Michał Rosiak 
I na innych kurierów też - żeby nie było, że piszę tylko o jednym. DPD, Pocztex, InPost, ew. DHL są bezustannie pod ostrzałem sieciowych oszustów. Zastanawiając się nad tematem na dzisiaj zerknąłem do naszych systemów na listę SMS-ów, które wysłaliście na zgłaszarkę 508 700 900. No i proszę - mamy żywy przykład, że ten sposób jest wciąż używany przez oszustów.
SMS-y "kurierskie" przychodzą od różnych adresatów. Najczęściej ze zwykłych numerów, głównie ze strefy +48. Zdarzają się też przychodzące z nadpisów DPD, DHL, czy też nadpisy przypominające nazwy firm kurierskich.
SMS "od DPD" podstępny na wielu płaszczyznach
Poniżej faktyczny SMS przesłany na zgłaszarkę CERT Orange Polska przez jednego z internautów. Podzieliłem go na kilka części dla czytelności - oryginalna wiadomość była wyjątkowo długa.
Pierwsza część - podszycie się pod znaną markę, informacja o nieudanej dostawie. Następnie - fałszywy link, stworzony według wzorca hxxps://prawdziwafirma.com-reszta_domeny.xyz. Dlaczego tak? Bo nasz mózg, idąc "na skróty", kiedy widzi prawdziwy adres na początku później może - podświadomie - zarzucić analizowanie tego, co znajdzie dalej. Trzeci krok to element specjalnie dla właścicieli iPhone'ów. W ich przypadku otwierany SMS od nowego nadawcy zawierający link jest domyślnie traktowany jako niezaufany. Na koniec - klasyczna reguła niedostępności Cialdiniego. Masz mało czasu, musisz dzisiaj, inaczej nie dostaniesz przesyłki.
Co się stanie, gdy klikniemy w link? To zależy. Jeśli zrobimy to na komputerze, to... w zasadzie nic:
To znany mechanizm, stosowany przez oszustów. Kampanie phishingowe bardzo często otwierają się wyłącznie na urządzeniach mobilnych. Dlaczego? Przede wszystkim dlatego, że na małym ekranie obszar paska adresu w przeglądarce po pierwsze jest mały, po drugie zaś - szybko znika. Dlatego potrzebujemy telefonu, by zobaczyć to:
Jak widać na pasku adresu - jest dpd.com i nie zdziwiłoby mnie, gdyby wielu internautów odruchowo pomyślało, że to co dalej to po prostu szczegółowy link do strony, a nie zakończenie adresu fałszywej domeny.
Kolejne kroki to modus operandi znane już od lat:
Znów sporo czerwonych flag. Część treści po niderlandzku, do tego "powiaty" i "prowincja" - nazewnictwo nieużywane w Polsce. Plus stylistyka "aby upewnić się, że ponowna dostawa się powiedzie".
Kolejny krok - jak można się było spodziewać - to już miejsce na wpisanie danych karty płatniczej.
Tu też kilka błędów stylistycznych ("otrzymywanie informacji", "zrozumiałem i akceptuj"). Do tego brak waluty, w której miałaby zostać dokonana wpłata. Oczywiście po wpisaniu danych karty oszuści wypłacą sobie wszystko, nie ograniczą się do 1,43 - niezależnie od tego, czy mieli na myśli złotówki, czy euro.
Jak uniknąć ryzyka
Wiem, wiem - piszę o tym od lat. I wiecie co? Będę powtarzał do znudzenia. Bo skoro przestępcy robią takie kampanie, to znaczy, że ludzie niezmiennie się na nie łapią. Pamiętaj:
- Jeśli dostajesz SMS-a o niestandardowej treści, zawierającego link: przeczytaj go dokładnie zanim klikniesz.
- Wydaje Ci się zbyt podejrzany? Usuń go! Ewentualnie zadzwoń na infolinię rzekomego nadawcy - w tym przypadku DPD - i upewnij się, czy coś do Ciebie wysłali.
- Link to tzw. skracacz (np. bit.ly)? Nie ufaj. Wydaje się normalny albo nie masz stuprocentowej pewności? Samo kliknięcie w link nie spowoduje niczego nie złego. Ale zanim zrobisz cokolwiek więcej, dokładnie sprawdź adres w pasku przeglądarki.
- Gdziekolwiek widzisz jakąkolwiek czerwoną flagę? Zamykaj stronę, to oszustwo.
- Nie wpisuj nigdzie danych wrażliwych, w tym danych karty, jeśli nie masz absolutnej pewności co do wiarygodności strony.
Uważaj na siebie. Nie daj się oszukać. Pamiętaj, że jeśli w grę wchodzą Twoje pieniądze, nie rób niczego odruchowo. Zawsze najpierw przemyśl.
Kinga Galon 
Ewa Wróbel 
Komentarze
Aż korci skorzystać. I podać dane mego Alter ego. Cieszy zwłaszcza ten powiat i prowincja bo można podać pełna wersję czyli Grzegorz Brzęczyszczykiewicz, Chrzęszczyżewoszyce powiat Łękołody prowincja Grodzieńszczyzna. Karta oczywiście miała by datę ważności jeden dzień później a cvv to oczywiście 666.
Odpowiedz