Zdecydowaną większość z nas, samo wezwanie do najbliższej jednostki policji przyprawia o ciarki na plecach. Na skrzynki mailowe Polaków od kilku dni trafiają wezwania, ale nie od policji, a od Europolu. Sam taką wiadomość otrzymałem i dowiedziałem się z niej, że jestem oskarżony o pedofilię. Na czym polega oszustwo i kto jest za nie odpowiedzialny? Wyjaśniam w tym tekście.
Oszuści prześcigają się w wymyślaniu i wcielaniu w życie kolejnych pomysłów na to jak wyłudzić od nas dane i pieniądze. Opisywany przez nas sposób, ponad wszelką wątpliwość jest jednym z nich. Działają z ukrycia, są bezwzględni i mają za nic obowiązujące przepisy prawa.
Oszustwo na policjanta, wnuczka czy lekarza, to metoda doskonale znana i rozpracowana w Polsce i u naszych zachodnich sąsiadów. Czym za to jest nowy proceder, w którym główną rolę w zdobyciu zaufania ofiary odgrywa Europol, czyli agencja Unii Europejskiej ds. współpracy organów ścigania?
Potencjalna ofiara, najczęściej osoba prowadząca działalność gospodarczą, której dane teleadresowe są powszechnie dostępne w CEiDG, otrzymuje profesjonalnie skonstruowaną wiadomość e-mail z komunikatem, który od razu sprawia, że serce zaczyna bić mocniej.
To zdanie ma na celu wywołanie u ofiary konsternacji. Jak sam się przekonałem, inżynieria oszustwa skalibrowana jest na to, żeby odbiorca tego maila jak najszybciej, pod wpływem skrajnie negatywnych emocji, wykonał kilka konkretnych ruchów – nawet z czystej ciekawości, na których najbardziej zależy oszustom.
Poniżej prezentujemy screen oryginalnej wiadomości. Skala procederu jest duża, co potwierdzają doniesienia medialne. Jak widać, wiadomość nie zawiera konkretnych wskazówek co do konkretnego postępowania w przypadku otrzymania tej korespondencji. E-mail zawiera plik PDF i to on jest kluczem do rozwikłania zagadki, fałszywych wezwań od Europolu.
Dołączony plik to zwykły PDF. Ma wiernie odwzorowywać wezwanie, które miał nam rzekomo przesłać Europol na nasz adres mailowy.
Zdecydowana większość tzw. klientów poczty e-mial nie rekomenduje uruchomienia funkcji automatycznego pobierania załączników z otrzymanych wiadomości, właśnie po to, by ustrzec użytkowników skrzynek przed takim atakiem phishingowym.
Najczęściej osoba przestraszona widmem konsekwencji grożących za, jak w tym przypadku "pedofilię", pod wpływem silnych emocji odpowiada na wiadomość. Samo nawiązanie korespondencji przez ofiarę daje bandytom jasny sygnał, że mają do czynienia z osobą podatną na manipulację.
Wówczas po wymianie kilku wiadomości, siłą perswazji doprowadzają ofiarę do zalogowania się do bankowości internetowej celem wyczyszczenia jej konta.
O opinie na temat tych wiadomości i nowego sposobu wykorzystywanego przez oszustów, pytamy Jacka Króla z portalu Niebezpiecznik.pl
Kolejnym etapem oszustwa, przed którym znacznie ciężej się uchronić, jest przesłanie zainfekowanego pliku PDF, po którego otwarciu do naszego urządzenia bez naszej wiedzy, w tle wgrywane jest szkodliwe oprogramowanie śledzące nasze poczynania w sieci.
Oszuści monitorują to, co robimy na naszym komputerze, aż do momentu, w którym nie zalogujemy się do naszego banku lub aplikacji, w której gromadzimy nasze oszczędności. Mając hasło, login i adres e-mail używany do logowania w te miejsca, dokonują kolejnego przestępstwa, czyli kradzieży i czyszczą konto ofiary.
Wówczas odzyskanie utraconych środków może być bardzo trudne, ponieważ jak pokazuje nasz przykład, nadawcy fałszywych wiadomości, często działają zza granicy celem zminimalizowanie ryzyka namierzenia przez organy ścigania.
Osoba, która przesłała do mnie e-mail, najprawdopodobniej przebywa w Hiszpanii. Świadczy o tym domena, z której przesłano wiadomość. Oszust korzystał z hiszpańskiej domeny z końcówką .es. Niestety liczba witryn wykorzystywanych do tego oszustwa jest niczym nieograniczona, ponieważ każda osoba w prosty sposób może dokonać zakupu i rejestracji domeny – nawet takiej do złudzenia przypominające rządowe strony internetowe.
Jedyną skuteczną receptą na uniknięcie konsekwencji przestępczego procederu, który stosują wobec nas internetowi przestępcy, jest wyłączenie opcji automatycznego pobierania załączników w naszym kliencie poczty e-mail. Potwierdzają to policjanci w rozmowie z nami.
Dodatkowo, przed otwarciem każdego z załączników, sprawdzajmy e-mail nadawcy. Jeśli go nie znamy lub nie istnieje on w naszej książce kontaktów, to po prostu powstrzymajmy się przed otwieraniem załączników. Policja apeluje, by każda osoba, która padła ofiarą oszustwa, niezwłocznie zgłosiła ten fakt na najbliższy komisariat policji.
Kary za kradzież i doprowadzenie do niekorzystnego rozporządzenia mieniem są w Polsce bardzo wysokie. Oszust może zostać skazany nawet na karę 8 lat pozbawienia wolności. Pisaliśmy o tym w INNPoland, szeroko omawiając to zagadnienie.
Oszuści wysyłający fałszywe "wezwania"
treśc oryginalnej wiadomości e-mail
Jacek Król
Specjalista ds. bezpieczeństwa
st. sierż. Tomasz Lis
Polska policja