„Magiczny” kod na stratę pieniędzy

Kiedy niewiele ponad miesiąc temu pisaliśmy o metodzie przeprowadzania nadużyć przy użyciu SMS, nie przewidywaliśmy, że niebawem zobaczymy znaczący wzrost tego typu ataków w naszej sieci. Tymczasem w ostatnich dniach obserwujemy znaczący wzrost ataków IRSF (International Revenue Share Fraud, oszustwo na międzynarodowym podziale zysków), co potwierdzają również zgłoszenia od internautów.

100 SMSów, Ty płacisz

O co chodzi? W skrócie:

1. Poszukujemy informacji o możliwości skorzystania za darmo z płatnych treści/aplikacji; znajdujemy informacje o rzekomych darmowych „skórkach” do postaci w grach, bądź „promocji” na płatną prawdziwymi pieniędzmi walutę gry
   1. Tego typu informacje można znaleźć na promujących je kontach w mediach społecznościowych (np. hxxps://twitter.com/Nataliya890), bądź po prostu wyszukując hasła w rodzaju „free robux”, czy „watch Netflix for free”
   2. 
2. Wchodząc na stronę z komputera widzimy pustą witrynę, bądź jesteśmy przekierowani na elementy o innej tematyce
3. Odwiedzając witrynę z urządzenia mobilnego widzimy krótką informację na temat „produktu”, a w centralnej części ekranu wielki, wyróżniony przycisk o treści „confirm”, bądź podobnej
4. Kliknięcie w przycisk powoduje otwarcie aplikacji do wysłania SMS, wpisując od razu do niej treść rzekomego kodu
   1. Wewnątrz aplikacji wypełnia się również rubryka nadawcy; ofiara widzi jeden lub dwa numery, podczas, gdy de facto może być ich nawet 20
5. Potwierdzenie kodu powoduje wysyłkę SMSa na wiele numerów zagranicznych
6. Interfejs strony przekierowuje nas na kolejną witrynę, zadając kolejne nieistotne pytanie (np. czy korzystasz z WiFi, czy z transmisji danych), generując kolejnego SMSa z rzekomym kodem
7. Sytuacja powtarza się nawet do 5 razy, co oznacza, że przy 20 SMSach w jednej serii ofiara wysyła ich nawet 100.

Choć w opisywanym przypadku nie są to SMSy Premium, nawet zwykłe wiadomości, wysyłane na numery zagraniczne mogą wiązać się z podobnymi kosztami. My spotykaliśmy się głównie z Tajwanem i Wlk. Brytanią, co po Brexicie może oznaczać koszt rzędu kilkuset złotych za serię SMSów. A ile zarobi na tym oszust?

Czym jest IRSF?

By uzyskać odpowiedź na pytanie sprzed śródtytułu, wyjaśnijmy, czym jest IRSF. Jak opisaliśmy wcześniej, oszust przekonuje nas do wysłania SMSów lub wykonania rozmów telefonicznych. Przy pomocy sztuczek socjotechnicznych przekonuje nas do takiej aktywności bezpośrednio, bądź do zainstalowania oprogramowania podszywającego się pod legalne, które następnie SMSuje/dzwoni bez naszej wiedzy. Jeśli kojarzy się Wam Wangiri Fraud to słusznie – to też odmiana IRSF. Ten drugi polega na krótkim zadzwonieniu z wysokopłatnego numeru zagranicznego przypominającego kierunkowy w kraju ofiary, by ta odruchowo oddzwoniła, generując dla siebie koszty, a dla oszusta – zysk.

Na czym zarabiają oszuści w tym przypadku? Na podziale zysków (revenue share) z operatorem, u którego terminują rozmowy/SMSy. Choć w przypadku SMSów to średnio 5 eurocentów, działa efekt skali – jedna naciągnięta ofiara może ich wysłać nawet 100 (ponownie polecamy tekst sprzed miesiąca), a jeśli uda się ich naciągnąć 100 tysięcy (stron z podobnym modus operandi funkcjonuje w internecie multum) robi się z tego pół miliona euro. Z punktu widzenia przestępcy – jest o co walczyć. Tym bardziej, że niektóre smartfony w sytuacji, gdy wysyłamy wiadomość pod wiele adresów, automatycznie przerabiają ją w MMSa. A terminowanie MMSa to już od 0,18 do 0,4 €. W naszym przypadku mowa o krótkich treściach, więc mieścimy się w pierwszej kategorii, ale to wciąż niemal czterokrotnie więcej, niż w przypadku SMSa.

Promocje? Tak, ale nie szemrane

Cechą wspólną stron, będących elementami obserwowanych przez nas kampanii, jest rzekome odblokowywanie płatnych treści lub umożliwianie ściągania plików, obchodząc prawo autorskie, a także streamy transmisji sportowych. W części przypadków informacje wskazywały jakoby SMSy miały służyć do potwierdzenia pełnoletniości w serwisach pornograficznych. Zaobserwowaliśmy również oszustwa związane z popularnymi wśród dzieci i młodzieży grami Roblox i Brawl Stars, gdzie młodych ludzi mami się darmową walutą z gry, czy „skórkami” postaci. Na koniec opisywanego wcześniej procesu nie dostajemy oczywiście żadnego kodu dostępu, bądź jesteśmy przekierowywanie na witryny z rozwiązaniami, które okazują się darmowe.

Co ciekawe, niektórzy oszuści mają na tyle tupetu, by już na pierwszej stronie, drobnym druczkiem, informować, że to zabawa i wcale niczego nie da się tu wygrać!

Co można z tym zrobić? Przede wszystkim pamiętać, by z założenia nie ufać sytuacji, gdy jakaś szemrana witryna proponuje za darmo coś, co normalnie jest płatne. Zdarzają się promocje, to oczywiste, ale organizują je same zainteresowane firmy, media, youtuberzy i tego typu osoby.

Oczywiście my też pracujemy nad tym, by ograniczyć wpływ tego typu kampanii na naszych klientów. W szczegóły wgłębiać się nie będziemy, przede wszystkim dlatego, by nie dawać rad oszustom.