Coraz bliżej święta, coraz bliżej święta… A czasy są jakie są, nic dziwnego więc, że wielu z nas szuka okazji, by ograniczyć budżet, a jednocześnie wesprzeć Świętego Mikołaja na odpowiednim poziomie. Akurat w opisywanej dziś „okazji” nawet jeśli uda nam się dostać nagrodę, i tak nie zdążymy na święta.

Zaczyna się od maila lub SMSa z adresem hxxps://lego-zestaw.online.

Któżby nie chciał odebrać zestawu LEGO dla swojego dziecka? Które dziecko nie lubi LEGO? Kliknijmy zatem:

Adres strony już się zmienia, pojawia się nawet możliwość rodzinnego wyjazdu do Legolandu! Rzekomo do wygrania ma być 10 zestawów co tydzień – zobaczmy co będzie, gdy zdecydujemy się wziąć udział:

Odpowiemy oczywiście na kilka pytań, mających pomóc w jak najdokładniejszym sprofilowaniu nas jako odbiorców treści marketingowych. W następnym kroku czeka nas formularz do wypełnienia:

Co ciekawe, gdy klikniemy „Potwierdzam” dwukrotnie, długa lista zgód na przetwarzanie danych marketingowych „odhaczy” się sama!

I jeszcze prośba o szczegółowe dane osobowe:

No to LEGO, czy… talerze?

Gdy myślimy, że to już wszystko – pojawia się seria dodatkowych pytań, profilujących nas jeszcze dokładniej. Z analizy regulaminu serwisu (o nim będzie dalej) wynika, że dzieje się to pod kątem oczekiwań firm, współpracujących z organizatorem, do których trafiają docelowo nasze dane.

Następnie dostajemy prośbę o sprawdzenie skrzynki mailowej:

A w niej – konieczność potwierdzenia udziału w programie z dziwnym kawałkiem kodu z linkiem „Aliexpress.pl”.

I tyle. Dziękujemy.

Co tak naprawdę się stało?

Właśnie oddaliśmy szereg naszych danych, m.in. osobowych (niektórych wrażliwych) organizatorowi konkursu i kilkunastu firmom, związanych z nim umową. Jakich danych? To wynika bezpośrednio z regulaminu:

Czy ktoś nas oszukał? Nie. Regulamin (link do niego znajdziemy na kilku stronach, małym drukiem, szarą czcionką) szczegółowo precyzuje dane, które oddajemy, to, że na stronie mamy do czynienia z zawodami… zręcznościowymi (kto najszybciej odpowie na pytania, wygrywa), że wszystko dzieje się za naszą zgodą oraz – to w kontekście świąt wydaje się kluczowe – że rozstrzygnięcie konkursu będzie miało miejsce 31.12.2020. Więc nawet jeśli zgadzamy się na sprzedaż naszej prywatności, wymarzony zestaw LEGO dotrze zbyt późno, by wylądować pod choinką.

Zastanówmy się, czy na pewno tego chcemy?

Klienci, którzy zdecydują się na abonament na usługi mobilne w Orange, mogą skorzystać także z nowej usługi – Zabezpiecz PESEL. Pomoże im uchronić się przed przykrymi konsekwencjami oszustw dokonanych z użyciem ich danych osobowych, a każdy poszkodowany może liczyć na profesjonalne wsparcie pozwalające zminimalizować jego skutki.

Jak pokazują badania, 60% Polaków boi się, że w okresie epidemii koronawirusa ich dane osobowe wpadną w niepowołane ręce. Ponad połowa rodaków zauważyła, że w ostatnim czasie wzrosło natężenie fałszywych wiadomości służących wyłudzeniu ich danych. Zabezpiecz PESEL  jest odpowiedzią na te obawy.

Usługa jest realizowana przez Orange Polska wspólnie z Krajowym Rejestrem Długów BIG S.A. Zawiera cały zestaw narzędzi zwiększających bezpieczeństwo naszych danych oraz chroniących przed utratą pieniędzy w różnych życiowych sytuacjach.

W ramach nowej usługi użytkownik dostaje powiadomienie, gdy ktoś próbuje użyć jego numeru PESEL. Mechanizm działania jest prosty. Bank, firma pożyczkowa i wiele innych instytucji, zanim podpiszą umowę z nowym klientem, weryfikują, czy nie jest on notowany w Krajowym Rejestrze Długów BIG S.A., jako osoba zadłużona. Aby nas zweryfikować muszą jednak najpierw uzyskać naszą pisemną zgodę. Jeśli więc dostaniemy SMS-a oraz wiadomość e-mail, że właśnie sprawdza nas np. bank, a my w nim nie składaliśmy wniosku o kredyt, to znak, że możemy mieć do czynienia z próbą wyłudzenia.

Tu z pomocą przychodzi Zabezpiecz PESEL – klient otrzyma natychmiastowe powiadomienie zawsze, gdy wpłynie zapytanie o jego PESEL do Krajowego Rejestru Długów BIG S.A. Może więc niezwłocznie sprawdzić, czy jego dane nie zostały wykorzystane do zaciągnięcia zobowiązań finansowych – pożyczki, kredytu, podpisania umowy na abonament, czy zakupów na raty lub do założenia działalności gospodarczej. Alerty działają całodobowo, 7 dni w tygodniu.

Usługa zapewnia profesjonalne wsparcie w przypadku oszustwa – klient dowie się gdzie i w jaki sposób jego PESEL został wykorzystany, otrzyma instrukcję postępowania pozwalającą ograniczyć ewentualne skutki wyłudzenia danych.

