(Nie)bezpieczne linki od cyberoszustów

Często słyszymy „Mnie to nie dotyczy…”, „Ja bym się zorientował, że to oszustwo…”, „Nie dałabym się nabrać na to kłamstwo…”, „Od razu widać, że chcą ukraść pieniądze…”. Niestety, zazwyczaj mówimy tak, dopóki sami nie staniemy się celem cyberoszustów, którzy w swoich działaniach posługują się socjotechniką i manipulacją, przez co wiele osób zbyt późno orientuje się, że ma do czynienia z oszustwem. Najczęściej dopiero wtedy, gdy stracą pieniądze.

Głównym celem cyberprzestępców jest pozyskanie danych uwierzytelniających do bankowości elektronicznej (login, hasło, kod z SMSa lub potwierdzenie w aplikacji bankowości mobilnej), informacja o kartach płatniczych (pełen numer karty, kod CVV, data ważności, ewentualnie kody SMS do autoryzacji płatności), numer BLIK wraz z potwierdzeniem, dane osobowe i kontaktowe (imię, nazwisko, pesel, adres zamieszkania, numer telefonu itd.), poświadczenia do konta w mediach społecznościowych (login i hasło do logowania do portalu społecznościowego, np. Facebooka). Zdarza się również, że przestępca chce przekonać potencjalną ofiarę jego działań do wykonania przelewów bezpośrednio na rachunek przez niego wskazany i przez niego zarządzany.

Przede wszystkim podszywają się pod znane marki, np. banki, dostawców usług codziennego użytku (gaz, prąd), firmy kurierskie lub instytucje państwowe. Zdarza się również, że nielegalnie wykorzystują wizerunki popularnych osób. Robią to, aby wzbudzić zaufanie i w ten sposób prowadzić grę psychologiczną, w ramach której będą chcieli zmanipulować potencjalną ofiarę. Najczęstszymi oszustwami są phishing i vishing.

Phishing to po prostu wyłudzenie informacji – próba zdobycia przez przestępców poufnych danych (m.in. danych osobowych, danych do logowania). Oszusta, który chce przeprowadzić działania phishingowe, motywują korzyści finansowe, jakie może osiągnąć.

Natomiast vishing to forma phishingu, ale przeprowadzona przez telefon. W trakcie rozmowy oszust, podszywając się pod znaną nam osobę lub markę, stara się nakłonić do wykonania zaplanowanych przez niego kroków. Najczęściej będzie próbował zachęcić do kliknięcia w link, który nam przekazał, np. poprzez wiadomość e-mail, lub nakłonić do przekazania wrażliwych informacji w trakcie rozmowy telefonicznej.

Cyberprzestępcy są kreatywni zarówno w wymyślaniu scenariuszy oszustw, jak i w sposobach dystrybucji fałszywych stron internetowych, czyli stron phishingowych. Jednak pewne metody ich działań od wielu lat są niemal takie same.

Pierwszą z nich jest wysyłanie wiadomości SMS, w których podszywają się pod instytucje państwowe lub znane firmy. W takich wiadomościach informują o tym, że można coś otrzymać lub stracić, jeżeli nie wykonamy wskazanego nam kroku, którym zawsze jest zachęta kliknięcia w link znajdujący się w tej wiadomości. Często zdarza się, że jest tam zawarty tzw. skracacz linku strony internetowej. To po prostu link, który ma „zaszyty” pod sobą link strony internetowej stworzonej przez przestępców. Wszystko po to, aby wygląd linku nie budził wątpliwości odbiorców takiej wiadomości.

Kolejną, równie znaną metodą jest wysyłanie wiadomości e-mail. Schemat działania jest identyczny, jak w przypadku oszustw za pośrednictwem wiadomości SMS. Jedyną różnicą może być umieszczenie w treści takiej wiadomości przycisku, po kliknięciu w który nastąpi przekierowanie na stronę internetową stworzoną przez oszusta. Wszystko po to, abyśmy nie zorientowali się, że link, w który klikamy jest stroną phishingową.

