„Departament bezpieczeństwa banku” dzwoni z numerem identyfikacyjnym, powołuje się na kodeks karny i zakazuje kontaktu z policją. Mój znajomy przeszedł taką rozmowę niemal do końca. Prześledziliśmy ją minuta po minucie, bo w tym scenariuszu każdy element pełni konkretną funkcję.
Vishing, czyli oszustwo prowadzone głosem, przez telefon, dawno przestał być prymitywną prośbą o hasło. To dziś kilkuetapowa rozmowa z podziałem ról, scenariuszem i technicznymi rekwizytami. Ktoś ten scenariusz napisał, przetestował na dziesiątkach ofiar i dopracował tak, żeby prowadził człowieka za rękę od pierwszego „dzień dobry” aż do wpłatomatu.
Mój znajomy, nazwijmy go Marcinem, przeszedł taką rozmowę prawie w całości. Pieniędzy nie stracił. Przyznaje jednak, że przez kilkanaście minut scenariusz działał na nim dokładnie tak, jak miał działać. Rzadko udaje się zobaczyć całą konstrukcję od środka, z relacji kogoś, kto zdążył się wycofać i pamięta kolejność ciosów.
„Trzeba pilnie zabezpieczyć środki”
Sama historia, którą usłyszał, mieści się w trzech zdaniach. Dzwoni departament bezpieczeństwa PKO BP, bo ktoś na jego dane zaciągnął w banku pożyczkę. Sprawa jest częścią szerszego dochodzenia, więc obowiązuje tajemnica, a policji ani nikomu innemu mówić nie wolno. Środki na pozostałych rachunkach trzeba pilnie zabezpieczyć, a bank powie, jak to zrobić.
Wszystko w tej opowieści jest nieprawdą, łącznie z pożyczką. Ale trzyma się kupy na tyle, żeby przez kilkanaście minut brzmieć jak coś, co faktycznie mogło się wydarzyć.
Rozłóżmy tę rozmowę na części.
Element 1. Odwrócona weryfikacja
Telefon zaczyna się od legitymowania, tyle że w drugą stronę niż zwykle. Normalnie to klient musi udowodnić bankowi, kim jest. Tutaj rozmówca sam podaje imię, nazwisko i numer identyfikacyjny pracownika, po czym prosi, żeby to zanotować. „Żeby mógł mnie pan później wskazać”. Oszust dobrowolnie zostawia swoje dane, czyli robi coś, czego oszust robić nie powinien. Odkłada się myśl, że skoro się nie kryje, pewnie mówi prawdę.
Drugi ruch jest równie ważny. To dzwoniący ma sprawę i to on przedstawia szczegóły rzekomej pożyczki, a ofiara ma je tylko potwierdzić albo zaprzeczyć. Rozmowa od początku toczy się na jego warunkach. Marcin, zamiast pytać „kim pan właściwie jest”, od pierwszej minuty odpowiada na cudze pytania. To ustawienie utrzyma się już do końca.
Element 2. Filtr: ile masz i gdzie
Zanim scenariusz ruszy dalej, pada pytanie o rachunki i przybliżone kwoty. Marcin bronił się dziesięć minut, zanim podał ogólne widełki. W tej fazie nie chodzi jeszcze o dane, które same w sobie pozwalają cokolwiek ukraść. To filtr rentowności. Oszust sprawdza, czy warto poświęcać kolejne minuty. Jeśli na koncie leżą grosze, rozmowa się urywa. Jeśli jest co brać, przechodzi do kolejnego etapu.
Pytanie o majątek na wczesnym etapie rozmowy to nie ciekawość. To kalkulacja.
Element 3. Straszak prawny i izolacja
Tu scenariusz zmienia bieg. Rozmówca przedstawia sprawę jako szeroko zakrojoną akcję zorganizowanej grupy, prawdopodobnie z udziałem skorumpowanych pracowników banku. Skoro tak, wszystko objęte jest tajemnicą śledztwa. A skoro tajemnicą, to każda rozmowa z osobą trzecią, z policją, z rodziną, staje się „utrudnianiem śledztwa”, za które grożą wymieniane z numerami artykuły kodeksu karnego.
To najważniejszy element całej konstrukcji. Oszust odcina ofiarę od jedynej rzeczy, która mogłaby go zdemaskować, czyli od cudzej perspektywy. Wystarczyłoby, żeby Marcin powiedział o telefonie żonie albo oddzwonił na infolinię z numeru ze strony banku. Groźba prokuratury ma sprawić, że tego nie zrobi.
