Od ZUS-u do Baltic Pipe

Emerytura w wieku 50 lat? Każdy (a na pewno prawie każdy) by tak chciał! A jeśli jeszcze proponuje Zakład Ubezpieczeń Społecznych, to koniecznie trzeba spróbować! W końcu piszą to na oficjalnym fanpage’u ZUS! Czy na pewno?

Na początku niby wygląda dobrze:

Niby wygląda dobrze (ma logo ZUS), ale spójrzmy na szczegóły. 14 polubień (w sumie nieoficjalny fanpage prawdziwego ZUS ma ich poniżej 300)? Nr telefonu nie mający nic wspólnego z ZUS? Adres e-mail w domenie gmail.com? Nieistniejący adres pocztowy? A może choć domena jest dobra?

No nie jest.

ZUS, (prawie) wszędzie ZUS!

Cofnijmy się zatem o parę kroków. Zajrzyjmy do menedżera reklam Facebooka, czy przypadkiem nie pojawiło się tam nieco więcej motywów z „emeryturą w wieku 50 lat”:

Bingo! Dobra, żaden powód do chwały, znamy ten motyw już co najmniej od kilku lat. Spójrzcie jednak na górę – pojawiło się 51 wyników! Część z nich jest jeszcze nieaktywna, przynajmniej jeden z nich wykorzystywany jest aż siedmiokrotnie. No i tylko niektóre wyświetlają się wyłącznie na Facebooku, czy Instagramie. Adresatem większej części są użytkownicy wszystkich platform, obsługiwanych przez Meta!

Co dzieje się dalej?

Dalej logo ZUS już znika, pozostaje jeszcze na chwilę marka i powoływanie się na byłą już (panowie przestępcy nie na czasie) prezes Zakładu Ubezpieczeń Społecznych.

Jak jednak widzicie na dole, po raz pierwszy pojawia się nazwa Baltic Pipe. To motyw phishing popularny już od przeszło roku, mający w tle coś, co można ogólnie określić mianem „inwestycji w majątek narodowy”. Kolejne kroki stali bywalcy naszej strony już znają:

Najpierw sugestia jedynie zostawienia swoich danych. Nie ma linku, nic nie instaluję, nikt nie chce moich pieniędzy – więc to nie phishing, prawda? (nie – nieprawda; to bezczelny phishing). Do tego kilka socjotechnicznych sztuczek, w tym wykorzystanie reguły niedostępności (tylko do 30.01!) i społecznego dowodu słuszności (ponad 37 min rzekomo już wypłacone). No i „mikroinwestycja” w kwocie 1000 PLN.

Ten telefon nie będzie z ZUS!

Pozostaje zatem podać nasze dane. No bo niby co można z nimi zrobić?

Kiedy już podamy nr telefonu i e-mail, bardzo szybko możemy się spodziewać telefonu i rozmowy z rzekomym „konsultantem” ze wschodniobrzmiącym akcentem (z kilkudziesięciu oszustów, z którymi rozmawiali członkowie naszego zespołu, w 100% były to osoby, dla których język polski nie był językiem ojczystym). Przestępca, mając świadomość, że już daliśmy się przekonać do wpisania naszych danych, może założyć, że częściowo „połknęliśmy haczyk”. Jeśli więc okaże się wprawnym socjotechnikiem, w łagodniejszej dla ofiary wersji, przekonają do wpłaty wspominanego wyżej 1000 złotych (którego oczywiście więcej nie zobaczymy, że o efektach inwestycji nie wspomnimy). W pesymistycznym (i niestety bardzo częstym) wariancie, damy się omamić, że dla inwestycji niezbędna jest „instalacja specjalnej aplikacji”. Ta aplikacja to klient zdalnego pulpitu, dający oszustowi pełen dostęp do naszego komputera i tego, co na nim robimy. W tym, co może zrobić potem, ogranicza go tylko wyobraźnia.