Dziesiątki tysięcy SMS-ów reklamujących nielegalne kasyna. Sprawdziliśmy, dokąd prowadzą
Dziesiątki tysięcy SMS-ów dotyczących kasyn internetowych trafiają do naszych systemów bezpieczeństwa. Sprawdziłem domenę, która w ubiegłym tygodniu pojawiała się w takich wiadomościach najczęściej. Za linkami znaleźliśmy zarówno mechanizmy typowe dla oszustw, jak i promocję kasyna działającego nielegalnie w Polsce
Zgodnie z uprawnieniami wynikającymi z ustawy o zwalczaniu nadużyć w komunikacji elektronicznej jako operator w trybie ciągłym blokujemy wiadomości tekstowe prowadzące do nielegalnych stron. Znaczącą większość wśród nich stanowią SMS-y prowadzące do witryn sieciowych kasyn. Część z nich to przedsięwzięcia niedozwolone polskim prawem (listę legalnych kasyn online dla obywateli RP znajdziesz na stronie Ministerstwa Finansów), inne to od początku do końca oszustwa. Jak wygląda taki schemat? Przyjrzyjmy mu się, analizując jeden z takich serwisów.
W Hiszpanii blokują, w Polsce omijają
Skąd przychodzą takie SMS-owe kampanie i pod jakie adresy kierują? Poniżej lista najpopularniejszych par nadpis (nazwa nadawcy wiadomości) / adres strony z ostatniego tygodnia.
- Boomerang / tr.boomerang-casino.com
- Pistolo / tr.pistolo.com
- Monsterwin / tr.monsterwin.com
- BETWEST / swirlo.biz
- BigClash / tr.bigclash.com
- Lolajack / tr.lolajack.com
- SpinBoss / tr.spinboss.com
- Westace / tr.westace.com
- Sofia / swirlo.biz
- GoldWay / omipt.info
- GoldWay / oamdi.info
- Mia / swirlo.biz
- Slotoro / myslotoro.com
- GoldWay / tsdmf.info
- Winspinzz / bnhli.com
Najpopularniejszą z domen docelowych była swirlo[.]biz, więc to jedną z powiązanych z nią wiadomości wybraliśmy do analizy.
Pod podany adres prowadzą również inne nadpisy. Po kliknięciu i serii przekierowań trafiamy najpierw na witrynę pośredniczącą tasterace[.]org:
Ostatecznie trafiamy na kasyno Lanista. Dlaczego adres kończy się na -9935? To sposób zarządzających serwisem, by poradzić sobie z zabezpieczeniami specyficznymi dla naszego kraju. W przypadku analizowanej witryny zaobserwowałem trzy różne zachowania strony po otwarciu adresu lanista[.]com:
- gdy używamy kanadyjskiego IP – witryna normalnie się otwiera, pod swoim adresem
- jeśli wchodzimy np. z Hiszpanii – widzimy informację, iż mieszkańcy tego kraju ze względów prawnych nie mogą korzystać z serwisu
- wchodząc natomiast z Polski przez podaną w SMS-ie domenę:
- trafiamy na mechanizm przekierowań
- lądujemy na witrynie lanista-xxxx[.]com, gdzie xxxx to kolejny, nieblokowany jeszcze przez Ministerstwo Finansów numer
- bezpośrednie wpisanie głównego adresu przenosi nas od razu na witrynę MF z informacją o blokadzie
Najpierw rejestracja…
Po wejściu na stronę najpierw kręcimy „jednorękim bandytą”, by przekonać się, że ma na nas czekać wygrana. 14 890 PLN w międzyczasie zmieniło się w 125 proc. pierwszej wpłaty (do 3500 PLN) + 250 darmowych spinów. Tutaj już widać docelowy adres dla Polski – lanista-9935[.]com.
Co dalej? Jeśli chcemy korzystać z kasyna, trzeba się najpierw zarejestrować, podając sporo danych.
Niezbędny jest także wybór metody płatności.
…potem BLIK do Czech
W przypadku tego typu analizy, gdy możliwa jest płatność BLIK, zawsze wybieram tę metodę. Dlaczego? Płatność kartą przedpłaconą nie dostarcza zarówno osobie która płaci, jak i analitykowi żadnych informacji na temat odbiorcy, do którego trafią środki. W przypadku karty płatniczej zaś – dopiero po zaksięgowaniu transakcji, w historii rachunku można zobaczyć, widać kto realnie zlecił obciążenie karty (a w tym momencie pieniądze są już w rękach odbiorcy). Polski Standard Płatności jako jedyny pozwala:
- sprawdzić jeszcze przed realizacją transakcji, do kogo mają trafić nasze pieniądze
- zrezygnować z akceptacji płatności, gdy mamy wątpliwości co do odbiorcy
To zadziała. Oczywiście pod warunkiem, że czytasz treść monitu z aplikacji bankowej przy płatności BLIK. W opisywanym przypadku właśnie informacja o odbiorcy jest ostatecznym sygnałem alarmowym przed akceptacją transakcji.
Skąd czeska firma Synteva s.r.o. przy płatności dla zarejestrowanego w Kostaryce kasyna? Synteva wg zapisów w czeskich rejestrach zajmuje się pośrednictwem handlowym i usługowym, magazynowaniem, pakowaniem i obsługą ładunków, wynajmem ruchomości oraz działalnością „gdzie indziej niesklasyfikowaną”. W portfolio spółki faktycznie znajduje się serwis tabulart.ai. To platforma do tworzenia i kupowania cyfrowych grafik generowanych przez AI. Strona reklamuje generator obrazów z promptów tekstowych, a także narzędzia do tworzenia postaci i wideo. By tworzyć prace, należy doładować serwis płatnymi kredytami.
Gdy na początku roku szeroko opisywaliśmy na naszych łamach podobny schemat, wtedy w momencie próby płatności okazywało się, że jej beneficjentem jest… spółka sprzedająca vouchery, karty podarunkowe i doładowania GSM. W tamtej sytuacji oszustwo wydawało się oczywiste. Niezależnie jednak od tego z jaką sytuacją mamy do czynienia tutaj, pewne jest, że w rozumieniu polskiego prawa działalność opisywanego podmiotu jest nielegalna na terenie Rzeczypospolitej Polskiej.
A Ty, jeśli dostaniesz takiego SMS-a, pamiętaj, by:
- nie otwierać linku
- jeśli to zrobisz – nie podawać danych ani nie zatwierdzać wpłaty
- sprawdzać legalność podmiotu w wykazie Ministerstwa Finansów
- mieć świadomość, że na końcu to kasyno zawsze wygrywa
