Kradzież na „płatność PayU” – studium przypadku

Jak często zdarza się, że czytając o kradzieży pieniędzy z konta w efekcie phishingu myślicie: „Mnie to się nie zdarzy” albo „Przecież oni szukają tylko ludzi albo firm z wielkimi pieniędzmi”? Cóż – nic bardziej mylnego. Dzisiaj CERT Orange Polska odwiedził jeden z pracowników Orange, opowiadając historię, jaka zdarzyła się jego córce.

Tym razem nie zaczęło się od maila phishingowego, lecz od poszukiwania okazji. Młoda dama chciała kupić dość drogi produkt, odłożyła sobie na niego część pieniędzy. Wtem (tu pasowałby komiksowy dymek)

okazało się, że rzeczony produkt ktoś wystawił na Facebook Marketplace, w cenie tak niskiej, że ofierze wystarczyłaby kwota, którą ma już odłożoną.

<pierwsza czerwona lampka> Jeśli coś jest wyjątkowo tanie, powinniśmy bardzo dokładnie upewnić się, czy coś tu przypadkiem brzydko nie pachnie… Ofiara dała się złapać na pierwszy haczyk, skontaktowała się przez Messengera z przestępcą, by ustalić sposób przesyłki. Osoba, która przedstawiała się jako kobieta, powiedziała, że o płatności porozmawiają później <druga czerwona lampka>, a póki co prosiłaby tylko o 40 złotych na kuriera. Zależałoby jej tylko na tym, żeby nie przelewać na konto, bo „siedzi na nim komornik” <trzecia czerwona lampka>, więc wyśle linka do serwisu z płatnościami <czwarta czerwona lampka>. Link wyjątkowo nieudanie udający PayU (hxxps://payu.transakcja-029235464.pl/ – zablokowany przez CyberTarczę) wyraźnie widniał w pasku adresu strony <piąta czerwona lampka>, ofiara jednak… nie zwróciła nań uwagi. Robiąc „przelew” na 40 złotych, poszkodowana nie tylko wpisała login i hasło, ale również potwierdziła „przelew” kodem SMS. Rzecz jasna nie potwierdzała wcale przelewu, tylko wpisanie konta złodzieja jako odbiorcy zaufanego (ten zalogował się od razu na jej konto, korzystając z loginu i hasła, które ofiara sama skwapliwie podała). Oczywiście SMS szczegółowo precyzował, czego dotyczy, jednak ofiara go nie przeczytała, automatycznie przepisując na stronie przestępcy podany kod <szósta czerwona lampka>.

Efekt? Kilka dni później poszkodowana, próbując zalogować się na swoje konto, nie mogła tego zrobić, bowiem okazało się być zablokowane. Po telefonie do banku i odblokowaniu kanału dostępu, okazało się, że konto jest PUSTE. Szczęście w nieszczęściu, że i tak była na nim wyłącznie kwota przeznaczona do zakupu wymarzonego produktu… Wnioski – w zasadzie, czy w ogóle potrzebne są wnioski? Ofiara sześciokrotnie miała okazję wycofać się z niefortunnej transakcji, ale możliwość zaoszczędzenia kilku tysięcy złotych sprawiła, że nie widziała absolutnie oczywistych sygnałów.

Oby Wam to się nigdy nie zdarzyło.