Szybka podpowiedź dla fanów Huawei. Tylko dziś, w ofercie bez abonamentu, obniżyliśmy dla Was ceny dwóch zegarków. Huawei Watch GT 3 Pro Elegant 43 mm można teraz kupić o 200 zł taniej a cena Huawei Watch GT 3 Pro Sport 46 mm spadła o 250 zł. Oferta jest limitowana liczbą dostępnych urządzeń, czyli warto się pośpieszyć.
W obydwu modelach, prócz standardowych funkcji zegarka znajdziecie też m.in. akcelerometr, barometr, kompas, pulsoksymetr, termometr, żyroskop i czujnik natlenienia krwi.
W tym tygodniu otworzyliśmy nasz wyjątkowy „zielony” salon w Miasteczku Orange w Warszawie. Oferujemy w nim więcej odnowionych telefonów i eko-akcesoriów oraz promujemy usługi zachęcające klientów do wspólnego zadbania o planetę. Można w nim także skorzystać z oferty odkupu telefonów lub zostawić stary telefon do recyklingu.
Koncept zakłada ekspozycję treści edukacyjnych o naszej odpowiedzialności za środowisko, podejmowanych działaniach i realizacji celów klimatycznych. To pierwszy taki salon wśród wszystkich krajów Grupy Orange. Jeśli będziecie mieli okazję, zapraszam Was do odwiedzin. Na zachętę moja fotorelacja.
Oszustwo "na wnuczka", czy "na policjanta" to pojęcia znane już od lat tzw. "ogółowi społeczeństwa". To również dowody na to, jak skuteczna potrafi być odpowiednio przygotowana socjotechnika. A tego, że oszuści się nie nudzą, i szukają kolejnych pomysłów, dowodzi nowa, naprawdę sprytna, forma przekrętu w sieci.
Duże emocje, nierzadko powołanie się na osoby bliskie dla potencjalnej ofiary, wykorzystywanie funkcji zaufania publicznego, budowanie poczucia szybko upływającego czasu. To element łączące wspominane we wstępie sposoby na oszustwo, które od lat funkcjonują w świecie offline, ale w wersji hybrydowej trafiają również do sieci. Nowe oszustwo to natomiast kwestia wyłącznie internetowa. A jego pomysłodawca nawet z mojego punktu widzenia, zasłużył na brawa za pomysłowość.
Załóżmy, że jesteście rodzicem. Tzn. na pewno część z Was jest, ale akurat w tym przypadku potomstwo musi być pełnoletnie i nie mieszkać z Wami. Dlaczego? To się okaże nieco dalej. Ale nic to. jesteście rodzicem i dostajecie takiego SMSa (taka sytuacja zdarzyła się rodzinie jednej z moich koleżanek z pracy, która po wszystkim odezwała się do CERT Orange Polska):
W zasadzie, żeby atak się udał, musicie być mamą. Mam pewne przeczucie, że na ojców to może nie zadziałać.
No ale dobra, załóżmy, że taki SMS trafia do osoby pełniącej funkcję społeczną mamy ;) W zasadzie nie ma powodu do obaw, prawda? No ale rodzic nie byłby rodzicem, gdyby nie spytał: "Dziecko, cóżeś Ty ze swoim telefonem uczyniło?". Ja bym na pewno zapytał :)
To też ludzka rzecz! Nic wielkiego, uwierzcie mi, wiem co mówię! (nawet dwa razy i o ile Galaxy Note 9 wytarłem i działa do tej pory, to wyjątkowy LG Wing dokonał po takiej akcji żywota, czego żałuję po dziś dzień :( ).
Wracając do rozmowy. "Gdzie tu oszustwo?" - spytacie. Na razie nigdzie. To tylko podprowadzenie do finalnego ataku.
No i mamy clou programu! Dlatego właśnie pisałem, że warunki skuteczności ataku są co najmniej dwa - SMS, trafiający do matki i pełnoletnie dziecko, nie mieszkające z nią w tym samym gospodarstwie domowym. Tego atakujący oczywiście nie wie, wysyłając wiadomości wolumenowo, jak w większości standardowych ataków phishingowych. jaką ma szansę trafienia? Nie mam dostępu do badań naukowych, a - przyznam Wam szczerze - nie chce mi się przekopywać przez wyniki spisu powszechnego. Załóżmy jednak, że wyśle 10 tysięcy SMSów. Jeśli w przypadku 5 procent trafi w oba warunki i załóżmy, że 20% z tej grupy da się przekonać - mamy 100 osób. 100 osób, które mogą być gotowe przelać obce... tzn. swojemu dziecku 2500 PLN. 250 tysięcy "zarobku" na kampanii? Wow.
Wracając do rozmowy z oszustem. W trakcie ataku pojawia się fragment, który dowodzi, że schemat ataku jest naprawdę dobrze przemyślany, a atakujący mimo mogącej szokować prośby o duże pieniądze, w kolejnym kroku jeszcze bardziej buduje zaufanie ofiary:
Zwróciliście uwagę na fragment z 16:48? Zatroskana matka chce jeszcze pomóc w rachunku, ale dziecko pisze, że nie, nie trzeba, to już sobie ogarnie. Ach ten oszust, ludzkie panisko...
Na szczęście dla rodziny zgłaszającej nam sprawę koleżanki okazało się, że nawet dobrze przygotowany skrypt nie obejmie wszystkich potencjalnych czynników ryzyka dla oszusta:
Mikrofon nie działa, poczta się włącza - to wszystko naprawdę może się zdarzyć, więc jest naprawdę realistycznie! Zdaje się jednak, że propozycja z 17:05 i odpowiedź na nią nie tylko zasiały ziarno niepokoju w umyśle niedoszłej (na szczęście) ofiary, ale też spowodowały, że atakujący ostatecznie się wycofał. Na ostatniej informacji bowiem się skończyło, a dane do przelewu nie przyszły.
I tu pojawia się problem, bo... wcale nie tak łatwo. Tzn. niełatwo jeśli damy się złapać na haczyk, bo jeśli założymy, że dziecko faktycznie utopiło telefon i ma nowy numer, to w emocjach, które wywoła ta sytuacja, nie przyjdzie nam do głowy, by po prostu...
zadzwonić do dziecka na numer, który mamy!
To ta sama metoda, której używanie postuluję w przypadku podejrzanych maili. Już nawet pominąwszy samą teoretycznie bezsensowną w tej sytuacji sugestię oddzwonienia na "utopiony" numer. Samo uspokojenie emocji i spojrzenie na chłodno na to, że ktoś chce właśnie od nas 2,5 tysiąca złotych, może zapalić nam w głowie czerwoną lampkę, że z tą sytuacją coś może być nie tak...
Mam przeczucie graniczące z pewnością, że opisywana sytuacja to wolumenowy phishing, z nadzieją, że oszust trafi na osobę spełniającą wstępne wymagania. I tak jednak warto ostrzec przed kwestią, którą podsunął jeden z kolegów z CERT Orange Polska, gdy dyskutowaliśmy o tej sprawie na zamkniętej grupie. Robicie czasem zakupy w sieci sklepów z owadem w logo? Jeśli tak - czy korzystacie z karty lojalnościowej? A skanujecie kod, czy podajecie... numer telefonu!
Numer telefonu. Na głos. Kasjerowi. W kolejce. Okazja czyni złodzieja. Warto o tym pamiętać.
Wojtek Jabczyński 
Hanna Jaworska-Orthwein 
Michał Rosiak
Komentarze
mam sentyment do tej marki. Huawei P20 Pro służy mi dzielnie ponad 3 lata i…….działa bez zarzutów.
Odpowiedz