Michał Rosiak 
BLIK. W mojej prywatnej opinii jedno z najgenialniejszych rozwiązań, jeśli chodzi o rynek finansowy. To nie reklama, nie lokowanie produktu - nie trzeba mi płacić za dobre opinie o czymś, czego na co dzień używam. Co więcej - o czymś co uważam za wyjątkowo bezpieczne rozwiązanie do płatności, wypłat z bankomatów, czy przelewów między... No dobra, z tym ostatnim bywa różnie. Ale nie ze względu na wady systemu, lecz pomysłowość sieciowych oszustów.
SMS (nie) od BLIK-a
W ostatnich dniach sporo Polaków dostało takie (lub podobne) SMS-y:
Po kliknięciu przenosiły one ofiarę do fałszywej bramki płatności (klasyk znany od kilku lat):
gdzie po wybraniu naszego banku w kolejnym kroku byliśmy pytani o nieco więcej niż standardowe informacje, po to, by umożliwić oszustom podpięcie pod nasze konto aplikacji mobilnej i szybkiego wyczyszczenia do zera naszego konta:
Czym się różni BLIK - skąd mam wiedzieć, że to oszust?
Przede wszystkim strony używane przez BLIK to https://blik.com i https://eblik.pl. W najnowszych kampaniach oszuści wykorzystując socjotechniczną sztuczkę rejestrują witryny z adresami blik.[TLD], gdzie TLD (Top Level Domain) to "wynalazki" w stylu .xyz, czy pokazywane na początku .auction. Od zawsze proszę Was o "czytanie" domen od tyłu i zdwojoną (co najmniej!) uwagę, gdy adres kończy się w rzadko spotykany sposób. W obecnych kampaniach może się też rzucić w oczy mała liczba banków na stronie "bramki płatności", bez przynajmniej kilku czołowych graczy na rynku. To jednak może się szybko zmienić, mam przeczucie graniczące z pewnością, że oszuści pracują nad kolejnymi nakładkami.
Druga sprawa to sama mechanika płatności BLIK. Możemy z niego skorzystać na trzy sposoby):
- sześciocyfrowy kod, wygenerowany przez aplikację mobilną banku
- ośmiocyfrowy kod i przesyłane odrębnym kanałem (np. jedno mailem, drugie SMS-em) hasło; to tzw. czek BLIK, oba ciągi trzeba wpisać do bankomatu przy wypłacie
- transakcja P2P na numer telefonu (do odbiorcy korzystającego z tego standardu, tj. posiadającego zgodną aplikację bankową)
Żadne z tym rozwiązań nie wiąże się z wysłaniem SMS-a z linkiem. W żadnym z tych rozwiązań
nie musimy logować się do banku, a tym bardziej podawać numeru PESEL!
Zdaję sobie sprawę, że 450 złotych w prezencie kusi. Że kwota z jednej strony wysoka jest na tyle niska, że możemy uwierzyć w to, że faktycznie ktoś nam ją przysłał. Dlatego warto pamiętać, jak wygląda taka mobilna płatność i ostrzec naszych mniej świadomych bliskich (i dalekich ;) ) przed ryzykiem.
I błagam Was - jeśli wykonujecie jakąś transakcję płatniczą, sprawdzajcie adres w pasku przeglądarki! W przypadku jakiejkolwiek wątpliwości zamknijcie stronę (i najlepiej wyślijcie maila/SMS na cert.opl@orange.com). No chyba, że lubicie życie na krawędzi, ale tego nie zmienię.
Komentarze
Widziałem już tego smsa u kilku osób. Można się nabrać. Ale dobrze ze jest „głośno” w mediach o tym procederze, więc może dużo ludzi nie da się oszukać.
OdpowiedzWidziałem już tego smsa u kilku osób. Można się nabrać. Ale dobrze ze jest „głośno” w mediach o tym procederze, więc może dużo ludzi nie da się oszukać.
OdpowiedzJa miałam kontakt z próbą oszustwa poprzez spoofing, z numeru infolinii banku. Teraz to- metoda na Blik, ech, dobrze że o tym piszecie.
OdpowiedzJa miałam kontakt z próbą oszustwa poprzez spoofing, z numeru infolinii banku. Teraz to- metoda na Blik, ech, dobrze że o tym piszecie.
Odpowiedz