Alert bezpieczeństwa. Uwaga na SMS‑y

CSIRT KNF informuje o trwającej kampanii phishingowej. Ktoś podszywa się pod Pocztę Polską i rozsyła SMS-y z linkiem, który prowadzi do fałszywej strony. Podobne zgłoszenia od dłuższego czasu otrzymujemy od naszych czytelników. Atakujący stosują przy tym typowe "sztuczki" socjotechniczne.

Istotą oszustwa jest wyłudzenie kompletu danych teleadresowych, a później numerów z karty płatniczej. Atak zaczyna się od wiadomości SMS sugerującej, że "paczka" dotarła do magazynu ze względu na problem z dostawą. Odbiorca ma kliknąć link w ciągu 12 godzin, aby potwierdzić adres dostawy przesyłki. To oczywiście zmyślony problem, który w ogóle nie istnieje. Odbiorca SMS-a może nawet nie czekać w danej chwili na paczkę.

Oszuści starają się wykorzystać łatwowierność odbiorców SMS-ów, którzy mogą uwierzyć, że faktycznie konieczne jest działanie, by doprowadzić do skutku jakąś dostawę. Zastosowana informacja o rzekomo upływającym czasie 12 godzin to z kolei typowy zabieg socjotechniczny i chęć wywarcia wrażenia, że konieczna jest szybka reakcja. Jeśli potencjalna ofiara kliknie link, trafi na dobrze przygotowaną wizualnie fałszywą stronę, na której bezprawnie wykorzystano logo Poczty Polskiej.

W kolejnych krokach formularza ofiara zostanie poproszona o wprowadzenie kompletnego adresu dostawy, a na koniec uiszczenie niewielkiej opłaty rzędu kilku złotych kartą, by doprowadzić proces do skutku. To oczywiście kluczowy moment oszustwa. Wpisane numery karty płatniczej trafią wprost na ręce atakujących, którzy zrobią zakupy na koszt ofiary lub "podepną" jej kartę do jakiejś subskrypcji w sieci.

Dalsza część artykułu pod materiałem wideo

W taki sam sposób realizowane są oszustwa, w których atakujący deklarują możliwość odebrania bonu na zakupy. Najczęściej wykorzystują do tego logo znanej marki, takiej jak Biedronka czy Kaufland. Jeśli ofiara wprowadzi dane, zgodnie z regulaminem fałszywej akcji zapisze się do subskrybowania niechcianej usługi, za którą kilka złotych będzie pobierane z konta co kilka dni lub tygodni - co trudniej zauważyć, jeśli ktoś sprawdza stan swojego konta tylko co jakiś czas lub nie do końca go kontroluje.