SMS wygląda jak potwierdzenie z banku. Oszust wysyła go podczas rozmowy 

Telefon z banku. Po drugiej stronie konsultant mówi, że z kontem dzieje się coś bardzo niepokojącego, ale rozumie nasze obawy. Możemy przecież sprawdzić, czy naprawdę jest pracownikiem. Chwilę później telefon wibruje i pojawia się SMS z nazwą banku, nazwiskiem rozmówcy oraz sześciocyfrowym kodem. Wygląda sensownie. Tyle że wiadomość wysłał dokładnie ten sam człowiek, który próbuje nas oszukać.

CERT Orange obserwuje właśnie kolejną falę takich SMS-ów. Nie ma w nich podejrzanego linku, fałszywej strony logowania ani prośby o natychmiastowe podanie hasła. Cała wiadomość jest tylko rekwizytem podczas rozmowy. Ma sprawić, żebyśmy przestali zastanawiać się, kto naprawdę znajduje się po drugiej stronie.

Wiadomości przechwycone przez CERT Orange są skonstruowane tak, żeby przypominały element prawdziwej procedury bezpieczeństwa. Informują o weryfikacji pracownika banku, pokazują kod oraz imię i nazwisko osoby rzekomo prowadzącej sprawę. Odbiorca ma poprosić rozmówcę o podanie kodu i w ten sposób upewnić się, że wszystko się zgadza.

Oczywiście będzie się zgadzało. Oszust zna kod, ponieważ sam chwilę wcześniej wpisał go do wysłanego SMS-a. To samo dotyczy nazwiska konsultanta. Nie jest ono pobierane z żadnego systemu bankowego. Przestępca może wpisać tam dowolne dane, a następnie przedstawić się dokładnie w ten sposób podczas rozmowy. Cała weryfikacja odbywa się więc wewnątrz scenariusza przygotowanego przez jedną stronę.

CERT Orange widział w ostatnich dniach wiadomości przychodzące pod nazwami sugerującymi m.in. Alior Bank, Credit Agricole, ING, PKO BP i mBank. Pojawiały się również warianty podszywające się pod NBP. Samo to, że na ekranie telefonu zamiast zwykłego numeru widzimy nazwę znanej instytucji, nie oznacza więc jeszcze, że wiadomość rzeczywiście została przez nią wysłana.

Przez lata przyzwyczailiśmy się, że fałszywy SMS powinien mieć jakiś podejrzany element. Link do strony banku z literówką, informację o wygasającym koncie, konieczności dopłaty 1,49 zł albo pilnym odblokowaniu aplikacji. Tutaj niczego takiego nie ma. Nie trzeba klikać. Nie trzeba wpisywać loginu. Nie trzeba nawet odpowiadać na wiadomość. SMS ma tylko pojawić się w odpowiednim momencie rozmowy i potwierdzić historię, którą już słyszymy przez telefon.

To bardzo dobre wykorzystanie tego, jak działają prawdziwe zabezpieczenia banków. Klienci coraz częściej wiedzą, że mogą poprosić konsultanta o potwierdzenie swojej tożsamości. Oszuści wiedzą to samo, więc próbują podsunąć własną wersję takiej weryfikacji.

I nie jest to pomysł, który pojawił się pierwszy raz właśnie teraz. Na Spider’s Web opisywaliśmy praktycznie identyczny mechanizm już 2 lata temu. Wtedy również fałszywy SMS przychodził podczas rozmowy i miał udawać potwierdzenie danych konsultanta. Obecna kampania pokazuje przede wszystkim, że metoda nie zniknęła. Przeciwnie, wróciła i oszuści podszywają się pod kolejne banki.

Prawdziwe potwierdzenie pracownika banku odbywa się wewnątrz aplikacji bankowej, a nie przez zwykłego SMS-a wysłanego z zewnątrz.

Zwykła wiadomość tekstowa nie ma dostępu do systemu bankowego tylko dlatego, że na ekranie wygląda oficjalnie. Przestępcy potrafią podszywać się pod nazwę nadawcy, a w niektórych przypadkach telefon może nawet dołączyć fałszywy SMS do tego samego wątku, w którym wcześniej znajdowały się prawdziwe wiadomości banku. Widok znajomej nazwy i stare SMS-y znajdujące się tuż nad nową wiadomością nie są więc wystarczającym dowodem.

Jeżeli ofiara zaakceptuje fałszywe potwierdzenie, to wiadomość tak właściwie spełniła swoje zadanie. Kod nie będzie potrzebny do żadnej operacji, a nazwisko rzekomego pracownika można zapomnieć. Teraz zaczyna się właściwe oszustwo.

Scenariusze mogą być naprawdę różne. Rozmówca informuje o próbie włamania na konto, kredycie zaciągniętym na nasze dane albo podejrzanym przelewie. Trzeba więc szybko zabezpieczyć pieniądze. Czasem oznacza to przelew na rzekome konto techniczne, innym razem podanie kodu BLIK, danych do logowania albo instalację programu umożliwiającego zdalny dostęp do telefonu czy komputera. Sam SMS nie kradnie więc ani złotówki. Po prostu usuwa moment zawahania, który mógłby uratować nasze pieniądze.

Właśnie na tym etapie coraz częściej skupiają się zabezpieczenia banków. mBank wprowadził w tym roku funkcję, która podczas rozmowy może wprost pokazać w aplikacji, że po drugiej stronie nie ma pracownika banku. Podobne rozwiązanie stosuje Revolut. Zamiast uczyć użytkownika rozpoznawania coraz lepszych podróbek, aplikacja próbuje dać mu jednoznaczną odpowiedź w chwili, gdy oszust wywiera największą presję.

To zresztą szerszy problem z oszustwami telefonicznymi. Przez długi czas radzono po prostu sprawdzić numer rozmówcy. Jeżeli zgadza się z infolinią podaną na stronie banku, wszystko powinno być w porządku.

Dziś to zdecydowanie za mało. Numer wyświetlany przy połączeniu może zostać podmieniony. Nazwa nadawcy SMS-a również może być fałszywa. Oszust może znać nasze imię, nazwę banku, a czasem również inne prawdziwe informacje zdobyte wcześniej z wycieków albo publicznych źródeł. Dlatego sensowne sprawdzenie rozmówcy nie może opierać się na kolejnym elemencie dostarczonym przez niego samego.

Przeczytaj także:

Jeżeli ktoś dzwoni z informacją o zagrożonych pieniądzach i proponuje udowodnić swoją tożsamość SMS-em, najlepiej po prostu się rozłączyć. Numer banku wyszukujemy samodzielnie albo wybieramy go bezpośrednio z oficjalnej aplikacji. Jeżeli bank daje możliwość potwierdzenia pracownika, robimy to wyłącznie w sposób opisany przez samą instytucję.

*Grafika wprowadzająca wygenerowana przez AI