Czy naprawdę nie przesadza się z tymi apelami o ostrożność w sieci?
Kontynuując tematykę szeroko rozumianego oszustwa komputerowego, tym razem warto skupić się na tematyce związanej mniej z samymi regulacjami prawnymi, a bardziej z konkretnymi sytuacjami, zachowaniami czy też zdarzeniami, które stanowią przestępstwa i które narażają nas na poważne straty materialne i emocjonalne.
Nie zamierzam w tym wpisie tworzyć kolejnego poradnika z cyklu czego nie robić lub jak się ustrzec, gdyż mimo że takich jest sporo, zarówno na stronach "oficjalnych" instytucji rządowych, samorządowych itp., jak i prywatnych, to nadal zjawiska te występują i ludzie codziennie stają się ich ofiarami.
Wprawdzie przestępcy - jak to się popularnie określa - cały czas zmieniają bądź doskonalą swoje metody działania, to tak naprawdę największym problemem jest w istocie daleko posunięty brak ostrożności, naiwność, a nawet towarzysząca od zawsze części osób wiara w możliwość szybkiego wzbogacenia się. Dość powiedzieć, że mimo wyrafinowanych metod oszustw komputerowych, wspomaganych lub posługujących się tzw. AI i jej wytworami, nadal jeszcze można tu i ówdzie natknąć się na amatorów przysłowiowej gry "w trzy kubki" ...
Ale przecież mam najlepsze programy zabezpieczające a bank zapewnia mnie o najwyższych standardach zapobiegania cyberprzestępczości, więc w czym problem?
Na bazie praktyki i jednocześnie przykrych spraw, z jakimi zgłaszają się do mnie obywatele z Katowic oraz terenu całego Śląska, mogę stwierdzić jedno - to zawsze ofiara decyduje ostatecznie o tym czy wypłaca pieniądze i je komuś przekazuje czy też "klika" w podsuwane jej linki, a przez to nawet nie wiedząc jak, udostępnia wręcz swoje dane logowania do konta, które natychmiast przejmują przestępcy. Niestety niejednokrotnie dostrzec można opieszałość lub niechęć do zajmowania się tymi problemami po stronie banków lub nierzadko organów ścigania, choć jeśli chodzi o te ostatnie, to też trudno oczekiwać, aby funkcjonariusz w jakimś małym komisariacie dysponował nagle niezwykle fachową wiedzą, a przede wszystkim doświadczeniem, by prowadzić postępowanie, jakie winny być zarezerwowane mimo wszystko dla wyspecjalizowanych ku temu jednostek organów ścigania. Rzecz ma się lepiej w przypadku większych jednostek (np. w Katowicach, Chorzowie itp.), ale z kolei tutaj często pojawia się problem ilości tych spraw oraz po prostu braku wystarczającej ilości funkcjonariuszy w tych jednostkach.
Analizując prowadzone sprawy wypada powiedzieć też, że bank w ogóle nie widzi większego problemu, jeśli nagle jednego dnia z czyjegoś konta zawierane jest (rzecz jasna "online) kilka kredytów (pożyczek) - w tym nawet jeden z tymże bankiem! - a po udostępnieniu środków natychmiast tegoż samego dnia są one przelewane na inne rachunki bankowe lub też następują wypłaty środków z tego konta 1500km dalej w jakimś uroczym zakątku Europy i nie tylko... Reakcja banku zazwyczaj następuje dopiero na wyraźne żądanie i zgłoszenie przestępstwa poszkodowanej osoby i po zablokowaniu rachunku oraz innych czynnościach następuje przeważnie dość szybko wręczenie takiej osobie... harmonogramu spłat zawartej przez przestępców "na nią" pożyczki (sic!).
Czymże więc jest ów phishing ukierunkowany na przejęcie danych do konta bankowego i na czym on polega, jak wygląda w praktyce?
Phishing ukierunkowany na przejęcie danych do konta bankowego jest jedną z najczęściej spotykanych form cyberprzestępczości, której celem jest uzyskanie przez sprawców nieuprawnionego dostępu do rachunku bankowego pokrzywdzonego. Polega on na świadomym wprowadzeniu ofiary w błąd poprzez podszywanie się pod zaufaną instytucję – najczęściej bank, operatora płatności, firmę kurierską, urząd państwowy lub inny podmiot cieszący się społecznym zaufaniem – w celu nakłonienia jej do ujawnienia poufnych danych uwierzytelniających lub wykonania określonych czynności umożliwiających przejęcie kontroli nad rachunkiem bankowym.
Mechanizm działania phishingu opiera się przede wszystkim na manipulacji psychologicznej (tzw. socjotechnice). W przeciwieństwie do klasycznych ataków hakerskich, w których sprawca przełamuje zabezpieczenia techniczne systemów informatycznych, phishing wykorzystuje zaufanie, pośpiech, strach lub niewiedzę użytkownika. Przestępcy starają się doprowadzić do sytuacji, w której sama ofiara dobrowolnie przekazuje informacje stanowiące dane uwierzytelniające lub autoryzuje operacje finansowe, nie zdając sobie sprawy, że działa na rzecz sprawcy.
Do najczęściej wykorzystywanych kanałów komunikacji należą wiadomości e-mail, wiadomości SMS (smishing), połączenia telefoniczne (vishing), komunikatory internetowe oraz media społecznościowe. Treść wiadomości jest zazwyczaj przygotowana w taki sposób, aby wywołać u odbiorcy poczucie zagrożenia lub konieczności natychmiastowego działania. Przykładowo sprawca może informować o rzekomej blokadzie konta, podejrzanej transakcji, konieczności aktualizacji danych bezpieczeństwa, wygaśnięciu certyfikatów bezpieczeństwa, nieopłaconej płatności lub potrzebie potwierdzenia tożsamości.
