Fałszywe SMS-y o wniosku mieszkaniowym. Kolejny etap kampanii wyłudzającej dane osobowe i kart płatniczych.

CERT Orange Polska obserwuje kampanię phishingową, której celem jest wyłudzenie nr PESEL (co może prowadzić do kradzieży tożsamości) oraz danych kart płatniczych. SMS-y informujące o rzekomej konieczności „uzupełnienia danych wniosku mieszkaniowego” prowadzą do stron przypominających z wyglądu rządowe witryny.

SMS-y, które trafiły do analizy CERT Orange Polska, przychodzą z nadpisu:

• MOPS

Skrót to m.in. akronim oznaczający Miejski Ośrodek Pomocy Społecznej, co ma dodatkowo uwiarygodnić przekaz.

Treść wiadomości to m.in. (pisownia oryginalna):

• Informujemy, ze Twoj wniosek mieszkaniowy wymaga uzupelnienia danych. Zaktualizuj informacje, aby kontynuowac procedure. [LINK]
• Administracja Miejska: Aktualizacja danych do wniosku mieszkaniowego jest wymagana. Uzupelnij formularz, aby zakonczyc proces. [LINK]

W analizowanych przypadkach link w SMS-ie prowadził pod adres skracacza hxxps://did[.]li/[5-znakowy ciąg], docelowo zaś pod adres hxxps://mieszkanie-dla-ciebie.buzz/pl.

Warto jednak pamiętać, że oszuści mogą używać innego nadpisu; może się też zdarzyć, iż wiadomości będą wysyłane ze zwykłego numeru. Możliwe jest też użycie innego serwisu do skracania linków oraz – po zablokowaniu adresu docelowego – innej strony. Ma to z resztą miejsce, ponieważ jest to kolejna odsłona tej kampanii.

Wyłudzają nie tylko dane karty – również PESEL i nr dowodu

Zazwyczaj w tego typu kampaniach celem oszustów jest wyłudzenie danych karty płatniczej ofiary. To cel także tej kampanii, czego dowodzi fakt mającego na nas czekać dofinansowania. Oszuści chcą Cię przekonać do podania w tym celu szczegółowych danych karty płatniczej (w tym daty ważności i kodu CVC/CVV), jednak CERT Orange Polska po raz kolejny przypomina, że:

Dane karty płatniczej podajemy w celu zakupu, a nie otrzymania pieniędzy!

Sytuacje odwrotne są tak rzadkie, że bezpiecznie jest po prostu założyć, że jeśli ktoś twierdzi, że dane Twojej karty są mu potrzebne, by zapłacić Ci pieniądze – kłamie.

O ile jednak podanie danych karty spowoduje, że oszust wyczyści nam konto, dużo bardziej niebezpieczna sytuacja ma miejsce na wcześniejszym etapie. Pod pozorem uzupełnienia danych niezbędnych do „weryfikacji uprawnienia do wsparcia w ramach rządowych programów mieszkaniowych” formularz prosi o podanie nie tylko adresu e-mail, numeru telefonu komórkowego (jeśli je podasz – szykuj się na kolejne phishingi), ale również:

• numeru dowodu osobistego
• PESEL

Te dwie ostatnie dane wpadające w ręce oszustów to największe potencjalne ryzyko w tym schemacie! Dysponując nimi przestępcy mogą przejąć Twoją tożsamość i podszyć się pod Ciebie w szeregu sytuacji, m.in.:

• wyłudzić kredyt/pożyczkę/chwilówkę
• założyć konto bankowe
• zaciągnąć zobowiązania w firmie telekomunikacyjnej
• zarejestrować działalność gospodarczą
• zawrzeć umowę cywilno-prawną
• wypożyczyć samochód (i spowodować w nim szkody)
• wyłudzić inne świadczenia

I jeszcze sporo innych złośliwych działań.

Jak nie dać się oszukać? Co zrobić, po wpisaniu danych?

Przede wszystkim – jeśli jeszcze tego nie zrobiłeś/aś – zastrzeż swój PESEL np. w aplikacji mObywatel. Przy okazji pamiętaj o odnowieniu certyfikatów. Więcej na ten temat znajdziesz tutaj. To uniemożliwi wykorzystanie Twojego numeru PESEL przez osoby niepowołane.

Jak nie dać się oszukać?

• do SMS-ów z linkami podchodź z bardzo ograniczonym zaufaniem
• upewnij się, czy strona, którą odwiedzasz, jest na pewno witryną (w opisywanym przypadku) administracji publicznej; pamiętaj, że adresy takich stron zawsze kończą się na gov.pl

Dodatkowo, by uniknąć konsekwencji nieuwagi:

• ustaw niskie limity kwotowe dla karty, której używasz do płatności w sieci – wtedy nawet jeśli jej dane trafią do oszusta, obciąży kartę do poziomu limitu
• jeśli nie przeprowadzasz żadnej transakcji a na Twój telefon przyjdzie SMS z kodem do potwierdzenia transakcji lub aplikacja banku wygeneruje kod push z monitem – natychmiast skontaktuj się z bankiem!

Ty lub ktoś z Twoich bliskich dał się oszukać? Taką transakcję kartową zgłoś reklamacją poprzez chargeback, szczegóły opisujemy w tym artykule.

Jeśli trafi do ciebie taki lub podobny SMS, prześlij go na nr 508 700 900. W ten sposób chronisz nie tylko siebie ale również innych internautów.