W ramach usługi można też sprawdzać wiarygodność finansową firm, z którymi współpracujemy – np. dewelopera czy biura podróży. Jeśli ich kondycja finansowa byłaby zagrożona, dzięki monitoringowi dowiemy się o tym z wyprzedzeniem. Rozważając podjęcie nowej pracy, klient może również sprawdzić swojego przyszłego pracodawcę, by mieć pewność, że zatrudni się w rzetelnej firmie.

Dzięki nowej usłudze można też uzyskać informację, kto w ciągu ostatniego roku pytał o nasz PESEL w Krajowym Rejestrze Długów BIG S.A. i jaką odpowiedź wówczas otrzymał. Jeśli okaże się na przykład, że o nasze zadłużenie dowiadywała się instytucja, w której nie braliśmy pożyczki, może to oznaczać próbę wyłudzenia.

Klient zostanie też powiadomiony, jeśli zostanie dopisany do bazy Krajowego Rejestru Długów. Może również dopisać do bazy swojego dłużnika – jeśli ma odpowiednie dokumenty potwierdzające zadłużenie.

Logując się do specjalnego serwisu zabezpieczpesel.orange.pl, można pobrać raporty o swojej sytuacji i monitorowanych przez siebie podmiotach gospodarczych.

Miesięczny koszt usługi Zabezpiecz PESEL to 9,99 zł z VAT, a przez pierwszy miesiąc można korzystać bez opłat. Umowa jest podpisywana na czas nieokreślony, można z niej zrezygnować w dowolnym momencie. Z usługi mogą skorzystać klienci, którzy kupią lub przedłużą umowę na abonament komórkowy w Orange. Opłaty za korzystanie z Zabezpiecz PESEL są doliczane do faktury za usługi Orange.

Osoba, która już korzysta z usługi, może ją wykupić też dla bliskiej osoby, dla której dobiera abonament komórkowy w Orange. Wystarczy wysłać  zaproszenie z linkiem aktywacyjnym z serwisu zabezpieczpesel.orange.pl

Szczegółowe informacje na temat Zabezpiecz PESEL wraz z regulaminem znajdują się na stronie www.orange.pl/zabezpieczpesel

Zastanawialiście się kiedyś, skąd telemarketerzy różnych dziwnych firm mają Wasze dane osobowe? Dlaczego dzwonią na Wasze prywatne numery telefonów, wysyłają Wam maile z niepotrzebnymi informacji, a pytani o to, skąd mają Wasze dane, wymieniają nazwę istniejącej firmy? Może dlatego, że kiedyś połaszczyliście się na darmowe „Bony do [tu wstaw nazwę sklepu]”…

Zastanawiam się, czy ktoś z Was dostał ostatnio maila z takim obrazkiem:

Pytam, bo jeden z takich maili trafił do nas, na cert.opl@orange.com. Staramy się wpisywać ten adres gdzie się da, żeby znalazł się w tego typu bazach i robił za „spam trap”. Dzięki temu takie maile jak opisywany potrafią trafić do nas w „pierwszym rzucie”.

Przestępstwo? Niekoniecznie

Odruchowo chciałem opisać tę historię jako ostrzeżenie przed spamem, a witrynę zablokować na CyberTarczy. Po krótkiej analizie okazało się, że… nie mogę. Nie mogę, ponieważ w świetle prawa nadawca zbiera dane osobowe w zasadzie w pełni legalne. Z wyłączeniem zapewne kwestii nadużycia logo firmy Rossmann, ale to już nie nasza sprawa.

Finalna witryna hxxps://rossm.gift-cards.co.pl/ nie zawierała złośliwego kodu. Prowadzi ją legalna firma, z wpisem w KRS, zawierająca na liście swoich PKD również pośrednictwo w sprzedaży miejsca na cele reklamowe. Po dokładnym przeczytaniu regulaminu dowiadujemy się natomiast, że już wchodząc na stronę automatycznie zgadzamy się na jego zapisy. Wśród nich m.in. przekazanie szeregu danych dotyczących naszego połączenia, plus oczywiście wszystkiego, co na niej wpiszemy. Odklikując ostatecznie osiem (!) zgód marketingowych na przetwarzanie i udostępnianie naszych danych oraz ich automatyczne profilowanie, no i oczywiście na otrzymywanie informacji marketingowych, możemy już dołączyć do… konkursu. Konkursu, w którym wygramy bon, jeśli na pytania podane na stronie odpowiemy… najszybciej. Tak – to jest konkurs zręcznościowy!

Dane osobowe – złoto XXI wieku

Skąd oni mają nasze adresy? Z internetu oczywiście. Jak często podajecie w sieci swój adres e-mail? Wystarczy raz, a potem crawlery już zrobią swoje. Kolejny krok to mail taki, jak powyższy, przekonanie nas, byśmy skusili się na darmowy lun… tzn. kupony, a potem – cóż, potem sprzedanie naszych danych, o których coraz częściej mówi się jako o złocie XXI wieku, firmom trzecim. Na co oczywiście też wyrażamy zgodę.

Cóż – choć bardzo bym chciał, nie mogę stanąć na drodze działalności, która w rozumieniu prawa jest legalna, w moim rozumieniu balansuje na cienkiej linii, a Wam pozostawiam odpowiedź na to, jak bardzo etyczne są tego typu działania. Mogę Was jedynie ostrzec, że ryzyko w sieci to nie tylko phishing, wykradający nasze dane dostępowe do kont bankowych, nie tylko wyglądający spektakularnie w mediach ransomware. O ile jestem zdania, że w dzisiejszych czasach pojęcie prywatności już dawno zginęło bolesną śmiercią, wciąż to od nas zależy, ile o sobie ujawnimy. A jeśli chcecie przeczytać więcej na temat tego, co udało nam się znaleźć w związku z kampanią „konkursową” – pozwolę sobie zaprosić Was po sąsiedzku na stronę CERT Orange Polska.