Skala cyberataków rośnie. Złodzieje kradną nie tylko pieniądze

Pandemia Covid-19 aktywność hakerów dodatkowo wzmocniła. Wzrosła częstotliwość ataków ransomware, których celem jest szantaż ofiary, kradzież danych lub zablokowanie usługi.

Na popularności zaczęły zyskiwać ponownie ataki DDoS, ale również - dobrze już znane użytkownikom internetu rozwiązania jak phishing. Do tego doszły nowe, wykorzystujące luki w popularnych komunikatorach, w rozwiązaniach VPN czy "na zdalny pulpit".

Wybuch pandemii COVID-19 w opinii 55 proc. badanych firm w Polsce przyczynił się do wzrostu ryzyka wystąpienia cyberataków. 64 proc. organizacji odnotowało przynajmniej jeden cyberincydent w 2020 r. Jednocześnie 51 proc. firm przyznało, że konieczność organizacji pracy w trybie zdalnym była wyzwaniem w kontekście zapewnienia bezpieczeństwa - ocenia w raporcie "Barometr cyberbezpieczeństwa. Covid-19 przyśpiesza cyfryzację firm" KPMG.

Problem rosnącej skali ataków nie dotyczy tylko firm. Wpaść w sidła hakerów można nie tylko otwierając firmową korespondencje, ale również po pracy, szukając rozrywki lub informacji w tak popularnych w ostatnich miesiącach tematach jak zakażenie Covid-19 lub szczepienia.

Schemat działania przestępców jest w wielu przypadkach bardzo podobny. Najpierw do ofiary trafia mail lub SMS. W chwili nieuwagi, niewiedzy lub naiwności otwiera ona załącznik, co już wystarczy, by na komputerze lub telefonie zainstalowany został np. trojan, działający jak keylogger, rejestrujący wszystkie naciśnięcia klawiszy klawiatury. Wystarczy, by ofiara - niczego niepodejrzewająca - zalogowała się do bankowości internetowej, by złodzieje pozyskali potrzebne dane do kradzieży środków. Innym rozwiązaniem jest wysyłanie linku do banku, serwisów płatniczych, streamingowych, gier online pod które mamy podpięte np. dane osobowe i karty kredytowe. Klikając w odnośnik w kolejnych krokach - proszeni jesteśmy o uzupełnienie danych. To wystarczy, by stać się ofiarą kradzieży tożsamości lub pozwolić złodziejom na wyczyszczenie konta.

Zdecydowana większość ataków prowadzona jest przy użyciu poczty email, w ramach tzw. kampanii spamowych. Hakerzy natomiast nie tylko wkładają wiele wysiłku, by fałszywa strona, np. banku była złudnie podobna do prawdziwej, ale również często grają na emocjach ofiary, kreując sytuacje, na które najczęściej reagujemy szybko i impulsywnie, jak chociażby opóźnienie w zapłacie podatku, raty kredytowej, opłaty za telefon. Na popularności w ostatnich miesiącach - ze względu na pandemię oraz rosnące znaczenie zakupów online z dostawą - zyskuje atak za pomocą wiadomości SMS, który ma zapewnić przestępcom dostęp do telefonu ofiary. W tym celu wysyłają fałszywe wiadomości dotyczące przesyłki lub pozytywnego wyniku testu na Covid-19 od sanepidu.

Według raportu "2020 Phishing and Fraud Report" w ubiegłym roku odnotowano 15 proc. wzrost liczby przypadków phishingu w porównaniu z 2019. W szczytowym okresie obaw związanych z pandemią na świecie liczba oszustw tego rodzaju wzrosła aż o 220 proc. w porównaniu ze średnią za cały rok.

Przed oszustwami "na Netfliksa" i "na Paypala" ostrzegała niedawno Komisja Nadzoru Finansowego, zwracając uwagę, że przestępcy podszywając się pod te firmy wysyłali maile nakłaniając do odpowiednio do opłacenia subskrypcji i do zwrotu środków. W obu przypadkach chodzi o kradzież środków, po tym jak ofiara na fałszywych witrynach podała swoje dane płatnicze.

Stale rośnie także sposób kradzieży "na zdalny pulpit". Ostrzeżeniem mogą być historie z ostatnich miesięcy. Dwóch mężczyzn z powiatu kluczborskiego zdecydowało się na inwestycję giełdową. Po zarejestrowaniu się - opisuje sytuację tamtejsza policja - w witrynie internetowej w krótkim czasie otrzymali instrukcje, jak korzystać z programu umożliwiającego transakcje. Dodatkowo pokrzywdzeni zainstalowali na swoim komputerze aplikację, do której link otrzymali w wiadomości.

