Krzysztof Zieliński, KNF: Nie spiesz się. Oszuści próbują tworzyć poczucie presji

Dominika Pietrzyk, Interia: W okresie przedświątecznym klienci są szczególnie narażeni na oszustwa podczas robienia zakupów w internecie?

Krzysztof Zieliński, dyrektor Departamentu Cyberbezpieczeństwa w Urzędzie Komisji Nadzoru Finansowego: - Kupujemy więcej przez internet, na co wpłynęła zarówno pandemia, jak i wygoda takich zakupów. Naszą skłonność do częstszego kupowania przez internet zaobserwowali też cyberprzestępcy, którzy wykorzystują - szczególnie ten okres przedświąteczny - do tego, żeby zintensyfikować swoje działania. To co od jakiegoś czasu obserwujemy jako zespół CSIRT KNF, to intensyfikacja ataków na klientów rynku finansowego. Stosunkowo łatwo jest zmanipulować klienta i przynosi to wymierne korzyści przestępcom. Mówię o manipulacji, ponieważ głównym wektorem ataków cyberprzestępców na obywateli jest obecnie socjotechnika. Chodzi o działanie psychologiczne, które zmierza do namówienia klientów do podjęcia pewnych niekoniecznie racjonalnych czynności pod presją czasu lub innych okoliczności w których zadziałamy w sposób nieprzemyślany. Socjotechnika bazuje bardziej na nieuwadze, najczęściej wynikającej z pośpiechu lub rutynowego działania, niż na zaawansowanych rozwiązaniach technologicznych. Jako społeczeństwo jesteśmy już nauczeni korzystania z technologii, natomiast z tym wiążą się pewne ryzyka, z których nie do końca zdajemy sobie sprawę.

Jakie są te obszary ryzyka w przypadku osób korzystających z usług i produktów finansowych w internecie?

- Pierwsza grupa ryzyka, generowana przez cyberprzestępców, to fałszywe sklepy internetowe. To jedna z plag internetu. W sklepach tych oferuje się markowe produkty w bardzo atrakcyjnych cenach. Charakterystyczną cechą tych sklepów jest to, że najczęściej trafiamy do nich za pośrednictwem reklam w mediach społecznościowych. Kiedy wchodzimy na stronę takiego sklepu i widzimy, że wszystkie produkty - mogą to być markowe buty, odzież czy elektronika - są w mocno obniżonych cenach, to już powinno wzbudzić naszą czujność. Fałszywe sklepy można też odróżnić od tych prawdziwych po tym, że często zdarzają się tam błędy w opisach produktów, lub część produktów jest opisana po polsku a część w innym języku, np. po angielsku. Żeby uniknąć oszustwa, powinniśmy też zweryfikować opinie o danym sklepie, które pojawiają się w Internecie. Choć to także nie jest do końca miarodajne, bo opinie w Internecie bardzo często są kupowane, tak jak kupuje się "lajki" w mediach społecznościowych. I przestępcy to robią - albo sami pozytywnie oceniają swój sklep, albo kupują pakiet pozytywnych opinii, aby uwiarygodnić swoją działalność. Kiedy jednak weryfikujemy komentarze i widzimy, że pojawiają się opinie z różnych krajów - a przestępcy często targetują swoje sklepy na różne rynki - to powinno wzbudzić nasz niepokój. Jeżeli trafimy na fałszywy sklep internetowy to najczęściej jedyną metodą płatności będzie płatność kartą kredytową - podając dane tej karty, przekazujemy je przestępcom.

