Ty chcesz sprzedać auto, a przestępcy podszywają się pod „zespół bezpieczeństwa Otomoto”

W ostatnich tygodniach użytkownicy portalu Otomoto są celem nowej fali oszustw phishingowych. Scenariusz wydaje się prosty: wystawiasz samochód na sprzedaż, po chwili otrzymujesz wiadomość od rzekomego „Zespołu bezpieczeństwa Otomoto” o konieczności weryfikacji konta. Jak cyberprzestępcy podszywają się pod zespół bezpieczeństwa, by wyłudzić dane bankowe?

Wiadomość wygląda profesjonalnie, ton jest rzeczowy, a sytuacja – pilna. Klikasz w załączony plik PDF i postępujesz zgodnie z instrukcjami. W ten sposób nieświadomie przekazujesz cyberprzestępcom dane logowania do swojego banku. To nie fikcja. To rzeczywisty przypadek, zgłoszony do naszego zespołu przez jednego z użytkowników, który na szczęście w porę zorientował się, że coś jest nie tak. Pokazujemy krok po kroku, jak działa ten mechanizm, dlaczego jest taki skuteczny i jak można się przed nim obronić.

Pierwszy kontakt z „Otomoto”

Wszystko zaczyna się w momencie, gdy wystawiasz ogłoszenie na Otomoto. Zaledwie kilkanaście minut później w Twojej skrzynce na portalu pojawia się wiadomość prywatna od użytkownika o nazwie „Otomoto  Security Team” (nazwa nie jest elementem stałym, oszust może przybrać również inny nick). Sama nazwa ma budzić zaufanie – wygląda oficjalnie, a wielu użytkowników może nie zauważyć czegoś podejrzanego. 

Wiadomość brzmi bardzo przekonywująco (pisownia oryginalna):

Szanowny Użykowniku,
System bezpieczeństwa Otomoto
wykrył nietypową aktywność związaną z Twoim kontem.
W celu ochrony danych dostep do konta może zostać tymczasowo ograniczony.

Aby potwierdzić tożsamość i przywrócić pełny dostęp, otwórz załączony plik PDF i postępuj zgodnie z instrukcjami.

Dziękujemy za zrozumienie.

Z poważaniem,
Zespół Bezpieczeństwa Otomoto

Na pierwszy rzut oka – komunikat jakich wiele. Brzmi technicznie, zawiera ostrzeżenie o ograniczeniu konta i odwołuje się do bezpieczeństwa. Jest prawdopodobne, że ofiara potraktuje go poważnie. Załączony plik PDF wydaje się być elementem „oficjalnej procedury”. W rzeczywistości to pierwszy krok w przemyślanej kampanii phishingowej.

Fałszywy PDF – pozory profesjonalizmu

Otwierając dokument użytkownik widzi starannie przygotowaną grafikę. Nagłówek z logotypem Otomoto, sekcja z instrukcjami oraz duży, niebieski przycisk „Przejdź do weryfikacji”. Tekst utrzymany jest w formalnym tonie:

Wymagane potwierdzenie tożsamości

Szanowny użytkowniku,

Aby kontynuować korzystanie z naszych usług, musisz potwierdzić

swoją tożsamość. Jest to ważne dla zapewnienia bezpieczeństwa

Twojego konta.

Jak przejść weryfikację:

Kliknij przycisk „Przejdź do weryfikacji” poniżej. Postępuj zgodnie z

instrukcjami na wyświetlonej stronie. Zakończ proces weryfikacji w

ciągu 12 godzin, aby uniknąć ograniczeń dostępu do konta.

Ważne:

Jeśli nie zakończysz weryfikacji w wyznaczonym czasie, dostęp do konta

zostanie całkowicie zablokowany.

Kliknij przycisk poniżej, aby kontynuować proces:

Przejdź do weryfikacji

To moment w którym zaczyna się manipulacja. Użytkownikowi sugeruje się, że sytuacja jest pilna, a brak reakcji doprowadzi do utraty dostępu do konta. Tego rodzaju presja czasu to klasyczna technika socjotechniczna – działa na emocje, mogąc wyłączyć racjonalne myślenie. Kliknięcie przycisku prowadzi na stronę wyglądającą niemal identycznie jak prawdziwa witryna Otomoto.

Fałszywa strona – 1:1 kopia oryginału

Wystarczy spojrzeć na adres w pasku przeglądarki, by nabrać wątpliwości. Domena na którą jesteśmy przekierowani, wygląda bardziej jak losowy ciąg znaków i nie przypomina niczego związanego z marką Otomoto. To powinna być ostateczna czerwona flaga. Na stronie widnieje komunikat o „konieczności potwierdzenia tożsamości” oraz formularz logowania.

Ku zaskoczeniu użytkownika, zamiast danych do Otomoto, strona prosi o… zalogowanie się do banku. Z punktu widzenia laika wygląda to logicznie – przecież bankowość to potwierdzenie tożsamości, prawda? Nie. To oszustwo. Mamy do czynienia z mechanizmem kradzieży danych bankowych w czasie rzeczywistym.

Jak działa oszustwo na Otomoto „na żywo”

Po wpisaniu loginu i hasła do bankowości elektronicznej, strona wyświetla komunikat o „trwającej weryfikacji”. Jesteśmy informowani, że proces „przetwarzania transakcji” trwa do pięciu minut. W tym czasie cyberprzestępca – działający „z drugiej strony komputera” – natychmiast używa wpisanych danych, próbując zalogować się do prawdziwego systemu bankowego.

