(fałszywy) CashBack Pekao24
Klienci banków to wdzięczne cele dla sieciowych oszustów. Tym razem na celownik trafili klienci usługi Pekao24.
Wektor ataku? Oczywiście reklamy na Facebooku. Nie robimy pod tym kątem statystyk, ale bez ryzyka można założyć, że fałszywe reklamy na największym społecznościowym słupie rekla… tzn. serwisie odpowiedzialne są za znacznie ponad połowę leadów do kampanii phishingowych.
I – jak widać na zrzucie ekranu – coraz bardziej przypominają oryginał:
Co więcej, podobnie jak w ostrzeżeniu z ubiegłego tygodnia o kampanii „na BLIK-omanię”, link na dole reklamy wygląda jak do prawdziwej strony. Oczywiście tylko wygląda – bowiem po kliknięciu weń trafiamy (w zasadzie trafialiśmy) na witrynę hxxps://create-coast[.]tokyo.
Aplikacja Pekao24, której… nie ma
Nawet jeśli wydaje się, że jest. Najpierw na wspominanej witrynie trafiamy na stronę, przypominającą Sklep Google Play (na telefonie wygląda bardziej jak sklep – zrzut powstał na desktopie z podstawionym User Agentem).
Co się stanie, jeśli klikniemy? Będzie wyglądało jak aplikacja, pokaże jako skrót na pulpicie:
a nawet jako zainstalowana aplikacja:
Tymczasem ofiara tak naprawdę ma do czynienia ze… stroną internetową. Przypiętą i pokazaną w wymuszonym trybie pełnego ekranu, by wyglądała jak aplikacja.
Co jest celem przestępców? Oczywiście przekonanie nas mirażem zwrotu 20% płatności do wpisania loginu i hasła do banku. Ponieważ wszystko wygląda jak aplikacja, nie widać adresu strony, ofiara nie wie, że podaje swoje wrażliwe dane na witrynie przestępców. W kolejnym kroku można się spodziewać dalszych socjotechnicznych sztuczek, prowadzących np. do zatwierdzenia konta oszusta jako zaufanego, by móc wytransferować przez nie wszystkie pieniądze ofiary.
Dokąd? Źródło strony może co nieco podpowiedzieć:
Co robić?
Najlepiej załóż, że bank nie prezentuje ofert za pośrednictwem reklam na Facebooku. Jeśli nie masz pewności, czy to oferta Twojego banku (dziś to akurat Pekao24, jutro może być inny bank) – wejdź do aplikacji, ew. zaloguj się na jego stronę. Nie ufaj informacjom spoza tych dwóch źródeł.
Jeśli znasz kogoś, kto może złapać się na takie oszustwo – napisz do nich, zadzwoń, porozmawiaj. Ostrzeż. Nie pozwól im się oszukać, bądź Aniołem CyberBezpieczeństwa.
