Oszustwo "na wnuczka", czy "na policjanta" to pojęcia znane już od lat tzw. "ogółowi społeczeństwa". To również dowody na to, jak skuteczna potrafi być odpowiednio przygotowana socjotechnika. A tego, że oszuści się nie nudzą, i szukają kolejnych pomysłów, dowodzi nowa, naprawdę sprytna, forma przekrętu w sieci.
Duże emocje, nierzadko powołanie się na osoby bliskie dla potencjalnej ofiary, wykorzystywanie funkcji zaufania publicznego, budowanie poczucia szybko upływającego czasu. To element łączące wspominane we wstępie sposoby na oszustwo, które od lat funkcjonują w świecie offline, ale w wersji hybrydowej trafiają również do sieci. Nowe oszustwo to natomiast kwestia wyłącznie internetowa. A jego pomysłodawca nawet z mojego punktu widzenia, zasłużył na brawa za pomysłowość.
"Mamo, mam nowy numer"
Załóżmy, że jesteście rodzicem. Tzn. na pewno część z Was jest, ale akurat w tym przypadku potomstwo musi być pełnoletnie i nie mieszkać z Wami. Dlaczego? To się okaże nieco dalej. Ale nic to. jesteście rodzicem i dostajecie takiego SMSa (taka sytuacja zdarzyła się rodzinie jednej z moich koleżanek z pracy, która po wszystkim odezwała się do CERT Orange Polska):
W zasadzie, żeby atak się udał, musicie być mamą. Mam pewne przeczucie, że na ojców to może nie zadziałać.
No ale dobra, załóżmy, że taki SMS trafia do osoby pełniącej funkcję społeczną mamy ;) W zasadzie nie ma powodu do obaw, prawda? No ale rodzic nie byłby rodzicem, gdyby nie spytał: "Dziecko, cóżeś Ty ze swoim telefonem uczyniło?". Ja bym na pewno zapytał :)
To też ludzka rzecz! Nic wielkiego, uwierzcie mi, wiem co mówię! (nawet dwa razy i o ile Galaxy Note 9 wytarłem i działa do tej pory, to wyjątkowy LG Wing dokonał po takiej akcji żywota, czego żałuję po dziś dzień :( ).
Wracając do rozmowy. "Gdzie tu oszustwo?" - spytacie. Na razie nigdzie. To tylko podprowadzenie do finalnego ataku.
"Przelejesz mi na nowy telefon?"
No i mamy clou programu! Dlatego właśnie pisałem, że warunki skuteczności ataku są co najmniej dwa - SMS, trafiający do matki i pełnoletnie dziecko, nie mieszkające z nią w tym samym gospodarstwie domowym. Tego atakujący oczywiście nie wie, wysyłając wiadomości wolumenowo, jak w większości standardowych ataków phishingowych. jaką ma szansę trafienia? Nie mam dostępu do badań naukowych, a - przyznam Wam szczerze - nie chce mi się przekopywać przez wyniki spisu powszechnego. Załóżmy jednak, że wyśle 10 tysięcy SMSów. Jeśli w przypadku 5 procent trafi w oba warunki i załóżmy, że 20% z tej grupy da się przekonać - mamy 100 osób. 100 osób, które mogą być gotowe przelać obce... tzn. swojemu dziecku 2500 PLN. 250 tysięcy "zarobku" na kampanii? Wow.
Wracając do rozmowy z oszustem. W trakcie ataku pojawia się fragment, który dowodzi, że schemat ataku jest naprawdę dobrze przemyślany, a atakujący mimo mogącej szokować prośby o duże pieniądze, w kolejnym kroku jeszcze bardziej buduje zaufanie ofiary:
Zwróciliście uwagę na fragment z 16:48? Zatroskana matka chce jeszcze pomóc w rachunku, ale dziecko pisze, że nie, nie trzeba, to już sobie ogarnie. Ach ten oszust, ludzkie panisko...
Na szczęście dla rodziny zgłaszającej nam sprawę koleżanki okazało się, że nawet dobrze przygotowany skrypt nie obejmie wszystkich potencjalnych czynników ryzyka dla oszusta:
Mikrofon nie działa, poczta się włącza - to wszystko naprawdę może się zdarzyć, więc jest naprawdę realistycznie! Zdaje się jednak, że propozycja z 17:05 i odpowiedź na nią nie tylko zasiały ziarno niepokoju w umyśle niedoszłej (na szczęście) ofiary, ale też spowodowały, że atakujący ostatecznie się wycofał. Na ostatniej informacji bowiem się skończyło, a dane do przelewu nie przyszły.
Oszustwo "na mamę" - jak mu zapobiec?
I tu pojawia się problem, bo... wcale nie tak łatwo. Tzn. niełatwo jeśli damy się złapać na haczyk, bo jeśli założymy, że dziecko faktycznie utopiło telefon i ma nowy numer, to w emocjach, które wywoła ta sytuacja, nie przyjdzie nam do głowy, by po prostu...
zadzwonić do dziecka na numer, który mamy!
To ta sama metoda, której używanie postuluję w przypadku podejrzanych maili. Już nawet pominąwszy samą teoretycznie bezsensowną w tej sytuacji sugestię oddzwonienia na "utopiony" numer. Samo uspokojenie emocji i spojrzenie na chłodno na to, że ktoś chce właśnie od nas 2,5 tysiąca złotych, może zapalić nam w głowie czerwoną lampkę, że z tą sytuacją coś może być nie tak...
Mam przeczucie graniczące z pewnością, że opisywana sytuacja to wolumenowy phishing, z nadzieją, że oszust trafi na osobę spełniającą wstępne wymagania. I tak jednak warto ostrzec przed kwestią, którą podsunął jeden z kolegów z CERT Orange Polska, gdy dyskutowaliśmy o tej sprawie na zamkniętej grupie. Robicie czasem zakupy w sieci sklepów z owadem w logo? Jeśli tak - czy korzystacie z karty lojalnościowej? A skanujecie kod, czy podajecie... numer telefonu!
Numer telefonu. Na głos. Kasjerowi. W kolejce. Okazja czyni złodzieja. Warto o tym pamiętać.
Komentarze