Scamming out - Najnowsze wiadomości

Jeśli wierzyć specjalistycznym portalom, to u źródeł cyberataku, w wyniku którego wypłynęły dane zdrowotne 19 mln Polaków, był ludzki błąd – powiedział w czwartek w programie WP Tłit wiceminister cyfryzacji Michał Gramatyka.

Po cyberataku na MyDr wykradziono bazę obejmującą dane blisko 19 mln osób. Ma ponad 2 TB. Teraz przestępcy mogą spróbować wykorzystać zdobyte informacje do phishingu i wyłudzeń. Minister cyfryzacji radzi zacząć od zastrzeżenia numeru PESEL.

Organy państwa zareagowały prawidłowo, sprawą zajął się zespół CERT Polska, policja i Urząd Ochrony Danych Osobowych - powiedział PAP redaktor naczelny serwisu ZaufanaTrzeciaStrona.pl Adam Haertle, odnosząc się do wycieku danych osobowych z firmy MyDr.

Masowa produkcja i niskie marże kontra dzieło na zamówienie i wysoki zysk – w wielu branżach można znaleźć przykłady różnego podejścia do rynku. Dotyczy to także internetowych oszustw, gdzie obok siebie funkcjonują masowe wyłudzenia i „polowania z włócznią”.

Fałszywa CAPTCHA każe otworzyć PowerShell i wkleić polecenie. W innej kampanii SMS od „MOPS” prowadzi do formularza, który zbiera PESEL, numer dowodu i dane karty. CERT Orange ostrzega przed dwoma schematami, które w ostatnich dniach trafiły do polskich użytkowników.

Na Facebooku pojawiły się sponsorowane reklamy podszywające się pod Bankier.pl. Oszuści wykorzystują markę serwisu, by zachęcać do przejścia do rzekomego kanału z analizami i poradami inwestycyjnymi. Ostrzegamy: Bankier.pl nie prowadzi takiej akcji.

Przygotowanie sceny, wiarygodna przesłanka, akcja! Tak w skrócie wygląda scenariusz typowego phishingu lub smishingu. W przedstawieniu mniej liczy się technologia, a bardziej socjotechniki, na które łapią się nierzadko nawet świadomi zagrożeń klienci.

Żabka potwierdziła nieautoryzowany dostęp do części swojego zaplecza technicznego. Sprawca wykorzystał konto firmy zewnętrznej. Na forum cyberprzestępczym ktoś oferuje pliki, które mają pochodzić z systemów spółki.

Wiadomość przychodzi z konta osoby zapisanej w telefonie. Nadawca prosi o głos na dziewczynkę walczącą o stypendium i podaje link do konkursu. Potem pojawia się fałszywa weryfikacja przez WhatsApp. Zeskanowanie kodu QR lub przepisanie kodu z aplikacji pozwala oszustowi powiązać własne urządzenie z kontem ofiary.

Oszuści podszywający się pod policjantów i pracowników banków sięgnęli po wideorozmowy. Pokazują mundur, straszą utratą oszczędności i namawiają do przelewu na „bezpieczne konto". Policja i FinCERT.pl przypominają: obraz z kamery nie potwierdza, kim naprawdę jest rozmówca.

W ostatnich latach obserwujemy wyraźną zmianę w sposobie działania cyberprzestępców. Skuteczność ataków takich jak vishing (oszustwa telefoniczne) coraz rzadziej wynika z zaawansowanych technicznych trików, a coraz częściej z umiejętnego przejęcia kontroli nad emocjami, poczuciem czasu i procesem decyzyjnym ofiary.

„Departament bezpieczeństwa banku” dzwoni z numerem identyfikacyjnym, powołuje się na kodeks karny i zakazuje kontaktu z policją. Mój znajomy przeszedł taką rozmowę niemal do końca. Prześledziliśmy ją minuta po minucie, bo w tym scenariuszu każdy element pełni konkretną funkcję.

Sztuczna inteligencja nie wymyśliła phishingu, fałszywych inwestycji ani telefonów od „pracownika banku”. Sprawiła jednak, że takie ataki można przygotować szybciej, taniej i znacznie staranniej. Polskie instytucje mają narzędzia pozwalające reagować w ciągu kilku minut, ale nadal widzą tylko fragment działalności oszustów.

Zdecydowana większość internetowych oszustw ma jeden wspólny etap – wyłudzenie pieniędzy od ofiary. Niezależnie od tego, jaki schemat wykorzystują przestępcy, by doprowadzić do przekazania środków, ostatecznie musi dojść do płatności. To kluczowy moment, w którym oszuści osiągają swój cel. To zwrot ze specyficznie rozumianej „inwestycji”. Chociażby z tego powodu kwestia odpowiedzialności za transakcje płatnicze, które są efektem działań przestępców pozostaje języczkiem u wagi.

Cyberprzestępcy i rosyjska dezinformacja korzystają z tych samych mechanizmów, a wielkie platformy reagują zbyt wolno. Minister cyfryzacji Krzysztof Gawkowski wyjaśnia, jak Polska buduje cyfrową tarczę i dlaczego stawia na sztuczną inteligencję w wykrywaniu zagrożeń. „Reklamy wykorzystywane do wyłudzania pieniędzy powinny być usuwane równie szybko jak inne nielegalne treści” – podkreśla wicepremier.

Jeden dzień z życia redakcji. Rano nasi koledzy z zgłaszają do zablokowania fałszywą reklamę i podrobiony profil „Pulsu Biznesu” na Facebooku. Po kilku godzinach profil znika. Po południu znowu się pojawia. W tym samym czasie na stronie internetowej wyświetla się fejkowa reklama spreparowanego wywiadu na wp.pl…

Już po raz trzeci „Puls Biznesu” i Bankier.pl rozpoczynają kampanię edukacyjną przeciw oszustwom finansowym w cyberprzestrzeni. Tematem kampanii Scamming out 3.0 jest cyberodporność.

Do firm trafiają maile z rzekomymi zamówieniami, których załącznik infekuje komputer i otwiera przestępcom zdalny dostęp. Druga kampania kusi zwrotem podatku i prowadzi na podrobioną stronę e-Urzędu Skarbowego. Chwila nieuwagi i można stracić pieniądze.

Oszuści podszywają się pod PGE, Narodowy Fundusz Zdrowia i InPost. W ostatnich dniach CERT Polska ostrzegł przed kolejnymi kampaniami phishingowymi, w których przynętą są nadpłata za energię, rzekomy zwrot pieniędzy oraz problem z przesyłką.