Najmłodszym sposobem dystrybucji fałszywych stron, ale bardzo popularnym wśród przestępców, są reklamy publikowane w wyszukiwarkach internetowych, jak Google, oraz w mediach społecznościowych. Takie reklamy zazwyczaj zawierają informacje o nagrodach czy rekompensatach pieniężnych. Z kolei w wyszukiwarkach internetowych oszuści wykupują reklamy, w których zamieszczają linki do stron internetowych dla tzw. pozycjonowania. Chodzi o to, że wykupione reklamy zawsze pojawiają się jako pierwsze wyniki, po tym jak wpiszemy w Google hasło, informację przez nas szukaną. Jeżeli zatem wpiszemy tam nazwę banku, w którym mamy rachunek, bo chcemy zalogować się do bankowości elektronicznej, a przestępcy podszywają się pod ten bank i wykupili taką reklamę, to pierwszym wynikiem na liście nie będzie prawdziwa strona banku, lecz fałszywa. Wpisanie na niej swoich danych do logowania do bankowości elektronicznej poskutkuje tym, że trafią one do cyberprzestępców.

Zapewne z Internetu. Niestety, czasami dochodzi do wycieków danych z firm, którym wcześniej podaliśmy numer telefonu czy adres e-mail, aby ich przedstawiciele mogli skontaktować się z nami. Zdarza się też, że przestępcy działają „w ciemno”. Sami generują numery telefonów licząc na to, że trafią na aktywnych użytkowników. W związku z tym, że wysyłka SMS-ów i wiadomości e-mail jest tania (żeby nie powiedzieć, że zdarza się również bezkosztowa), to nie muszą ograniczać się w swoich działaniach.

Scenariuszy działań cyberoszustów jest wiele i nie sposób wymienić wszystkich, chociażby ze względu na to, że modyfikują oni metody swoich działań. Dostosowują je do aktualnych trendów i sytuacji w kraju czy na świecie. Jednak jedną z ich stałych metod jest podszywanie się pod znane firmy, np. banki. Oszuści wysyłają wiadomości SMS czy e-mail z informacją, że rzekomo trzeba zweryfikować swoje dane, bo bankowość internetowa przestanie działać, albo zaktualizować aplikację, aby nadal móc z niej korzystać.

Ponadto cyberoszuści podszywają się też pod firmy kurierskie. Wówczas wysyłają wiadomości z informacją o konieczności zapłacenia kilku złotych, aby paczka dotarła pod wskazany w zamówieniu adres. Zdarza się, że taki SMS możemy otrzymać również, jeżeli na żadną przesyłkę nie czekamy.

Metoda ta stosowana jest także w przypadku dostawców energii elektrycznej. Wówczas w wiadomościach wysyłanych przez oszustów może być informacja, że konieczne jest pilne uregulowanie należności, a jeżeli tego nie zrobimy, to zostanie nam odcięty prąd.

Cyberoszuści bardzo chętnie korzystają z mediów społecznościowych. Jeśli w serwisie takim, jak np. Facebook zauważysz post lub reklamę o możliwości otrzymania nagrody, czy to w postaci drogiego przedmiotu czy pieniędzy – zastanów się zanim podasz komukolwiek i gdziekolwiek swoje dane. Szczególną czujność należy zachować również w przypadku postów, w których zawarte są informacje czy obietnice wysokich, pewnych zarobków.

Niezależnie od metody działań cel cyberoszustów jest zawsze ten sam – wyprowadzić środki z kont osób, które udało im się oszukać, a samemu wzbogacić się.

Niezwykle ważne jest to, aby być świadomym użytkownikiem cyberprzestrzeni. Dlatego też warto sprawdzać informacje o metodach, z jakich obecnie korzystają cyberoszuści, tak aby w razie czego móc zorientować się, że staliśmy się ich celem i udaremnić im powodzenie akcji. Na pewno warto czytać informacje publikowane na stronie internetowej Komisji Nadzoru Finansowego (www.knf.gov.pl) oraz na profilach KNF i CSIRT KNF w mediach społecznościowych.

Warto również zachowywać cyberhigienę w sieci. Zawsze należy kierować się zasadą ograniczonego zaufania. Nigdy nie mamy pewności, kto może znajdować się po "drugiej stronie". Nie należy podawać innym osobom swoich haseł i kodów z wiadomości SMS, które np. otrzymujemy z banku. A co więcej – zawsze trzeba dokładnie czytać komunikaty, które dostajemy, w tym także te z banku, w momencie potwierdzania wykonywania operacji.

Czujność należy zachować również w przypadku wiadomości podpisanych w imieniu instytucji państwowej czy znanej nam firmy. Jeśli treść otrzymanej wiadomości budzi wątpliwości, to warto odszukać na stronie internetowej tej organizacji numer telefonu, zadzwonić i zapytać, czy na pewno to ta firma jest autorem komunikatu, który otrzymaliśmy. I najważniejsze – nie działajmy pochopnie. Jeżeli ktoś oferuje szybki i duży zysk, dokładnie przeanalizujmy taką ofertę by podjąć świadomą decyzję.