Fałszywe reklamy wyświetlane na platformach Mety, kierowały internautów do aplikacji dostępnej w Google Play, która mogła generować opłaty bez świadomej zgody użytkownika - wynika z analizy opublikowanej w środę przez CERT Polska. Opłata mogła m.in. zostać doliczona do rachunku abonamentowego.
W środę CERT Polska opisał na swojej stronie internetowej kampanię prowadzoną przez cyberprzestępców w celu wyłudzenia pieniędzy od Polaków, korzystających zarówno z Facebooka, jak i Androida.
W ramach analizy prowadzonej między 14 a 21 września br. CERT Polska zabezpieczył 1 tys. 235 reklam Meta. Z tej grupy 852 reklamy, publikowane pod 60 nazwami, promowały 17 aplikacji z Google Play powiązanych z opisywaną kampanią cyberprzestępców.
Z analizy wynika, że użytkownikom pokazywały się na Facebooku reklamy, które fałszywie wskazywały m.in., że aplikacja do otwierania PDF-ów rzekomo „straciła ważność” i trzeba ją zaktualizować. Po kliknięciu w reklamę użytkownik trafiał jednak do sklepu Google Play, gdzie instalował zupełnie inną aplikację - np. „Messenger Pro”.
Aplikacja ta rzeczywiście działała jak komunikator i mogła poprosić użytkownika o ustawienie jej jako domyślnej aplikacji do obsługi wiadomości SMS. Taki mechanizm mógł wydawać się dla użytkownika wiarygodny, a w rzeczywistości umożliwiał dalsze prowadzenie oszustwa - podkreślili eksperci CERT Polska. W tle „Messenger Pro” pobierał fragmenty złośliwego oprogramowania stworzonego przez cyberprzestępców. Oprogramowanie mogło z kolei aktywować na smarfonie płatne usługi m.in. SMS bez wiedzy i zgody użytkownika.
Jak podali eksperci, w wyłudzenie pieniędzy mogło przebiegać na dwa sposoby. W jednym wariancie złośliwe oprogramowanie mogło samo przygotować i wysłać SMS-y Premium na płatne numery. Koszt jednego SMS-a wynosił 30,75 zł brutto. W przypadku telefonu na abonament opłata mogła zostać doliczona do rachunku.
Drugi wariant oszustwa był bardziej skomplikowany - podał CERT Polska. Złośliwe oprogramowanie było w stanie samo otworzyć stronę służącą do płatności za dodatkowe usługi, wpisać numer telefonu, a następnie przechwycić SMS z kodem potwierdzającym zakup i użyć tego kodu. W tym scenariuszu „użytkownik może w ogóle nie zobaczyć strony ani wiadomości weryfikacyjnej” - podkreślili specjaliści. Dodali, że podczas analizy trafili m.in. na usługę kosztującą 17 zł co siedem dni. Opłata mogła zostać pobrana ze środków dostępnych na koncie telefonu na kartę lub zostać doliczona do rachunku abonamentowego.
CERT Polska poinformował, że zgłosił „Messenger Pro” firmie Google 15 września, a ta usunęła aplikację ze Sklepu Play. Nie jest więc już możliwe jej pobieranie, jednak ruch Google nie wpłynął na aplikacje znajdujące się już na urządzeniach użytkowników - zaznaczyli eksperci. Dodali, że w trakcie analizy infrastruktura cyberprzestępców nadal była aktywna.
„Wszystkie aplikacje odkryte podczas analizy zgłosiliśmy firmie Google, a Google usunęło je ze sklepu. Meta usunęła również zgłoszone przez nas reklamy, choć inne reklamy w ramach tej samej operacji mogły pozostać aktywne bez naszej wiedzy albo wygasnąć samoistnie” - wskazali eksperci w podsumowaniu analizy.
Zaznaczyli, że operacja cyberprzestępców wykorzystywała jednocześnie Facebooka i Google Play. „Publikacja na platformie Meta służyła do pozyskiwania polskich użytkowników za pomocą płatnych reklam. Reklamy wyświetlane w znanym użytkownikowi strumieniu aktualności czerpią wiarygodność z samej platformy, dlatego fałszywe ostrzeżenia o plikach PDF wyglądały jak zwykła promocja produktu. Google Play zapewniał natomiast sposób instalacji, który użytkownicy uznają za sprawdzony i godny zaufania” - wskazał ponadto CERT Polska.
Eksperci nie podali, ile osób mogło paść ofiarą operacji cyberprzestępców ani wysokości wyłudzonej kwoty.
W 2025 r. CERT Polska zarejestrował 3 tys. 438 incydentów związanych ze złośliwym oprogramowaniem. Z kolei zespół CSIRT KNF w minionym roku zablokował 9 tys. 751 oszukańczych reklam na Facebooku. Zgłosił również 4 tys. 358 profili publikujących fałszywe reklamy, co stanowi wzrost o 41,95 proc. w porównaniu do roku 2024.
CERT Polska to zespół działający w strukturach NASK - Państwowego Instytutu Badawczego, powołany w 1996 roku do reagowania na incydenty bezpieczeństwa komputerowego. (PAP)
mbl/ drag/