"Pobrana aplikacja dała przestępcom pełen dostęp do ich komputera i konta. Po pewnym czasie mężczyźni otrzymali informacje ze swojego banku, że ich wnioski na kredyt zostały pozytywnie rozpatrzone. Jak się okazało, to oszuści wykorzystując udostępnione dane osobowe, zaciągnęli pożyczki na rachunki mieszkańców powiatu. Szacowane przez pokrzywdzonych straty czyli pieniądze skradzione z kont oraz z zaciągniętych pożyczek to ponad 60 tysięcy złotych" - przestrzega policja. Podobnych zdarzeń jest w ostatnim czasie wiele. Suwalczanin, który zainstalował aplikację do "obsługi oszczędności" stracił 40 tys. zł. Kobieta z Gorzowa Wielkopolskiego, skuszona szybkim zarobkiem na kryptowalutach, pozwoliła na zainstalowanie na komputerze zdalnego pulpitu, co skończyło się kradzieżą blisko 50 tys. zł.

Na skalę problemu uwagę zwraca nie tylko policja. W listopadzie ubiegłego roku także Rzecznika Finansowego wydał komunikat, że trafiają do niego skargi od klientów, którym oszuści ogołocili internetowe konta bankowe korzystając z funkcji zdalnego pulpitu. "Dzieje się to albo przy okazji oferowania możliwości "inwestycji" mającej przynieść krociowe zyski, albo pod pozorem kontaktu przedstawiciela banku czy biura maklerskiego. Rzecznik Finansowy apeluje o ostrożność i rozwagę jeśli znajdziemy się w podobnej sytuacji" - napisał.

Jak się można przed atakami chronić? Kluczowa jest rozwaga i zachowanie szczególnej ostrożności w jakie odnośniki się klika, które załączniki otwiera, gdzie i komu przekazuje dane osobowe lub płatnicze. Dobrą zasadą jest, by nie instalować żadnego oprogramowania z nieznanego źródła. Jeśli strona, konsultant, aplikacja wzbudzi najmniejsze nasze wątpliwości, co do swojej wiarygodności - lepiej sprawdzić czy aby na pewno nie jest to próba kradzieży. Warto także pamiętać, żeby zawsze upewniać się czy dany podmiot działa legalnie, czy nie funkcjonuje on np. w szarej strefie, co może wiązać się nie tylko z problemami z prawem, ale również nieść poważne konsekwencje po stronie wypłaty środków, wygranych, a niekiedy wiązać się z kradzieżą tożsamości.

Warto też zwrócić uwagę na segment dotyczący rozrywki. Szara strefa na rynku hazardowym, pomimo zmiany przepisów z 2017 r., ma się świetnie. Nielegalni operatorzy w 2020 r. wygenerowali obroty na poziomie 12,6 mld zł, co stanowi 46,7 proc. całego rynku online w Polsce.

Rozrywka w szarej strefie to nie tylko straty dla budżetu państwa, ale także ryzyko dla gracza. "Największym zagrożeniem dla legalnie działających operatorów, ale przede wszystkim dla samych graczy, jest szara strefa. Grając w firmach offshore, gracz nie ma żadnej gwarancji wypłaty wygranych. Klienci firm offshore narażają się również na kary pieniężne nakładane przez Urząd Celno-Skarbowy. Firmy działające poza regulacjami nie stosują również polityki odpowiedzialnej gry, przez co gracze wystawieni są na negatywne działania ze strony operatorów" - piszą eksperci w raporcie "Cztery lata po nowelizacji ustawy hazardowej".

To, że dane osobowe są często wykorzystywane przez przestępców, np. do wyłudzania kredytów i pożyczek, świadczą dane Związek Banków Polskich. "Proceder wyłudzania towarów, usług i pieniędzy przez przestępców wykorzystujących kradzione dowody osobiste i paszporty dotyczy całej gospodarki. W samej tylko bankowości, od 2008 r., dokonano aż 93,7 tys. prób wyłudzeń kredytów na łączną kwotę 5,046 mld złotych" - podsumował ostatnie lata działania infoDOK ZBP.

Dzisiaj często złodzieje nie muszą już kraść dokumentów. Przestępcy udoskonalają stale sposoby na kradzież danych osobowych lub pieniędzy online. Niekiedy niewiele brakuje, by się dać złapać: czy to otwierając mail z przekierowaniem do bankowości elektronicznej, załącznik z nieznanego źródła, czy SMS z linkiem do uzupełnienia danych w celu dostarczenia paczki. Zakładanie konta w serwisach niesprawdzonych, które wzbudzają wątpliwe poczucie bezpieczeństwa, to także ryzyko, że dane osobowe wypłyną.

Podczas przebywania w sieci łatwo o zmniejszoną czujność. Ale jeśli ochrona danych zapisanych na dowodzenie osobistym, kartach płatniczych, paszportach jest czym oczywistym, tak samo powinna być ona stosowana odnośnie do informacji, które są udostępniane i przekazywane online.

Przy szukaniu sposobów na rozrywkę w sieci, w tym z szeroko rozumianej branży hazardowej, bezwzględnie należy zadbać o bezpieczeństwo danych i angażowanych środków. Sprawdzenie strony www, tego czy ma wszystkie zabezpieczenia, to podstawa. Do tego można na stronie MF potwierdzić czy dany podmiot nie został wpisany do rejestru domen zakazanych. Warto też pamiętać, że po zmianie przepisów w ustawie hazardowej, monopol państwa w obszarze kasyn online wykonuje Totalizator Sportowy i jako jedyny może ten typ rozrywki w Polsce oferować.

mk

***