Uważaj na fałszywy SMS od InPostu. Zobacz, co się stanie, gdy klikniesz w link

Wiadomości pochodzące niby od InPostu to najczęstsza próba wyłudzenia danych i pieniędzy. Ze statystyk udostępnionych przez CERT NASK wynika, że to właśnie tę markę oszuści wykorzystywali najczęściej w 2022 w próbach phishingu. Zwycięskiego oszustwa najwyraźniej się nie zmienia, bo podszywki pod InPost dalej mają się dobrze. Badacze z CERT Orange Polska przeanalizowali jedną z niedawnych kampanii.

Wydawać by się mogło, że mamy do czynienia z klasykiem. „Twoja przesyłka nie może zostać dostarczona pod niewłaściwy adres, prosimy o zmianę adresu” – brzmi fragment fałszywej wiadomości. Ofiara czekająca na paczkę ma się przestraszyć i jak najszybciej wyeliminować „błąd”. Co się dzieje, jeśli kliknie w link?

Można sobie wyobrazić, że na małym ekranie literki zleją się w jedno i będzie można pomyśleć, że jest się na właściwej stronie InPostu. Tym bardziej że witryna faktycznie przypomina prawdziwą. Nie licząc tego, że niektóre określenia brzmią bardzo koślawo, jak np. „żądano ponownej dostawy” czy „zorganizuj swoją dostawę”.

Jeszcze ciekawszy jest inny komunikat, który ofiara może zobaczyć na stronie. Jeden ze statusów informuje, że paczka „oczekuje na przetworzenie przez kierownika magazynu”, a następnie, że „pracuje nad tym kierownik magazynu”. Dopiero potem okazuje się, że paczka nie mogła zostać dostarczona właśnie przez zły adres. Ofiara ma więc pomyśleć, że faktycznie coś z tym adresem musiało być nie tak – przecież wcześniej przesyłkę nadzorował sam kierownik magazynu!

Tak działają oszuści - więcej o ich działaniach przeczytasz na Spider's Web:

Rzecz jasna InPost nie informuje tak szczegółowo o drodze paczki w magazynie. To sprytna socjotechniczna sztuczka oszustów mająca „zachęcić” do wyjaśnienia sprawy. Złodzieje dali do zrozumienia, że po drodze stało się coś poważnego, skoro wcześniej dostawa była tak dokładnie analizowana. Jak się okazuje,  żeby zamówiony przedmiot mógł dotrzeć należy poprawić adres docelowy, a przy okazji zapłacić – drobne 7,99 zł.

W ten sposób przestępcy zabezpieczają się i od razu zgarniają wartościowe informacje, wymagając wpisania nowego adresu. A przy tym takich danych jak imię i nazwisko, mail czy numer telefonu. Dopiero w późniejszym kroku wymagają podania karty płatniczej, ale wtedy ofiara może zorientować się, że coś jest nie tak – choćby po tym, że nie zostaje przekierowana na stronę pozwalającą wykonać transakcję.

Nawet jeżeli po drodze osoba domyśli się, że to przekręt i zrezygnuje z płatności, to wcześniej przestępcy zgarnęli przydatne szczegóły, które mogą wykorzystać przy kolejnej próbie ataku. Fakt, że złodzieje znają nasze imię potrafi być nieprzyjemny, a co dopiero, gdy potwierdzą się i wyrecytują adres – wtedy łatwiej uwierzyć, że po drugiej stronie jest np. przedstawiciel gazowni czy właśnie kurier.

Największe ryzyko jest rzecz jasna przy podaniu danych karty płatniczej, bo wtedy przestępcy mają otwartą drogę do wyczyszczenia konta. Oczywiście sklepy wymagają często podania kodu potwierdzającego, ale jeśli ktoś wcześniej nie sprawdził, na jakiej stronie się znajduje i gdzie wpisuje poufne dane, to istnieje spore ryzyko, że nie przeczyta też dokładnie kodu SMS lub komunikatu w aplikacji, tylko natychmiast zaakceptuje transakcję.

Jak się chronić? Sposób jest zawsze ten sam: nie klikać w linki, które otrzymujemy, nawet jeżeli wydaje się nam, że nadawcą jest prawdziwa firma. Jeśli mamy wątpliwości, sprawdźmy numer naszej przesyłki i na stronie sklepu bądź przewoźnika skontrolujmy jej status.