Spoofing. Fałszywi bankowcy atakują! Także w Kujawsko-Pomorskiem dochodzi do oszustw "na pracownika banku"

Spoofing to technika podszywania się pod instytucje, banki i firmy - najczęściej za pomocą łudząco podobnego numeru telefonu czy maila. Metodę tę wykorzystują także oszuści, podszywający się pod pracowników banków. Ich nierzadko perfekcyjnie przygotowane socjotechniczne ataki wciąż są wielkim problemem, mimo apeli policji i banków o czujność.

Tego lata fałszywi bankowcy za cel wzięli sobie także branżę prawniczą. Przekonani są o tym choćby prawnicy z Torunia. -Dzwonią w piątki, gdy ludzie są zmęczeni po całym tygodniu pracy i często już jakoś rozkojarzeni - zauważa adwokat Edyta Bocianiak z Torunia.

Jak wygląda taki socjotechniczny atak? Oto, co wydarzyło się niedawno w pewnej toruńskiej kancelarii adwokackiej.

To był piątek. Gorący, letni dzień. Pracownica kancelarii adwokackiej na starówce w Toruniu odebrała telefon (rzekomo) ze swojego banku. Mężczyzna przedstawił się jako Adam Amber, konsultant do spraw bezpieczeństwa w banku. Rzeczowym i jednocześnie uspokajającym tonem przekazał, co następuje.

Po pierwsze to, że na rachunku bankowym klientki najprawdopodobniej dochodzi do podejrzanych transferów pieniędzy. (Tutaj mężczyzna dopytywał, czy na pewno sama nie dokonała przelewu 2.600 zł).

Po drugie to, że sytuacja jest niebezpieczna, ale bank czuwa i pomoże. Działać trzeba szybko.

Po trzecie to, że standardowym i bezpiecznym w takiej sytuacji jest wykonanie przelewu pieniędzy pozostałych na koncie klientki na wskazane tzw. konto techniczne. Oczywiście po to, by je uratować, zabezpieczyć.

-Przez klika minut pan Amber był naprawdę przekonujący, kompetentny i bardzo wspierający - relacjonuje pracownica kancelarii. - Coś mnie jednak tknęło, gdy zaczął naciskać z pytaniem o to, ile pieniędzy mam na koncie. Odradzał mi też fizyczną wizytę w banku, bo "niczego się nie dowiem - udzielanie informacji jest niemożliwe z uwagi na tajemnicę bankową".

Torunianka zapytała swojego rozmówcę, czy może zweryfikować jego tożsamość. Usłyszała, że - oczywiście, nie ma problemu. On się zaraz rozłączy i zadzwoni ponownie - z numeru telefonu bankowej infolinii. Podpowiedział, by zerknęła na swoja kartę do bankomatu - tam widnieje ten numer.

Kobieta odebrała kolejny telefon. Na pierwszy rzut oka połączenie faktycznie było z bankowego numeru. Gdy jednak się przyjrzała zauważyła, że jedna cyfra w nim się nie zgadza...

Ostatecznie torunianka żadnych pieniędzy oszustowi nie przelała. Czym prędze zgłosiła sprawę bankowi (chodzi o jeden z największych banków w Polsce) i tutaj dowiedziała się niepokojących rzeczy. -Tego, że gdybym ujawniła sumę pieniędzy posiadanych na koncie, to oszuści skłoniliby mnie do przelewu pieniędzy na utworzone przez nich tzw. konto techniczne. W ostatnich miesiącach w Toruniu bank odebrał zgłoszenia od kilkunastu klientów (tak!), które takie przelewy dokonali. Oszustwa miały też miejsce tamtego piątku, gdy dzwoniono do mnie - relacjonuje torunianka.

W Toruniu o procederze do dziś jest głośno, szczególnie w środowisku pracowniczym. Okazało się, że oszukać dali się m.in. adwokat, notariusz, a w okolicy także lekarz. Ktoś na 2.000 zł, ale ktoś inny na wielokrotnie więcej... Takie przynajmniej wieści przekazuje nam pracownica opisywanej kancelarii.

Fałszywi bankowcy posługujący się techniką spoofingu działają według kilku scenariuszy. Jednym z najczęściej spotykanych jest właśnie ten podobny do zastosowanego w Toruniu., ale są i alternatywne. Jakie?

