15-lecie Forum Technologii Bankowych: Bezpieczeństwo w świecie nowych technologii

„Pomogę włamać się na konto bankowe. Jeśli ktoś jest ci winien pieniądze, a jeszcze ich nie oddał, to dobra opcja. Potrafię to zrobić bez żadnych konsekwencji. Zainteresowany? Napisz”. Nie trzeba surfować w trudno dostępnych czeluściach darknetu, by znaleźć taką ofertę. To jeden z anonsów zamieszczonych w popularnym serwisie ogłoszeniowym, dostępnym dla każdego użytkownika internetu. Obok niego znajdziemy prawdziwą giełdę podejrzanych ofert: „sprzedam konto bankowe”, „wynajmę rachunek za procent przepływów”, „konta na słupa, tanio i pewnie„. Ceny przystępne – od kilkuset do kilku tysięcy złotych w hurcie. Można ukryć dochody, wyłudzać pożyczki i należności za fikcyjne towary, prać pieniądze.

Wyłudzenie danych przelewem weryfikacyjnym jest passe

Włamania na konto, pishing, vishing, smishing. Klienci banków są dziś, jak nigdy dotąd, narażeni na wirtualne ataki przestępców. Metody oszustów cały czas ewoluują. Wraz z rozwojem nowych usług bankowości internetowej i mobilnej oraz systemów płatności pojawiły się też nieznane dotąd formy ataków. Kiedy przed dwoma laty pisałem do „Miesięcznika Finansowego BANK” artykuł o cyberbezpieczeństwie, niektóre z form wyłudzeń powszechnie dziś stosowanych nie były jeszcze znane masowemu odbiorcy. Tak było np. z SIM-Swap – metodą, która w ostatnich miesiącach zbierała żniwo wśród klientów polskich banków. Wyrafinowany atak wykorzystujący podmianę karty SIM w telefonie klienta, skutkujący wyprowadzeniem mu z rachunku bankowego wszystkich oszczędności.

W odróżnieniu od phishingu, oszuści wykorzystujący SIM-Swap biorą na cel konkretną ofiarę i zbierają na jej temat informacje. W szczególności potrzebują danych zamieszczonych w dowodzie, loginu i hasła do banku. Nie są nachalni i zbierają te fakty powoli i systematycznie. Część danych wyłudzają, podszywając się pod pracownika banku lub telefonii komórkowej, inne z serwisów społecznościowych, jeszcze inne, stosując phishing. Zebrane informacje nanoszą wraz ze zdjęciem jednego z oszustów na tzw. kolekcjonerski dowód osobisty. To dokument, który w niczym nie różni się od oryginału (cena ok. 550-650 zł, dostępny legalnie w internecie). Następnie z podrobionym dowodem udają się do placówki operatora telekomunikacyjnego, gdzie, podając się za ofiarę, proszą o zastrzeżenie zgubionej karty SIM. Jednocześnie wyrabiają od ręki duplikat. Mając numer telefonu niezbędny do autoryzowania dyspozycji w bankowości internetowej oraz wyciągnięte metodą phishingową hasło i login do banku, mogą wykonać przelew zewnętrzny z konta ofiary i wyprowadzić wszystkie pieniądze.

Koledze nie pożyczysz?

Podobne ukierunkowane ataki zaczęł...