Nowa podstępna metoda cyberataku z użyciem kodu QR

Trwający sezon wyprzedażowy to czas szczególnej aktywności cyberprzestępców. Hakerzy często korzystają z zabiegów socjotechnicznych, których popularność nie słabnie, gdyż wciąż znajdują się ludzie podatni na manipulacje.

Klienci sklepów online muszą więc być szczególnie ostrożni, ponieważ w gorączce zakupów łatwo jest dać się nabrać nawet na najprostsze oszustwa.

W ostatnim czasie nasilają się takie formy popularnego phishingu, których celem są smartfony lub inne urządzenia mobilne.

Złośliwe aplikacje, szczególnie na urządzenia z systemem Android, mogą być również wykorzystywane do wyłudzania danych finansowych i uwierzytelniających

Telefoniczna wersja phishingu jest czasami określana jako „vishing”, a oszustwa z wykorzystaniem wiadomości tekstowych nazywane są „smishingiem”.

Czytaj także: Bonus 900 zł od Santander Bank Polska? Uwaga na nowe oszustwo na Facebooku!

Zagrożenia nie dotyczą wyłącznie użytkowników komputerów stacjonarnych

Próby phishingu mobilnego dotykają szczególnie często kupujących w sklepach internetowych. Więcej użytkowników niż kiedykolwiek używa do zakupów swoich smartfonów.

– Chociaż urządzenia te mogą wydawać się mniej podatne na zagrożenia, w rzeczywistości tak nie jest. Klienci sklepów internetowych mogą otrzymywać fałszywe wiadomości tekstowe, które wydają się pochodzić na przykład od znanych im sprzedawców – tłumaczy Jolanta Malak, dyrektor Fortinet w Polsce.

– Wiadomości tego rodzaju zazwyczaj zawierają link, który po kliknięciu przekierowuje na fałszywą stronę internetową. Wygląda ona jak prawdziwa strona sprzedawcy, ale ma na celu wyłudzenie informacji umożliwiających identyfikację użytkownika. Złośliwe aplikacje, szczególnie na urządzenia z systemem Android, mogą być również wykorzystywane do wyłudzania danych finansowych i uwierzytelniających ‒ wyjaśnia Jolanta Malak.

Chociaż urządzenia te (smartfony) mogą wydawać się mniej podatne na zagrożenia, w rzeczywistości tak nie jest

W przypadku vishingu cyberprzestępcy wykorzystują połączenia telefoniczne, aby uzyskać osobiste informacje od rozmówców, a stosują wobec nich różne sztuczki socjotechniczne (np. podają „pilną” wiadomość o ostatnim zamówieniu), aby nakłonić ich do przekazania np. danych logowania.

Paradoksalnie, w celu przeprowadzenia takich ataków przestępcy często wykorzystują naturalny strach przed oszustwami. Przykładowa wiadomość na poczcie głosowej może brzmieć: „Uwaga, twoje konto bankowe zostało zablokowane z powodu podejrzanej aktywności. Zadzwoń do nas natychmiast, aby przywrócić dostęp”. Następnie, gdy ofiara oddzwania, jest proszona o podanie poufnych informacji, które są później wykorzystywane w szkodliwy sposób.

Regularnie trzeba zmieniać hasła do logowania, a najlepiej korzystać z menedżerów haseł

– Aby uniknąć konsekwencji vishingu i smishingu, przed podaniem jakichkolwiek informacji należy upewnić się, że numer telefonu, z którego otrzymano połączenie lub wiadomość tekstową, rzeczywiście należy do firmy, która twierdzi, że ją wysłała.

Warto też pamiętać, że banki i instytucje w zasadzie nigdy nie oczekują podawania tego typu danych przez swoich klientów. Dobrą praktyką jest wykonanie telefonu do swojego banku z pytaniem o otrzymaną wiadomość. Jeśli okaże się, że było to oszustwo, ten incydent powinien być zgłoszony odpowiednim służbom – radzi ekspertka z Fortinet.

Czytaj także: Nowe trendy w cyberprzestępczości – ataki na Linuksa i infrastrukturę krytyczną

Cyberzagrożenia na styku dwóch światów

Nową, niedawno zaobserwowaną metodą oszustw, jest naklejanie przez przestępców kodu QR na popularnych produktach lub drukowanie materiałów marketingowych i pozostawianie ich w sklepach. Ofiara widzi produkt, który jej się podoba, a obok niego znak informujący, że może go dostać szybciej lub ze zniżką, a wszystko, co musi zrobić, to wejść na stronę internetową lub zeskanować kod QR. Ten z kolei prowadzi ją do phishingowej strony internetowej lub do pobrania złośliwego oprogramowania.

Banki i instytucje w zasadzie nigdy nie oczekują podawania tego typu danych (do logowania) przez swoich klientów

Jakie z tego wszystkiego płyną wnioski? Nigdy nie wolno ślepo wierzyć e-mailom, wiadomościom tekstowym czy rozmówcom, a już zwłaszcza tym, którzy łączą się z nieznanych lub ukrytych numerów. Zawsze należy zachować zdrowy rozsądek i czujność, aby nie przegapić oznak phishingu.

Regularnie trzeba zmieniać hasła do logowania, a najlepiej korzystać z menedżerów haseł. I, oczywiście, przekazywać informacje o dobrych praktykach wszystkim, którzy mogą z nich skorzystać. Edukacja jest najlepszą bronią w walce z cyberprzestępczością.

Czytaj także: Powstanie Centralne Biuro Zwalczania Cyberprzestępczości; jakie będzie mieć uprawnienia?