostało jednak zachwiane. Nie dość, że oszust zadzwonił osobiście, to jeszcze znał moje imię.
- Dzień dobry panie Rafale - usłyszałem w słuchawce. Chwilę później mój rozmówca zaczął mówić o pieniądzach z inwestycji, które muszę natychmiast wypłacić w kryptowalutach. Padła kwota, ale nie zapamiętałem jej, bo był to jakiś ułamek bitcoina. Rozmowa trwała może 20 sekund i zakończyła się rzuceniem słuchawki przez dzwoniącego. Zrobił to, gdy usłyszał ode mnie: „kończymy, panie oszuście”.
Kilka chwil po rozmowie dokonałem zgłoszenia do CERT Polska. W odpowiedzi otrzymałem następującą informację:
Opisana sytuacja jest prawdopodobnie popularnym sposobem wyłudzenia pieniędzy z konta. Dzwoniący informują o środkach na platformie kryptowalutowej, kradzieży konta bankowego, przyznaniu kredytu czy nieautoryzowanym przelewie. W dalszym etapie rozmowy namawiają do zainstalowania oprogramowania, które pozwala kierować im przejętym komputerem. Następnie wykonują przelew na swoje konta.
Jednocześnie CERT przesłał mi linki do bazy wiedzy na temat ataków socjotechnicznych oraz oszustw telefonicznych.
Przeczytaj także:
- Nowe oszustwo "na PKP". Wypełnisz ankietę i stracisz wszystkie pieniądze
- Tym razem nie dzwonią. Oszuści podszywają się pod duży bank i używają innej metody
- Chciała oszczędzić na biletach, straciła tysiące. Nie popełnij tego błędu
Oszuści tylko czekają na chwilę nieuwagi
O tym, że mój numer telefonu robi 7328 okrążenie po różnej maści firmach zajmujących się telemarketingiem, wiem od dawna. Moja czarna lista zablokowanych numerów liczy blisko 100 pozycji. Najsmutniejszy jest fakt, że z uporem maniaka odmawiam wszędzie wykorzystywania numeru do celów marketingowych, a ten i tak służy kolejnym szemranym firmom do burzenia mojego świętego spokoju ofertami cudownych materacy. Opisywany na początku przypadek jest jednak zupełnie inny.
Oto stanąłem twarzą w twarz z oszustem, który chciał pozbawić mnie środków na koncie. Próba oszustwa niby było prymitywna, bo po pierwsze nie mam żadnych inwestycji, które musiałbym wypłacić, a już samo wspomnienie o bitcoinach włączyło w mojej głowie głośną syrenę.
Byłem czujny, oszust się nie postarał, ale nie to jest najsmutniejsze w tej historii. Niemal codziennie media (w tym my) donoszą o Polakach, którzy łapią się na takie, jak i bardziej wyrafinowane sztuczki. Żeby daleko nie szukać wystarczy podać przykład 75-latka, który dał się oszukać w stylu niemal filmowym. Inny sposób to podszywanie się pod Straż Graniczną lub pocztę i policję. Wymieniam tylko oszustwa telefoniczne, tymczasem przestępcy masowo wysyłają też SMS-y między innymi udając instytucje zaufania publicznego, a nawet serwisy streamingowe.
Jak nie dać się oszukać?
Często piszemy na Spider's Web o lukach w zabezpieczeniach oprogramowania, a nawet samego sprzętu. Trzeba pamiętać, że to nie one stanowią największe zagrożenie, choć oczywiście nie należy ich bagatelizować i trzeba dbać o aktualizacje oprogramowania, które likwidują podatności.
"Powszechnym błędnym przekonaniem na temat cyberprzestępców jest to, że używają oni wyłącznie wysoce zaawansowanych narzędzi i technik do włamywania się do komputerów lub kont użytkowników" - czytamy w rozsyłanym przez CERT tekście "Security Awareness" autorstwa Instytutu SANS. Najsłabszym ogniwem nie jest więc nasz sprzęt, ale my sami i nasza łatwowierność.
Wystarczyło naprawdę niewiele, żeby rozgryźć opisywane przeze mnie oszustwo. Nic przecież nie inwestowałem, a przynajmniej nie w sposób, o jakim mówił mój piekielny rozmówca. Nie mogłem zatem wypłacić pieniędzy, których nie mam. Czujność to zatem klucz, nawet wtedy, gdy przestępca posługuje się naszym imieniem. To ostatnie może przecież sugerować, że dzwoni z zaufanej instytucji, z którą mieliśmy wcześniej kontakt.
Jeżeli uważacie się za sprytnych, pamiętajcie o naszych bliskich - zwłaszcza starszych i młodszych, którzy nie śledzą trendów dotyczących cyberbezpieczeństwa. Brak wiedzy czy nawet świadomości możliwości oszustwa to cenny punkt po stronie przestępców.
Warto pamiętać, że incydenty można zgłaszać do Zespołu Reagowania na Incydenty Bezpieczeństwa Komputerowego CERT Polska, który ma do tego specjalną stronę pod tym adresem.