Bardzo często wiadomości zawierają odnośnik prowadzący do strony internetowej, która wizualnie niemal całkowicie odpowiada oficjalnej stronie banku. Fałszywe witryny są projektowane w taki sposób, aby użytkownik nie dostrzegł różnic pomiędzy nimi a prawdziwym serwisem bankowości elektronicznej. W praktyce kopiowane są logotypy, kolorystyka, układ graficzny, formularze logowania oraz elementy identyfikacji wizualnej banku. Zdarza się również wykorzystywanie nazw domen różniących się od oryginalnych jedynie pojedynczym znakiem, dodatkową literą lub nietypowym rozszerzeniem.
Po wejściu na taką stronę użytkownik zostaje poproszony o wpisanie danych logowania do bankowości elektronicznej, takich jak identyfikator klienta, login, hasło, numer PESEL, numer karty płatniczej, data jej ważności, kod CVV/CVC, a niekiedy także odpowiedzi na pytania weryfikacyjne. Coraz częściej przestępcy dążą również do uzyskania jednorazowych kodów autoryzacyjnych przesyłanych wiadomością SMS, kodów generowanych przez tokeny lub zatwierdzenia operacji w aplikacji mobilnej banku.
W bardziej zaawansowanych przypadkach phishing może polegać na nakłonieniu ofiary do zainstalowania aplikacji, która w rzeczywistości stanowi złośliwe oprogramowanie. Takie oprogramowanie może przechwytywać wpisywane dane, wyświetlać fałszywe formularze logowania, przejmować wiadomości SMS zawierające kody autoryzacyjne lub umożliwiać zdalne sterowanie urządzeniem użytkownika. Często przestępcy wykorzystują również aplikacje służące do zdalnego dostępu do komputera lub telefonu, przekonując ofiarę, że są one niezbędne do usunięcia rzekomego problemu technicznego.
"Namierzają mnie" i inne tego rodzaju hasła to przecież raczej objaw obsesji!
Szczególną odmianą phishingu jest tzw. spear phishing, czyli phishing ukierunkowany. W tym przypadku sprawcy nie wysyłają masowych wiadomości do przypadkowych osób, lecz wcześniej zbierają informacje o konkretnej ofierze. Analizują jej aktywność w mediach społecznościowych, miejsce zatrudnienia, dane kontaktowe oraz inne publicznie dostępne informacje. Następnie przygotowują wiadomość dostosowaną do konkretnej osoby, co znacząco zwiększa jej wiarygodność. Odbiorca może odnieść wrażenie, że wiadomość pochodzi od jego banku, pracodawcy, współpracownika lub osoby, z którą rzeczywiście utrzymuje kontakt.
Przejęcie danych do bankowości elektronicznej może prowadzić do szeregu negatywnych konsekwencji. Najczęściej sprawcy dokonują nieautoryzowanych przelewów z rachunku bankowego, zakładają nowe instrumenty finansowe, zlecają płatności internetowe, uzyskują dostęp do danych osobowych zgromadzonych przez bank lub wykorzystują konto do dalszej działalności przestępczej, w tym prania pieniędzy. W wielu przypadkach szkoda majątkowa powstaje w bardzo krótkim czasie od momentu przejęcia danych uwierzytelniających.
Warto podkreślić, że współczesne ataki phishingowe są coraz bardziej profesjonalne. Przestępcy wykorzystują automatyczne systemy wysyłki wiadomości, certyfikaty bezpieczeństwa HTTPS, grafiki identyczne z wykorzystywanymi przez banki, a także sztuczną inteligencję do tworzenia poprawnych językowo i przekonujących komunikatów. Powoduje to, że rozpoznanie oszustwa staje się coraz trudniejsze nawet dla osób posiadających doświadczenie w korzystaniu z bankowości elektronicznej.
A konkretnie Panie Mecenasie to co to ten phishing?
Do najbardziej charakterystycznych cech phishingu należą:
- podszywanie się pod zaufaną instytucję;
- wywoływanie presji czasu lub poczucia zagrożenia;
- nakłanianie do kliknięcia w link lub otwarcia załącznika;
- żądanie podania poufnych danych uwierzytelniających;
- nakłanianie do zatwierdzenia operacji w aplikacji bankowej;
- wykorzystywanie stron internetowych imitujących oficjalne serwisy banków.
Co więc robić a czego nie, jak się zachować?
Podstawowym sposobem ochrony przed phishingiem jest zachowanie zasady ograniczonego zaufania. Użytkownik nie powinien logować się do bankowości elektronicznej za pośrednictwem linków otrzymanych w wiadomościach e-mail lub SMS. Zaleca się samodzielne wpisywanie adresu strony banku w przeglądarce lub korzystanie wyłącznie z oficjalnej aplikacji mobilnej. Należy również każdorazowo sprawdzać adres strony internetowej, treść komunikatów autoryzacyjnych oraz dane transakcji przed ich zatwierdzeniem. Banki nie proszą swoich klientów o podawanie pełnych haseł, kodów autoryzacyjnych czy instalowanie dodatkowego oprogramowania umożliwiającego zdalny dostęp do urządzenia.
W praktyce organów ścigania phishing ukierunkowany na przejęcie danych do kont bankowych jest obecnie uznawany za jedną z najpoważniejszych form cyberoszustw, ponieważ umożliwia sprawcom uzyskanie natychmiastowego dostępu do środków finansowych pokrzywdzonych, a jednocześnie często utrudnia identyfikację osób odpowiedzialnych za przestępstwo ze względu na wykorzystywanie zagranicznych serwerów, anonimowych domen internetowych, sieci VPN oraz rachunków bankowych należących do tzw. słupów.