Scamming out - Najnowsze wiadomości

Przygotowanie sceny, wiarygodna przesłanka, akcja! Tak w skrócie wygląda scenariusz typowego phishingu lub smishingu. W przedstawieniu mniej liczy się technologia, a bardziej socjotechniki, na które łapią się nierzadko nawet świadomi zagrożeń klienci.

Żabka potwierdziła nieautoryzowany dostęp do części swojego zaplecza technicznego. Sprawca wykorzystał konto firmy zewnętrznej. Na forum cyberprzestępczym ktoś oferuje pliki, które mają pochodzić z systemów spółki.

Wiadomość przychodzi z konta osoby zapisanej w telefonie. Nadawca prosi o głos na dziewczynkę walczącą o stypendium i podaje link do konkursu. Potem pojawia się fałszywa weryfikacja przez WhatsApp. Zeskanowanie kodu QR lub przepisanie kodu z aplikacji pozwala oszustowi powiązać własne urządzenie z kontem ofiary.

Oszuści podszywający się pod policjantów i pracowników banków sięgnęli po wideorozmowy. Pokazują mundur, straszą utratą oszczędności i namawiają do przelewu na „bezpieczne konto". Policja i FinCERT.pl przypominają: obraz z kamery nie potwierdza, kim naprawdę jest rozmówca.

W ostatnich latach obserwujemy wyraźną zmianę w sposobie działania cyberprzestępców. Skuteczność ataków takich jak vishing (oszustwa telefoniczne) coraz rzadziej wynika z zaawansowanych technicznych trików, a coraz częściej z umiejętnego przejęcia kontroli nad emocjami, poczuciem czasu i procesem decyzyjnym ofiary.

„Departament bezpieczeństwa banku” dzwoni z numerem identyfikacyjnym, powołuje się na kodeks karny i zakazuje kontaktu z policją. Mój znajomy przeszedł taką rozmowę niemal do końca. Prześledziliśmy ją minuta po minucie, bo w tym scenariuszu każdy element pełni konkretną funkcję.

Sztuczna inteligencja nie wymyśliła phishingu, fałszywych inwestycji ani telefonów od „pracownika banku”. Sprawiła jednak, że takie ataki można przygotować szybciej, taniej i znacznie staranniej. Polskie instytucje mają narzędzia pozwalające reagować w ciągu kilku minut, ale nadal widzą tylko fragment działalności oszustów.

Zdecydowana większość internetowych oszustw ma jeden wspólny etap – wyłudzenie pieniędzy od ofiary. Niezależnie od tego, jaki schemat wykorzystują przestępcy, by doprowadzić do przekazania środków, ostatecznie musi dojść do płatności. To kluczowy moment, w którym oszuści osiągają swój cel. To zwrot ze specyficznie rozumianej „inwestycji”. Chociażby z tego powodu kwestia odpowiedzialności za transakcje płatnicze, które są efektem działań przestępców pozostaje języczkiem u wagi.

Cyberprzestępcy i rosyjska dezinformacja korzystają z tych samych mechanizmów, a wielkie platformy reagują zbyt wolno. Minister cyfryzacji Krzysztof Gawkowski wyjaśnia, jak Polska buduje cyfrową tarczę i dlaczego stawia na sztuczną inteligencję w wykrywaniu zagrożeń. „Reklamy wykorzystywane do wyłudzania pieniędzy powinny być usuwane równie szybko jak inne nielegalne treści” – podkreśla wicepremier.

Jeden dzień z życia redakcji. Rano nasi koledzy z zgłaszają do zablokowania fałszywą reklamę i podrobiony profil „Pulsu Biznesu” na Facebooku. Po kilku godzinach profil znika. Po południu znowu się pojawia. W tym samym czasie na stronie internetowej wyświetla się fejkowa reklama spreparowanego wywiadu na wp.pl…

Już po raz trzeci „Puls Biznesu” i Bankier.pl rozpoczynają kampanię edukacyjną przeciw oszustwom finansowym w cyberprzestrzeni. Tematem kampanii Scamming out 3.0 jest cyberodporność.

Do firm trafiają maile z rzekomymi zamówieniami, których załącznik infekuje komputer i otwiera przestępcom zdalny dostęp. Druga kampania kusi zwrotem podatku i prowadzi na podrobioną stronę e-Urzędu Skarbowego. Chwila nieuwagi i można stracić pieniądze.

Oszuści podszywają się pod PGE, Narodowy Fundusz Zdrowia i InPost. W ostatnich dniach CERT Polska ostrzegł przed kolejnymi kampaniami phishingowymi, w których przynętą są nadpłata za energię, rzekomy zwrot pieniędzy oraz problem z przesyłką.

Jeśli coś działa, to lepiej nie psuć – z takiego założenia wychodzą oszuści eksplorujący klasyczne formy wyłudzeń. Phishing „od kuriera”, „zwrot podatku”, wyłudzenie na niezapłacony mandat mają regularnie swoje nowe, ulepszone wersje. Ostatnie dni przynoszą świeże przykłady.

Dwie kampanie phishingowe, dwa różne pretekstyty, jeden mechanizm końcowy – formularz po drugiej stronie linku, który prosi o dane karty. Pierwsza podszywa się pod operatora autostrady, druga pod zakład ubezpieczeń.

PKO BP rekomenduje klientom zgłaszanie wyjazdów zagranicznych pod kątem bezpieczeństwa płatności. Taka informacja może mieć znaczenie przy analizie transakcji kartą.

Miniony tydzień to fala oszustw żerujących na zakupach. Fałszywy mail „od Allegro", podrobiona aplikacja mBanku, phishing z uczelnianych skrzynek i wyciek 1,3 TB danych u producenta Ozempicu. Przegląd najgłośniejszych scamów.

Deepfake z Julią Wieniawą i Igą Świątek na mundial, podrobione alerty Gmaila i fałszywe wiadomości „na Booking". CERT Orange, CERT Polska i NASK opisały trzy świeże kampanie oszustów. Łączy je jedno: znana marka albo znana twarz zamiast literówek i niezdarnej polszczyzny.

Cyberprzestępcy wykorzystują popularność ChatGPT i innych narzędzi AI, by podsuwać użytkownikom fałszywe instalatory. Pułapka jest o tyle groźna, że ofiara może najpierw trafić na link wyglądający wiarygodnie, nawet prowadzący przez prawdziwą domenę znanej usługi.