- Kolejny obszar ryzyka, który identyfikujemy to wykorzystywanie przez cyberprzestępców popularnych portali sprzedażowych. Mówimy tu o obserwowanym przez nas od ponad roku nowym rodzaju oszustwa "na kupującego". Modus operandi wygląda w ten sposób, że osoba sprzedająca wystawia przedmiot na portalu sprzedażowym, a następnie kontaktuje się z nią oszust, podając się za potencjalnego kupującego. W trakcie rozmowy przestępca deklaruje, że już zakupił produkt, a żeby sprzedający mógł odebrać pieniądze, musi wejść na odpowiednią stronę, podać swoje dane i dostanie przelew za sprzedany towar. Oszuści wysyłają sprzedającemu link do strony internetowej, która - jak łatwo się domyślić - jest fałszywa. Jeżeli sprzedający poda tam swoje dane, to trafią one do przestępców i zostanie on okradziony. To oszustwo jest tak powszechne, że po wystawieniu przedmiotu na takim portalu, sprzedający już w przeciągu kilku godzin jest nagabywany przez oszustów potencjalnie zainteresowanych zakupem. Jak się obronić? Po pierwsze oszuści starają się skontaktować ze sprzedającym innym kanałem niż udostępniony przez platformę sprzedażową (np. przez komunikator internetowy z wykorzystaniem numeru telefonu kontaktowego, podanego przez sprzedającego), więc to już powinno wzbudzić naszą czujność. Po drugie, przesyłają link internetowy do fałszywej strony, gdzie należy "odebrać" pieniądze za towar. Czytając regulamin portalu sprzedażowego, dowiemy się, jakie rodzaje rozliczenia są dostępne. A inne tam nie ujęte mogą być oszustwem.

Nie da się namierzyć przestępców, którzy są autorami fałszywych stron?

- Najczęściej te strony są osadzone na serwerach zagranicznych i to w takich lokalizacjach, do których trudno dotrzeć. To tzw. "bulletproof" hostingi, czyli "kuloodporne" hostingi. Przestępcy celowo wybierają takie firmy, które nie reagują na zgłoszenia np. organów ścigania innych państw. Są takie miejsca na mapie świata, które dostarczają takich "kuloodpornych" hostingów, na których można postawić fałszywą stronę internetową, dlatego bardzo ciężko jest taką stronę zablokować. W rękach zespołu CERT Polska jest narzędzie, które w przypadku zidentyfikowania strony wyłudzającej dane użytkowników, pozwala na wprowadzenie takiej strony na listę ostrzeżeń, która następnie jest weryfikowana przez operatorów telekomunikacyjnych, którzy dostarczają internet. Wówczas, kiedy korzystamy z internetu od danego operatora telekomunikacyjnego i trafimy pod niebezpieczny adres z listy CERT, to automatycznie wyświetli nam się ostrzeżenie, że strona na którą próbujemy wejść, jest oznaczona jako strona niebezpieczna. Stron, które są opatrzone takimi ostrzeżeniami jest bardzo dużo. Tylko w ramach struktur zespołu CSIRT KNF od zeszłego roku zidentyfikowaliśmy 6 tys. niebezpiecznych stron, natomiast na liście CERT-u w tej chwili znajduje się ok. 38 tys. stron, które zostały zakwalifikowane jako podszywające się pod banki, legalnie działające firmy i organizacje, żeby kraść dane użytkowników.

Wracając do obszarów ryzyka związanych z oszustwami, w okresie przedświątecznym nasilają się też ataki metodą "na kuriera".

- Tak. Chociażby w tym tygodniu zespół CSIRT KNF zidentyfikował kolejną kampanię SMS-ów wysyłanych przez cyberprzestępców. Trzeba pamiętać, że to narzędzie wykorzystywane przez cały rok, ale faktycznie skala takich ataków rośnie w okresie przedświątecznym, kiedy wielu klientów kupuje rzeczy przez internet i oczekuje na paczki. Klient dostaje SMS-a, w którym znajduje się informacja o tym, że np. dostawa paczki została wstrzymana, bo jest za ciężka, albo zmieniła się taryfa przewoźnika i paczka wymaga dodatkowej dopłaty. W takich wiadomościach charakterystyczne jest to, że pojawia się w nich link do jakiejś strony internetowej, a kwota rzekomej dopłaty jest bardzo niska. Dlaczego? Gdyby klient otrzymał informację, że musi dopłacić kilkadziesiąt złotych, to wzbudziłoby to jego czujność. Pojawiają się więc kwoty rzędu 0,50 zł czy 2,20 zł, a my zagonieni w codziennych obowiązkach, nie analizujemy takiego SMS-a. Chcemy za to, żeby paczka dotarła do nas jak najszybciej, dlatego często klikamy w link znajdujący się w wiadomości, wchodzimy na fałszywą stronę, która wygląda identycznie jak strona banku, strona płatności albo strona kuriera, i przekonani o tym, że dokonujemy dopłaty brakującej kwoty, tak naprawdę przekazujemy nasze dane do logowania przestępcom, którzy później są w stanie wykorzystać je do kradzieży naszych środków finansowych. Dlatego zwracam uwagę, żeby bardzo ostrożnie podchodzić do takich SMS-ów.