Oszust dzwoni do ofiary, podając się za konsultanta bankowego i informuje o niepokojących transferach pieniężnych na jej koncie. Aby zapobiec rzekomej kradzieży pieniędzy „pracownik banku” poleca, by rozmówca zabezpieczył swoje pieniądze. Tutaj wchodzą różne warianty, jak np. zainstalowanie aplikacji, która umożliwia mu zdalne wykonywanie działań na smartfonie czy komputerze rozmówcy. W ten sposób oszust ma dostęp do urządzenia swojej ofiary i tym samym konta. Następnie dokonuje przelewów, a zaraz po tym wypłaca wszystkie zgromadzone na nim środki.

Innym sposobem oszustwa „na pracownika banku” jest przekonanie rozmówcy, że musi on wykonać przelew techniczny na wskazane przez oszusta konto. Przelew musi być wykonany metodą ekspresową, bo inaczej, jak ostrzega "konsultant", oszczędności zostaną skradzione. Przerażany rozmówca pod presją czasu wykonuje taki przelew wierząc, że właśnie w ten sposób zabezpiecza pieniądze. Niestety, szybko okazuje się, że te pieniądze przepadają na zagranicznych rachunkach bankowych, bądź trafiają na konta bankowe kantorów wymiany walut, skąd w formie gotówki są pobierane przez oszustów.

Scenariusz kolejny oszustwa opiera się na przypadki przeprowadzeniu „weryfikacji rozmówcy” przez przestępcę. Pozyskuje w ten sposób od ofiary dane wrażliwe (imię nazwisko, numer pesel, a często nawet login i hasło do aplikacji bankowej), a wtedy nie tylko dokonuje kradzieży zgromadzonych pieniędzy, ale dodatkowo zaciąga na ofiarę szybki kredyt.

Co ważne, za każdym razem oszuści nie tylko korzystają ze spoofingu, ale - czasem wręcz perfekcyjnie - wcielają się w rolę kompetentnych i przychodzących z ratunkiem konsultantów ds. bezpieczeństwa w banku. Wykorzystują moment zrozumiałego przerażenia kogoś, kto dowiaduje się o "niechcianych transakcjach" na jego koncie. Wywierają też presję czasu.

-Apelujemy o zachowanie szczególnej ostrożności! Pracownicy banku nigdy nie żądają od klientów podania loginu, hasła do konta ani tym bardziej kodu autoryzacyjnego SMS, jak i nie polecają instalowania aplikacji, z której mogą wykonywać ruchy na koncie klienta. Nie polecają przelania środków bankowych na wskazane przez konsultanta konto. Jeżeli nie jesteś pewien/ pewna z kim rozmawiasz pójdź do placówki danego banku i tam porozmawiaj z pracownikami banku - potwarzą, jak mantrę, policja w całym kraju. Zaznaczając, że o wszystkich próbach wyłudzenia pieniędzy należy natychmiast informować, choćby korzystając z numeru alarmowego 112.

Banki (nie tylko ten opisywany w sprawie toruńskiej) od pewnego czasu coraz intensywniej próbują z podobnym przekazem dotrzeć do klientów. Mają świadomość tego, że spooferzy nie odpuszczają - proceder gdzieś ucięty, odżywa na nowo.

Bank Pekao SA, dla przykładu, dokładnie instruuje, w jaki sposób zweryfikować tożsamość rozmówcy, przedstawiającego się przez telefon jako pracownik banku. Zaleca korzystanie ze swojej aplikacji i serwisu internetowego, gdzie imiennie sprawdzić można pracowników. -Jeśli osoba, z którą rozmawiasz odmówi weryfikacji lub poda błędne dane - natychmiast rozłącz się i zadzwoń na naszą infolinię - apeluje ten bank.

Podobnie jak inne banki ten też przypomina, że prawdziwy pracownik banku nigdy nie poprosi nas o: podanie danych do logowania do bankowości elektronicznej, podanie pełnego numeru karty i kodu CVV/CVC, podanie kodów BLIK,czy też pobranie aplikacji rzekomo służących do zabezpieczenia konta. "Nigdy nie oddzwaniaj na numer, z którego przyszło podejrzane połączenie. Jeśli chcesz sprawdzić numer telefonu - własnoręcznie wpisz go na klawiaturze swojego telefonu lub wybierz z zapisanych numerów w książce telefonicznej" - uczula.

