Oszustwo w sklepie internetowym

[Kirby]

@mariusz391 przerażająca sytuacja. Widać, że oszuści się solidnie przygotowali. Całe szczęście, że wyszedłeś z opresji bez szwanku.
Atak socjotechniczny połączony z wysyłką aplikacji, która w tym kontekście miała służyć za konia trojańskiego.

To są poważne zagrożenia, bo co innego gdy np zazdrosny mąż tworzy stronkę z treścią "bądź FIT, darmowa dieta i treningi na miesiąc" tylko trzeba zalogować się przez fejsa, oczywiście nie przez sesję, tylko ręcznie wpisać login i hasło, które zapisuje się w pliku tekstowym serwera.

O tyle dobrze, że systemy operacyjne nie są tak podatne na "chwyty" jak kiedyś. W czasach WinXP można było napisać prosty programik w delphi, który miał za zadanie znaleźć pliki we wskazanej lokalizacji i przesłać je mailem. Oczywiście podsyłało się plik z rozszerzeniem .exe wykorzystując lukę w Windowsach gdzie 100spacji pozbywało z widoku .exe czyli np umowa.pdf                        (whitespace100) .exe

To wtedy był świat westernów bez firewalli, z AV prostymi jak cep i z różnymi poważnymi lukami  Tylko na szczęście bankowość internetowa itp dopiero raczkowały.

[Morden]

W epoce klonowania głosu za pomocą AI najlepiej nie gadać z podejrzanymi ludźmi wcale. Dane wiadomo, kupujesz cos z Aliexpress i możesz być pewien że pięć razy je odsprzedano. Wiele sklepów w warunkach wymagało swego czasu zgody na przetwarzanie danych łącznie z dzieleniem się nimi z "partnerami", co w efekcie oznaczało sprzedaż tychże danych.

W mediach ostatnio zaczęli nawet uprzedzać, by nie wypowiadać słowa "tak" podczas tego typu rozmów, co łatwiej jest powiedzieć niż zrobić, bo wystarczy że ktoś zadzwoni i spyta "Czy rozmawiam z panem Patrykiem Kiełbasą?" i jeśli nazywamy się Patryk Kiełbasa, z automatu odpowiemy "Tak, a o co chodzi?".

Osobiście takiego exeka odpalił bym tylko w sandbox, bo nigdy nie wiadomo co i gdzie cicha instalacja wrzuci jeśli jesteśmy na koncie z pełnymi uprawnieniami. Spodziewaj się telefonu od hindusów z Microsoft Customer Support. Hehe.

[Megadeth]

Jestem bardzo wyczulony na tego typu telefony. Zawsze jak jakiś podejrzany typ lub typiara dzwoni to właśnie nie odpowiadam "tak" - tylko "a kto dzwoni", jak ponownie slysze cos w stylu Zaneta Kowalksa MedLux Profilaktyka czy inny syf nawet nie gadam tylko się rozłączam. Swoją drogą nawet nie wiesz z kim gadasz, czy z człowiekiem czy z botem.

[JAPONIEC]

Ja w ogóle od kilku lat nie odbieram telefonu.
Używam numeru wyłącznie do 2FA.

[Wawrzino]

Ja miałem jakiś rok temu podobną próbę oszustwa. U mnie scenariusz wyglądał tak:
Dzwoni jakiś gość, przedstawia się, że dzwoni z BIKu, bo zaobserwowali, że ktoś próbował wziąć na moje dane kredyt w Rzeszowie na 2000zł (a mieszkałem wtedy w Poznaniu). Znał moje imię i nazwisko, więc miał parę sekund przewagi zanim odpaliło mi się w głowie czerwone światło. Zapytał w jakim banku mam konto, żeby mógł przekazać sprawę do mojego banku. Tutaj niestety popełniłem błąd, bo powiedziałem zgodnie z prawdą, że w Santanderze. Facet powiedział, że na razie zablokowali tę próbę, ale "mój bank" się jeszcze ze mną skontaktuje w tej sprawie.

W tym momencie coś już mi zaczęło śmierdzieć, więc po rozłączeniu od razu loguję się do BIKu (polecam założyć sobie tam konto, mam nawet wykupioną usługę alertów) i sprawdzam historię: czysto. No nic, wiem już, że szwindel, ale czekam na telefon z "mojego banku"

Jakieś 5 minut później dzwoni telefon, tym razem inny numer. W słuchawce słyszę kobiecy głos z mocno wschodnim akcentem, ale jedziemy z tematem, bo już wiedziałem z kim mam do czynienia. Pani nawija mi makaron na uszy, że "wyciek danych, kradzież pieniędzy" itp. itd., typowe straszaki, żeby człowiek miał poczucie pośpiechu i zagrożenia. Ja odpowiadam spokojnie: "dziękuję za informacje, pracuję w dziale związanym z cyberbezpieczeństwem, więc wiem jakie zagrożenia czyhają w internecie". Dosłownie słyszałem, jak wybiłem ją ze skryptu bo tylko takie "yyy" usłyszałem. Coś tam jeszcze próbowała ugrać, ale odpowiedziałem, że w takim razie dziękuję za rozmowę, już ubieram buty i idę osobiście do oddziału banku, bo mam akurat blisko. Nie zdążyłem dokończyć zdania i już się rozłączyła.
Oczywiście zadzwoniłem do prawdziwego banku, poinformowałem ich o próbie wyłudzenia danych, poprosili mnie o przekazanie numerów telefonów z których dzwoniono, informując, że przekażą sprawę dalej. Zaznaczyli, że bank nigdy nie dzwoni pierwszy, zawsze wysyłają wiadomość  z prośbą o kontakt zaufaną drogą.