- Mówiąc o atakach metodą "na kuriera" w okresie przedświątecznym z racji naszego zaangażowania w przygotowania do świąt, łatwiej jest nas zmanipulować. Innymi scenariuszami ataków mogą być np. SMS-y podszywające się pod dostawców energii gdzie - znowu - musimy dopłacić małą kwotę do rachunku za energię elektryczną, żeby uniknąć wyłączenia prądu.

Jaki jest najpopularniejszy mit dotyczący bezpieczeństwa w sieci?

- Dawno temu mówiło się, że jeżeli przy adresie strony internetowej pojawia się kłódka, to strona jest bezpieczna. Pragnę obalić ten mit. Tak naprawdę kłódka świadczy o tym, że komunikacja pomiędzy naszym urządzeniem a stroną, którą odwiedzamy, jest bezpieczna, czyli ruch między nami a tą stroną internetową jest zaszyfrowany. To nie oznacza jednak, że ta strona jest bezpieczna. Jeżeli strona internetowa z kłódką przy adresie będzie stroną fałszywą, to to co zrobimy, to przekażemy w bezpieczny sposób swoje dane do logowania przestępcom.

Jakie są praktyczne rady na temat tego, jak uniknąć oszustwa?

- Pierwsza rada: nie spiesz się. Oszuści próbują tworzyć poczucie presji, aby nakłonić nas do szybkich i nieprzemyślanych decyzji lub trafić w moment kiedy będziemy nieuważni. Wszystkie czynności związane z naszymi finansami powinniśmy wykonywać na spokojnie i znaleźć na to chwilę w ciągu dnia - czy jest to przelew, mail z banku, SMS od firmy kurierskiej. Nie między spotkaniami, nie na szybko, nie między wyjściem z domu a wejściem do autobusu. To, co nas gubi, to działanie w pośpiechu i niezwracanie uwagi na szczegóły.

- Druga podpowiedź dotyczy klikania w linki do stron internetowych w SMS-ach lub wiadomościach e-mail. Najlepiej jest nie wchodzić w te linki, ale są legalnie działające firmy, które faktycznie wysyłają wiadomości z linkami do swoich klientów. Dlatego, jeżeli klikamy w taki link, powinniśmy bardzo dokładnie sprawdzić adres strony internetowej, na którą zostaliśmy przekierowani. Oszuści wykorzystują adresy łudząco podobne do prawdziwych adresów stron internetowych, a fałszywe strony wyglądają identycznie jak strony prawdziwe. Dlatego tak istotne jest zwracanie uwagi na detale. O tym, że strona jest fałszywa, może świadczyć np. literówka w adresie strony internetowej. Przestępcy stosują nawet specjalne kodowanie liter. Ostatnio zespół CSIRT KNF zidentyfikował przypadek fałszywej strony banku, gdzie w adresie strony internetowej pod literą "a" znajdowała się mała kropka.

- Kolejna kwestia, na którą chcę uczulić: bank ani żadna inna instytucja finansowa nigdy nie prosi o podanie danych do logowania do bankowości elektronicznej, ani danych karty kredytowej. Jeżeli ktoś nas o to pyta przez telefon, w mailu, prosi, żebyśmy weszli na jakąś stronę i zmienili hasło, to zazwyczaj mamy do czynienia z oszustwem. Trzeba bardzo uważać na to, gdzie próbujemy się zalogować. Bank nigdy nie prosi też o instalację żadnego oprogramowania na naszym telefonie albo komputerze. Bardzo często cyberprzestępcy próbują skontaktować się z nami telefonicznie, podszywając się pod bank, instytucje zaufania publicznego czy Policję. Co więcej, są w stanie podszyć się pod prawdziwy numer telefonu. Jako jeden ze scenariuszy działania można podać przykład, kiedy podczas rozmowy oszust informuje nas, że dzwoni z banku i prawdopodobnie ktoś włamał się na nasze konto i grozi nam kradzież środków, dlatego musimy pilnie przekazać login i hasło w celu zablokowania konta.

- Pamiętajmy, aby nigdy nie podawać nikomu naszych danych do logowania, bez względu na to za kogo będzie podawać się ta osoba.

Rozmawiała Dominika Pietrzyk

Biznes INTERIA.PL na Twitterze. Dołącz do nas i czytaj informacje gospodarcze