Korzystasz z tych dwóch aplikacji? Policja ostrzega, można stracić duże pieniądze

Atakujący wyłudzają dane kart

Nie maleje liczba prób oszustw dokonywanych przy okazji wykorzystania sklepów internetowych, zwłaszcza tych, które umożliwiają zakup używanych rzeczy lokalnie, nieopodal lokalizacji osób biorących w rzekomej transakcji, jak na przykład OLX. Przed kolejną kampanią prób wyłudzeń ostrzegają policjanci ze Świętochłowic. Sprawa jest o tyle poważna, że wyłudzenia dotyczą informacji o kartach płatniczych.

Oznacza to, że po tym, jak ofiara złapie się na haczyk, atakujący będzie mógł dowolnie posługiwać się kartą, uzyskując w ten sposób dostęp do całości środków zgromadzonych na powiązanym koncie bankowym. Jedynym ograniczeniem będzie w tym przypadku dzienny limit transakcji (ich kwota lub liczba) lub limity dotyczące transakcji internetowych. Atakujący może skraść środki w sposób gwarantujący mu względną anonimowość.

Jak przebiega atak?

Policja informuje o dwóch wariantach trwającej na OLX i WhatsAppie kampanii. Zaznaczyć należy, że żaden z nich nie jest szczególnie wyrafinowany, niemniej wśród użytkowników obu aplikacji znaleźli się już tacy, którzy stracili pieniądze. W pierwszym scenariuszu atakujący podszywa się pod kupującego w ofercie sprzedaży przedmiotu wystawionej na OLX. W celu rzekomego przyśpieszenia przekazania zapłaty napastnik wysyła do sprzedającego-ofiary link. Ten prowadzi do strony łudząco podobnej np. do OLX, na której ofiara proszona jest o podanie numeru i pozostałych danych karty, łącznie z kodem CVV. W drugim wariancie kupujący przekonuje, by informacje te przekazać bezpośrednio w komunikatorze.

W obu przypadkach atakujący możliwie jak najszybciej przekonuje ofiarę do tego, by zmienić kanał komunikacji, najczęściej jest to komunikator WhatsApp. W ten sposób zmniejsza on ryzyko identyfikacji oraz automatycznego wykrycia przez algorytmy OLX wiadomości zawierającej link, co mogłoby zostać zablokowane zgodnie z polityką serwisu. Na WhatsAppie natomiast takie mechanizmy nie działają i można tam bezkarnie przesyłać niemal wszystko. Ponadto to założenia tam konta można wykorzystać wyłącznie numer telefonu, który może zostać zarejestrowany na tzw. słupa.

Jak zapobiegać kradzieżom?

Kradzieży dokonanej w opisany sposób można uniknąć w bardzo prosty sposób – nigdy nie klikać linków nadsyłanych przez rzekomych kupujących lub sprzedających, a także nigdy, w żadnym wypadku, nie przekazywać danych karty, zwłaszcza wraz z numerem CVV. Dane te służą zresztą do płacenia, a nie do dokonywania na kartę przelewów. Phishing realizowany w ten sposób kwalifikowany jest jako oszustwo komputerowe z artykułu 287 Kodeksu karnego.