Na marginesie: sama groźba jest prawnie pusta. Nie istnieje przepis, który każe obywatelowi milczeć o telefonie od rzekomego pracownika banku, a już na pewno nie ma czegoś takiego jak zakaz kontaktu z policją nałożony przez bank. Poszkodowany nie może „zepsuć śledztwa”, o którym dowiaduje się od kogoś dzwoniącego z nieznanego numeru. W praktyce to działa dlatego, że mało kto zna kodeks karny na tyle dobrze, żeby w ciągu dwóch sekund podważyć wyrecytowany numer artykułu.
Element 4. Ciągłość linii
Powiązany chwyt, techniczny, ale kluczowy. Ofiara ma nie rozłączać się ani na moment, a odłożenie słuchawki jest z góry zdefiniowane jako brak współpracy ze śledztwem. W praktyce chodzi o niedopuszczenie do przerwy. Przerwa to oddech, refleksja, rozmowa z kimś, moment, w którym niespójności same wychodzą na wierzch. Dopóki linia jest zajęta, ofiara zostaje sama ze scenariuszem oszusta.
Element 5. Podstawiona wiarygodność techniczna
Po zebraniu wstępnych danych następuje przekazanie „do pracownika operacyjnego”. Dzwoni druga osoba. Nowy rozmówca legitymuje się SMS-em z BIK-u.
I tu pojawia się chwyt, którego prawie nikt nie rozpoznaje. Marcin minutę wcześniej sam zalogował się do BIK-u, żeby sprawdzić sytuację, i dostał prawdziwy kod autoryzacyjny. Fałszywa wiadomość oszustów wpadła do tego samego wątku SMS-ów, obok autentycznej. Telefon grupuje wiadomości po nazwie nadawcy, a tę w SMS-ach można podszyć. Podróbka ląduje więc tuż przy oryginale i pożycza sobie jego wiarygodność. To już nie jest chwyt psychologiczny, tylko wykorzystanie tego, jak działa nasz telefon.
Element 6. Absurd, który ujawnia scenariusz
Finał planu brzmiał tak. Pójść do oddziału incognito, poprosić o najwyższą możliwą pożyczkę, nagrywać reakcje pracowników telefonem, bo kamery rzekomo nie rejestrują dźwięku, wypłacić gotówkę i zanieść ją do wskazanego wpłatomatu, żeby „zabezpieczyć środki” i „wyzerować zdolność kredytową”.
W tym miejscu konstrukcja się posypała, bo instrukcje przestały mieć jakikolwiek sens. Marcin zaczął zadawać pytania, których nie było w skrypcie. Dlaczego zamiast zablokować nielegalną pożyczkę bank każe mu brać kolejną? Czemu jedynym bezpiecznym miejscem dla gotówki jest anonimowy wpłatomat? Dlaczego BIK nie wysłał alertu, zanim sprawa trafiła do „działu bezpieczeństwa”?
Na pytania spoza scenariusza oszust nie miał odpowiedzi. Ton się podniósł, groźby wróciły ze zdwojoną siłą, a starannie ukrywany akcent zaczął się wymykać w chwilach irytacji. Po kolejnym pytaniu połączenie zostało zerwane.
Dlaczego to działa nie tylko na naiwnych?
Marcin przyznaje, że ma do siebie żal, że dał się trzymać na linii tak długo. Jego przypadek pokazuje jednak coś ciekawszego niż osobista wpadka. Tydzień wcześniej skradziono mu rower, z sakwą, w której mogły leżeć dokumenty. Kiedy więc usłyszał, że ktoś zaciągnął pożyczkę na jego dane, historia wpasowała się w lęk, który już w nim siedział. Do tego oszust znał jego imię, choć numer był zarejestrowany wcześniej na jego ojca i przez pewien czas używał go zupełnie inny człowiek. Kolejny sygnał, że to musi być prawdziwe.
Te scenariusze nie liczą na głupotę. Liczą na zbieg okoliczności, presję czasu i odcięcie od czyjejś trzeźwej oceny. Skuteczność bierze się stąd, że trafiają w konkretny moment w życiu konkretnego człowieka.
Jak przerwać scenariusz?
Reguła jest banalnie prosta. Żaden bank nie poprosi cię o zaciągnięcie pożyczki i zaniesienie gotówki do wpłatomatu. Żaden dział bezpieczeństwa nie zakaże ci kontaktu z policją.
Jeśli odbierasz taki telefon, rozłącz się. Odczekaj chwilę i sam zadzwoń na infolinię banku, wpisując numer ze strony instytucji albo z odwrotu karty. Nie oddzwaniaj na numer, z którego dzwoniono, i nie ufaj przełączeniu „do innego działu” w ramach tego samego połączenia. Ta jedna przerwa zwykle wystarcza, żeby całość się rozsypała.