Dzięki wprowadzeniu przez ofiarę nazwy użytkownika, hasła oraz numeru telefonu, przestępcy mogą przejąć kontrolę nad kontem, a także próbować autoryzować transakcję w aplikacji mobilnej ofiary. Często równolegle ofiara otrzymuje SMS z banku – np. z kodem logowania lub prośbą o potwierdzenie operacji. Jeśli przestępcy socjotechnicznymi zabiegami przekonają ofiarę do wpisania kodu na stronie/akceptacji w aplikacji mobilnej – autoryzuje ona tym samym działania oszustów na własnym koncie bankowym. 

Dlaczego to działa i jak rozpoznać oszustwo?

Tego typu ataki są skuteczne, ponieważ łączą w sobie kilka czynników:

• Zaufanie do marki. Otomoto to znany i ceniony serwis, więc komunikaty „od bezpieczeństwa” wydają się wiarygodne.
• Presja czasu. Groźba blokady konta w ciągu 12 godzin wywołuje pośpiech. Tym bardziej, że zależy nam na sprzedaży auta, zapłaciliśmy za ogłoszenie. 
• Profesjonalny wygląd. PDF i strona są dopracowane graficznie, zawierają poprawne logo, fonty i kolory identyczne z oryginałem.
• Socjotechnika. Komunikat brzmi spokojnie i rzeczowo, nie wzbudzając podejrzeń.
• Nowy kontekst. Wcześniej podobne ataki dotyczyły głównie portali zakupowych. Teraz cyberprzestępcy przenoszą się do segmentu motoryzacyjnego, gdzie stawki są wyższe.

Choć strona na pierwszy rzut oka wygląda wiarygodnie, warto zwrócić uwagę na pewne subtelne sygnały ostrzegawcze:

• Adres. Zamiast https://www.otomoto.pl widnieje inny adres, często z dodatkowymi słowami: verification, secure, confirm. Nigdy to nie będzie domena z końcówką otomoto.pl (bądź innej firmy, pod którą będą się podszywać przestępcy).
• Nietypowe prośby – żadne prawdziwe serwisy nie wymagają logowania do banku w celu potwierdzenia konta ogłoszeniowego.
• Załączony plik PDF – to rzadkość w komunikacji platform internetowych. Oficjalne powiadomienia trafiają przez e-mail lub panel użytkownika, a nie przez pliki w prywatnej korespondencji od użytkownika. 

Jak się chronić

Oto kilka prostych, ale skutecznych zasad, które pozwolą uniknąć tego typu zagrożeń:

• Nie otwieraj załączników z nieznanych źródeł. Serwisy takie jak Otomoto nigdy nie przesyłają plików PDF z instrukcjami bezpieczeństwa.
• Nie klikaj w linki z wiadomości prywatnych. Jeśli coś budzi wątpliwości, zawsze zaloguj się do serwisu bezpośrednio – wpisując adres ręcznie w przeglądarce.
• Korzystaj z ochrony antyphishingowej. Przykładowo CyberTarcza automatycznie blokuje dostęp do znanych stron phishingowych, zanim zdążysz wprowadzić dane.
• Zachowaj spokój. Cyberprzestępcy grają na emocjach – straszą blokadą, utratą środków lub konta. W większości przypadków to blef.

Phishing ewoluuje – czujność to klucz

Takie oszustwa dowodzą, że cyberprzestępcy stale udoskonalają swoje metody. Jeszcze kilka lat temu ataki phishingowe były łatwe do rozpoznania – z błędami ortograficznymi, amatorskimi grafikami i niezgrabnymi tłumaczeniami. Dziś mamy do czynienia z profesjonalnie przygotowanymi kampaniami, które potrafią zmylić nawet doświadczonych użytkowników.

Najlepszą obroną pozostaje świadomość i zdrowy rozsądek. Zawsze warto zadać sobie kilka prostych pytań:

• Czy naprawdę ktoś z serwisu napisałby do mnie przez wiadomość prywatną? Dlaczego pisze do mnie z konta security_team_3114@? 
• Dlaczego weryfikacja konta w serwisie ma wymagać logowania do banku? 
• Czy sytuacja naprawdę jest tak pilna, że muszę reagować natychmiast? Może zadam pytanie oficjalnym kanałem.

Jeśli którakolwiek z tych odpowiedzi brzmi „nie wiem” – lepiej się zatrzymać i sprawdzić źródło informacji lub potwierdzić to na oficjalnym kanale komunikacji.

Podsumowanie

Fałszywe wiadomości od „Otomoto  Security Team” to przykład, jak daleko poszli cyberprzestępcy w dopracowywaniu swoich metod. Wykorzystują zaufanie użytkowników do znanych marek, tworząc pozory profesjonalizmu i bezpieczeństwa.

Dlatego zapamiętaj:

• Otomoto nigdy nie prosi o logowanie do banku w celach weryfikacji.
• Nie klikaj w linki z wiadomości prywatnej o „weryfikacji” konta.
• Zgłaszaj takie przypadki do CERT Orange Polska.

Każde takie zgłoszenie pomaga nam szybciej zidentyfikować nowe kampanie i chronić kolejnych użytkowników. Jeśli byłeś świadkiem podobnego oszustwa, daj znam znać w sekcji kontakt. Być może, dzięki Tobie uda się uchronić również innych. Zalecamy również zgłaszanie takich oszustw bezpośrednio na platformach sprzedażowych. W tym przypadku, już prawdziwy Zespół Bezpieczeństwa Otomoto zadziałał błyskawicznie blokując oszusta.