Koniec roku to doskonały sezon dla handlu elektronicznego. Najpierw Black Friday, potem zakupowe szaleństwo przed Mikołajkami i Bożym Narodzeniem. Z okazji korzystają także oszuści, którzy zastawiają sidła na mniej uważnych internautów.
Sezonowe mody spotkać można w wielu branżach, a wyjątkiem nie jest wcale specyficzny światek internetowych oszustów. Przestępcy stale szukają słabych punktów swoich ofiar i dopasowują się do otoczenia. Gdy triumfy na inwestycyjnym rynku święciły kryptowaluty, wabikiem w różnego typu schematach „spod ciemnej gwiazdy” były zyski z tokenów. Gdy głośno stało się o sztucznej inteligencji, hasło AI wykorzystano w promocji oszustw inwestycyjnych.
W końcówce roku „na topie” są internetowe zakupy. Przygotowaliśmy krótki przegląd schematów, przed którymi w ostatnim czasie ostrzegają eksperci śledzący przestępcze mody.
„Paczka czeka”, wabi cię z daleka
Schemat „na paczkę” nie jest nowy, ale w okresie przedświątecznym prawie każdy czeka na jakąś przesyłkę. Łatwiej zatem ulec złudzeniu, że trafiająca do nas wiadomość nie jest elementem masowej kampanii prowadzonej na ślepo, lecz indywidualnie zaadresowanym komunikatem.
Jak informuje serwis Niebezpiecznik, najczęściej rzekomym nadawcą wiadomości jest Poczta Polska albo InPost. Komunikat może mieć formę SMS-a lub e-maila. Z treści dowiadujemy się, że np.:
- przesyłka nie została w pełni opłacona,
- brakuje elementu danych adresowych i nie można dostarczyć paczki,
- adresat musi pokryć opłaty celne.
Stałym elementem przekazu jest link, który umożliwia uzupełnienie danych lub dokonanie opłaty. Po kliknięciu w odnośnik jesteśmy przenoszeni na podrobioną stronę operatora pocztowego lub innego „pośrednika”. Zwykle umieszczony tam formularz wymaga podania danych karty płatniczej, a następnie potwierdzenia transakcji.
Promocje takie, że głowa mała
Fałszować można serwisy bankowe, agregatorów płatności, firmy pocztowe lub… całe sklepy internetowe. Taką ścieżkę wybierali w ostatnim czasie niektórzy oszuści, jak donosi, pokazując kilka przykładów, Centrum Edukacji dla Bezpieczeństwa Rynku Finansowego przy Urzędzie Komisji Nadzoru Finansowego.
Zarzucenie wabika opiera się zazwyczaj na reklamach wyświetlanych w serwisach społecznościowych lub wyszukiwarkach. Przestępcy promują swój „e-sklep” za pomocą płatnych kampanii, podszywając się pod znane marki. W treści reklamy uwagę zwracają okazyjne ceny (ale skala promocji nie powinna raczej wzbudzić podejrzeń potencjalnej ofiary). Po kliknięciu w link trafiamy na stronę przypominającą designem oryginalny serwis. Jest lista produktów, koszyk i wszystkie mechanizmy typowe dla normalnych e-shopów.
Celem istnienia takich „dyskontów” nie jest oczywiście sprzedaż ubrań czy butów, a raczej wyłudzenie pieniędzy. Proces zakupowy kończy się po dokonaniu płatności – obiecany towar nigdy nie nadejdzie.
Koniec subskrypcji – trzeba zapłacić
Święta bez dostępu do rozrywki – taką czarną wizją straszą potencjalne ofiary przestępcy w innym ze schematów wyłudzających dane kart płatniczych. Mail phishingowy informujący o wygaśnięciu subskrypcji do serwisu streamingowego nie jest niczym nowym. Jak informuje CEBRF, pojawiają się także nowe warianty schematu, w których jest nie tylko „kijek” (zaktualizuj dane, bo stracisz dostęp), ale także „marchewka” (90 dni za darmo).
Jak w każdej kampanii phishingowej występuje tutaj wyraźnie sformułowane wezwanie do działania (kliknij w link), a na dalszym etapie (podrobiona strona internetowa) pozyskuje się wrażliwe dane lub dokonuje oszukańczej transakcji.
Zawsze zwracaj uwagę na adres
Niezależnie od wariantu oszustwa elementem, który demaskuje przestępców, jest adres podrobionej witryny. Nawet jeśli klikniemy zatem w link prowadzący do pułapki, mamy szansę zorientować się, że znajdujemy się w innym serwisie, niż się spodziewaliśmy. Typowe chwyty oszustów opierają się na:
- użyciu właściwej nazwy domeny, ale tylko jako elementu adresu (np. wlasciwysklep.pl.x3212.com),
- tworzeniu nowej domeny z użyciem nazwy oryginalnej (np. wlasciwysklepdyskont.pl),
- użyciu podobnych „na oko” znaków w nazwie, co może umknąć uwadze ofiary (np. wlasciwysk1ep.pl).
Jeśli mamy nawet cień podejrzeń, czy wiadomość pochodzi z oryginalnego źródła lub czy np. formatka płatności, strona logowania banku lub inna witryna to nie fałszywka, koniecznie zweryfikujmy ten element (np. wchodząc „ręcznie” na odpowiednią stronę).