Stąd złota zasada: nigdy nie podawać danych przez telefon jeśli to nie my dzwonimy

[killy9999]

Przypominam o:

  1. Możliwości zastrzeżenia numeru PESEL. W ten sposób nikt nie weźmie na wasze dane kredytu. Minus jest taki, że sami nie skorzystacie np. z zakupów na raty na Allegro.

  2. Możliwości sprawdzenia na https://haveibeenpwned.com/ waszego adresu mailowego pod kątem znanych wycieków danych.

EDIT: A z mojej strony pytanie. BIK to prywatna firma?

[Wawrzino]

BIK to spółka akcyjna, więc technicznie rzecz biorąc: tak, to prywatna firma, której udziałowcami jest większość banków w Polsce.
Zastrzeżenie PESEL to podstawa, w aplikacji mObywatel można to zrobić paroma kliknięciami, a jak trzeba coś wziąć na kredyt, to równie łatwo PESEL odblokować w tej samej apce.

[SALADYN]

Mnie tam przez telefon nie oszukają bo stosuje prostą zasadę, numer nie jest zapisany w kontaktach to nie odbieram, absolutnie nigdy. Rodzina i znajomi o tym wiedzą więc jak ktoś musiał zmieniać numer to podsyłał sms żeby sobie zapisać.
Trafiali mi się w ostatnich latach tylko cwaniaccy domokrążcy próbujący wcisnąć umowy na internet czy prąd.

[Namingway]

No niestety, oszuści teraz są praktycznie wszędzie, ale taki urok cyfryzacji. Ja miałem w tamtym roku co najmniej kilkanaście prób oszusta związanych z monitorami CRT. Takich na telefon podszywających się pod bank, kurierów i innych tego typu nawet nie liczę. Miałem przez jakiś czas nawet wrażenie, że zostałem targetem dla scammer'ów, ponieważ czasem lubię sobie z nimi pogrywać i chyba kilku mocno zdenerwowałem. Czasem fajnie jest uprzykrzyć życie oszustom tracąc ich czas i zmuszając ich do wysiłku.

Niestety cierpią na tym uczciwi ludzie. Miałem taką sytuację jakiś czas temu, że jeden jegomość chciał kupić ode mnie monitor. Gość jest z Kanady, ale mieszka w Polsce. Pisał więc do mnie po angielsku. Jego konta w mediach społecznościowych wyglądały jakby nie były używane od dłuższego czasu, i to był akurat czas kiedy oszuści przypuszczali swój atak. Pomyślałem więc, że to kolejny oszust i postanowiłem to pociągnąć jakiś czas. W pewnym momencie go nawyzywałem od najgorszych i takie tam... Gość jednak wcale żadnym oszustem nie był... Ależ się okropnie później przez to czułem. Wszystko się jednak skończyło dobrze, dobiliśmy targu i po tej całej akcji zostaliśmy kolegami, ale głupio mi z tego powodu do dzisiaj.

[killy9999]

Ja miałem w tamtym roku co najmniej kilkanaście prób oszusta związanych z monitorami CRT.

Że co? O_O To już oszuści w takie nisze celują?

[Namingway]

Celują we wszystko gdzie jest jakaś kasa do wyrwania. Jednak na szczęście w przypadku rzeczy niszowych jak CRT, wystarczy jedno precyzyjne pytanie i oszust się wykłada, więc na szczęście jedynie na próbach się zazwyczaj kończy w takich przypadkach.

[killy9999]

A z ciekawości, jak właściwie takie próby oszustwa wyglądają?

[Namingway]

Nic jakoś szczególnie wyszukanego. Zazwyczaj po prostu ktoś wysyła zdjęcia monitorów które ściągnął z neta i liczy na to, że mu kasę wyślę.

Kilka razy się zdarzyło, że ktoś robił fejkowe ogłoszenia na FB używając moich zdjęć.

Raz gdy zobaczyłem takie ogłoszenie z moimi zdjęciami, to wrzuciłem na kilku grupach na FB post z ostrzeżeniem, że to scam. Ktoś w komentarzu zasugerował, że powinienem to zgłosić, i podał mi konto na Instagramie, do kogoś kto "pomaga" w takich sprawach. Napisałem więc tam, bo konto wydawało się legit i, że rzeczywiście walczy z oszustami. Napisali, że jasne, zajmiemy się sprawą. Po jakimś czasie dostałem wiadomość, że konta rzekomego oszusta już są "zdjęte" z neta, ale teraz trzeba zapłacić 400$ za "pomoc" gdy odmówiłem zagrozili, że zajmą się w takim razie mną. Ale oczywiście to był po prostu kolejny oszust który forsę chciał wyłudzić

Zazwyczaj to zwykłe matoły którzy szukają naiwnych ale czasem potrafią być sprytni.

[Wawrzino]

@Namingway trzeba było odesłać fejkowe potwierdzenie przelewu na $400 o rozszerzeniu exe