Michał Rosiak 
Jest lipiec, więc pełnoprawne wakacje właśnie się zaczęły! A skoro wakacje - to wielu z nas będzie przemieszczać się po kraju samochodami. Będziemy je parkować w przeróżnych miejscach. I czasami możemy dostać informację, że nie zapłaciliśmy za parkowanie! A czemu piszę o tym tutaj? Bo taka informacja może okazać się nieprawdziwa.
Pomysł na dzisiejszy tekst sam wpadł mi w ręce, gdy przeglądałem Facebooka a algorytm podpowiedział mi wpis z grupy "Scam - Podstawione strony i wszelkie inne oszustwa". Jedna z osób na grupie zapytała, czy to aby na pewno oszustwo?
Ja wiedziałem to od razu - choćby po numerze nadawcy (+212 to... Maroko, z podobnych numerów CERT Orange Polska zaobserwował SMS-y phishingowe "na paczkę DPD") oraz adresie strony docelowej w domenie .ink (faktyczna strona usługodawcy, pod którego podszywają się oszuści kończy się na .pl). Ale sprawdziłem, co dzieje się dalej - żeby Was nie kusiło!
Fałszywa dopłata za parkowanie - krok po kroku
W kolejnym kroku trafiamy na stronę rzekomo umożliwiającą sprawdzenie, czy na naszym koncie jest jakieś nieopłacone parkowanie:
Po wpisaniu (nieistniejącego) numeru rejestracyjnego - niespodzianka (no dobra, nie dla mnie)! Mamy zaległą płatność za parking!
Wystarczy tylko podać dane karty oraz numer telefonu:
i poczekać aż "międzynarodowa sieć płatnicza wykona szyfrowanie SSL i certyfikację PCI-DSS":
by ostatecznie dowiedzieć się, że wpisaliśmy zły numer karty:
Co się dzieje w trakcie oszustwa
Zacznijmy od końca. Dlaczego wpisana karta okazało się być zła? Oczywiście dlatego, że próbowałem szczęścia z kilkoma numerami kart różnych standardów z generatora używanego do testów płatności. Czemu nie zadziałały? Myślę, że dlatego, iż oszuści w trakcie kampanii siedzą przed komputerem i gdy ofiara widzi powoli napełniający się pasek postępu - oni wpisują podane dane np. na stronie giełdy kryptowalut, by okraść Cię zanim się zorientujesz, że cokolwiek złego się dzieje. A po co numer telefonu? Być może po to, by uwiarygodnić formularz, ale nie zdziwiłbym się, gdyby oszuści zatrzymali bo sobie po to, by później wykorzystać do innego phishingu.
Jak nie dać się oszukać
Przede wszystkim po prostu... płacić za parkowanie. Wiem, że to ten sam poziom porady jak:
Nie chcesz mandatów za prędkość? To jej nie przekraczaj.
ale z drugiej strony - no sami powiedzcie: jeśli będziecie mieć pewność, że za każdy parking płaciliście, to od razu będziecie wiedzieć, że taki SMS to ściema.
A poza tym warto być wyczulonym na to, co przy każdym phishingu, niezależnie od tematyki:
- sprawdź nadpis/nr nadawcy (numer z Maroka jest co najmniej podejrzany)
- przyjrzyj się dokładnie adresowi strony (adres w domenie .ink to absolutnie czerwona flaga)
- jeśli na docelowej stronie jest nazwa firmy - wpisz ją w Google, wtedy z dużym prawdopodobieństwem znajdziesz jej prawdziwą witrynę
- i - last, but not least - jeśli gdziekolwiek wpisujesz swoje wrażliwe dane, hasła, podajesz dane karty, miej absolutną pewność, że to prawdziwa strona banku, sklepu, czy usługodawcy!