Jak natomiast cały ten oszukańczy proceder wygląda z prawnego punktu widzenia? - W przypadku przekazania pieniędzy na konto osób nieuprawnionych należy sprawę zgłosić organom ścigania (policja, prokuratura). Kodeks karny przewiduje w art. 286, że kto w celu osiągnięcia korzyści majątkowej doprowadza inną osobę do niekorzystnego rozporządzenia własnym lub cudzym mieniem, za pomocą wprowadzenia jej w błąd albo wyzyskania błędu lub niezdolności do należytego pojmowania przedsiębranego działania, podlega karze pozbawienia wolności od 6 miesięcy do lat 8 - mówi adwokat Edyta Bocianiak z Torunia.

Prawniczka dodaje, że gdyby opisywana na wstępie pracownica kancelarii przelała pieniądze, doszłoby do oszustwa. - Ponieważ jednak tego nie zrobiła, było to usiłowanie oszustwa- także ścigane i też karalne.

Przestępcy oszukujący metodą "na pracownika banku" co jakiś czas wpadają - w różnych częściach kraju. Bywa, że są to grupy międzynarodowe.

W maju br. sukcesem mogli się pochwalić policjanci olsztyńskiego wydziału Centralnego Biura Zwalczania Cyberprzestępczości. Namierzyli 18 osób, działających w zorganizowanej grupie przestępczej, która podszywając się pod pracowników banków, oszukała ofiarę na ponad 100 tys. zł.

-Kobieta była przekonana, iż rozmawia z pracownikiem banku; wykonywała jego polecenia i wpłacała swoje pieniądze na konta bankowe przygotowane przez sprawców, którzy następnie przelewali te pieniądze dalej. W tym przypadku suma strat wyniosła ponad 100 tys. złotych, jednak nie jest wykluczone, że pokrzywdzonych może być więcej - przekazała policja.

Olsztyńscy policjanci ustalili tożsamość sprawców. Wspomniane 18 osób usłyszało zarzuty udziału w zorganizowanej grupie przestępczej, prania pieniędzy i oszustwa. Czterech podejrzanych zostało tymczasowo aresztowanych. Zabezpieczono pieniądze, urządzenia mobilne, komputery. -Sprawa ma charakter rozwojowy i niewykluczone są kolejne zatrzymania - poinformowali w maju policjanci z Olsztyna.

Wcześniej, bo w lutym br., sukces odnotowali policjanci z Wielkopolski. Metoda działania oszustów była podobna. Pokrzywdzona kobieta przelała im aż 130 tys. zł na wskazane "konto techniczne" - ratując rzekomo swoje oszczędności. W tej sprawie zatrzymano 7 osób - nie tylko w Poznaniu, ale i Gdańsku oraz Wrocławiu. Czterech podejrzanych od razu trafiło do aresztu.

Niestety, skuteczne działania w różnych częściach kraju procederu nie kończą. W tym przestępczym interesie próżni nie ma - jednych oszustów natychmiast zastępują kolejni.

WAŻNE. Na czym polega spoofing telefoniczny?

• Jednym z najpopularniejszych ataków spoofingowych są te wykorzystujące połączenia telefoniczne. Oficjalna nazwa tego typu ataku to Caller ID Spoofing.
• Cybeprzestępcy używają różnych ogólnodostępnych narzędzi w sieci, które pozwalają dzwoniącemu podszywać się pod dowolnie wybrany przez siebie numer. Najczęściej podają się za pracowników banków lub instytucji państwowych. Zdarza się, że oszuści podają się też za policjantów lub innych urzędników państwowych, próbując wyłudzić dane lub hasła dostępu do różnych usług i serwisów.
• Schematy i scenariusze działań, a także używane argumenty mogą być bardzo urozmaicone. Ataki z wykorzystaniem spoofingu są podobne do ataków phishingowych (opartych na mailach lub SMS-ach), dlatego najlepszą ochroną jest zdrowy rozsądek i zachowanie spokoju.(Za: www.gov.pl).

Polecamy nasze grupy i strony na Facebooku:

• Bieżące wypadki i utrudnienia w Kujawsko-Pomorskiem
• Gdzie dobrze zjeść w Toruniu i okolicach?
• Toruń Retro!
• Sport w Toruniu