Autotrader? Nie, oszustwo!

Uniezależnij się finansowo za 3 tygodnie! Twoje pieniądze zarobią się same! Brzmi legitnie? Cóż, chyba nie do końca… Ciekawe, jak wiele osób zainteresuje się zatem „ofertą” oszustów, udających Bank Millenium? Tym bardziej, że – choć na początku dla osoby niedoświadczonej w sieciowych przekrętach strona może wyglądać poważnie – wystarczy dokładniej się wczytać, by zobaczyć, że to oszustwo szyte grubymi nićmi. I przy okazji nieco się pośmiać.

Z jednej strony wygląda jak prawdziwe, z drugiej jednak – mamy same socjotechniczne sztuczki. Czas pozostały do zakończenia (reguła niedostępności), logotypy i kolorystyka prawdziwego banku (reguła autorytetu), 1103 osoby na stronie (społeczny dowód słuszności). A co dalej?

Jest legalnie, jest bezpiecznie, a na dodatek ci ludzie zarobili mnóstwo kasy. Dajemy sobie ręce uciąć, że zdjęcia tej trójki da sie znaleźć gdzieś w sieci, ale nazywają się zupełnie inaczej.

Co więcej – strona nawet zawiera certyfikat! Zobaczcie jaki ładny!

Nie ma do czego się przyczepić. Skoro platforma ma prawo do działania: „pod warunkiem, że wszyscy Polacy mają do niej dostęp” i ma certyfikat z numerem z numerem z 2014 roku, to bez problemu! Szczególnie, że ma tak poważny podpis:

Faktycznie. Przewodniczący Państwowej Komisji Poświadczania Znajomości Języka Polskiego jako Obcego jest idealną osobą do podpisania takiego dokumentu.

A co dalej? Dalej nieco zmodyfikowany klasyk. Pewnie zwróciliście uwagę na okienko w prawym górnym rogu pierwszego zrzutu:

Początkowo myśleliśmy, że mamy do czynienia ze schematem podobnym do opisywanego wcześniej modelu „na Solarisa”. Po wpisaniu danych okazuje się jednak, że sprawa wygląda trochę inaczej:

Cóż – my, jak widzieliście, nie doczekamy się telefonu od przedstawiciela. Chyba nikt się nie doczeka, bo zdaje się, że telefonu nr 500 000 000 nie na. Zwracamy jednak Waszą uwagę na to, że tym razem mamy do czynienia z phishingiem hybrydowym – z jednej strony podstawowe dane osobowe. Z drugiej – przy założeniu, że oszust wzbudzi zaufanie ofiarę – za te 24 godziny dochodzi vishing, czyli phising głosowy. Co może być jego efektem? Stawiamy na próbę przekonania ofiary do instalacji oprogramowania typu AnyDesk i kradzież wszystkich pieniędzy.

Uważajcie.