„ALERT BEZPIECZEŃSTWA: na Twoim urządzeniu wykryto 3 zagrożenia. Twoje dane bankowe są narażone. Skontaktuj się natychmiast z autoryzowanym wsparciem pod numerem 22 84 XX XX XX."
Czytasz tę wiadomość na ekranie tego samego urządzenia, które rzekomo jest zainfekowane. Na tym właśnie polega siła tego scenariusza: dowód i objaw zlewają się w jedno. I w przeciwieństwie do 90% fałszywych SMS-ów, które tu rozbieramy na części, ten nie zawiera żadnego linku. Żadnej dziwnej domeny, żadnego [.]info do wypatrzenia, niczego, nad czym można by najechać kursorem. Tylko numer telefonu ze stacjonarnym prefiksem, doskonale lokalny, który czeka wyłącznie na jedno: żebyś zadzwonił.
Ten wariant ma w żargonie cyberbezpieczeństwa swoją nazwę: callback phishing, czyli phishing z oddzwonieniem. Odwraca on zwykłą logikę. To już nie oszust popycha Cię w stronę strony internetowej — to Ty dobrowolnie wybierasz jego numer. A od tego momentu nie masz przed sobą formularza, tylko wyszkolonego człowieka.
Dlaczego oszuści rezygnują ze spreparowanego linku
Klikalny link przez długi czas był absolutną bronią smishingu. Jest nią coraz rzadziej, z trzech bardzo konkretnych powodów.
Filtry stały się skuteczniejsze. Operatorzy telekomunikacyjni oraz systemy antyspamowe wbudowane w iOS i Androida analizują dziś adresy URL zawarte w wiadomościach. Domena utworzona dzień wcześniej, hostowana w egzotycznym kraju i podszywająca się pod znaną markę ma oczekiwaną długość życia liczoną w godzinach. SMS bez linku praktycznie nie uruchamia żadnego automatycznego alertu: zawiera wyłącznie tekst i krajowy numer telefonu.
Odbiorcy zostali wyedukowani — ale tylko w jednym odruchu. Kampanie prewencyjne instytucji zajmujących się cyberbezpieczeństwem masowo rozpowszechniły prosty przekaz: „nie klikaj w link". Świetna rada, ale tworzy martwe pole. Wiele osób przyswoiło sobie „link = niebezpieczeństwo", nie przyswajając „nieznany numer = niebezpieczeństwo". Zadzwonienie wydaje się wręcz zachowaniem ostrożnym: wolimy „sprawdzić u prawdziwego człowieka" niż kliknąć.
Człowiek konwertuje lepiej niż formularz. Strona phishingowa przechwytuje login i hasło. Oszust przez telefon zdobywa znacznie więcej: nazwę Twojego banku, Twoją dostępność, poziom kompetencji technicznych, stan emocjonalny — a przede wszystkim Twoją aktywną współpracę przez trzydzieści do czterdziestu minut. Instytucje nadzorujące rynek płatności podkreślają zresztą wyraźny wzrost liczby oszustw tzw. „manipulacyjnych", w których ofiara sama wykonuje nieuprawnione operacje. Taki SMS jest typową bramą wejściową.
Typowy przebieg rozmowy z „wsparciem"
Scenariusze się różnią, ale mechanika jest zadziwiająco stała. Oto sekwencja, którą opisuje większość ofiar.
1. Budowanie zaufania technicznego
Po drugiej stronie spokojny głos, w tle lekki gwar call center — często sztucznie odtworzony, by uwiarygodnić wrażenie prawdziwego centrum obsługi. Otrzymujesz „numer sprawy", pytają Cię o nazwisko i model telefonu. Być może odczytają Ci jakiś numer referencyjny z SMS-a. Na tym etapie nikt nie prosi o nic wrażliwego — i to jest celowe. Chodzi o to, byś poczuł się w normalnej relacji usługowej.
2. Demonstracja infekcji
Fałszywy technik każe Ci otworzyć jakiś zupełnie niewinny ekran urządzenia: listę ostatnio używanych aplikacji, historię logowań do konta, ustawienia sieci. A potem interpretuje. „Widzi pan tę linijkę? To połączenie z zagranicy." Niemal zawsze chodzi o elementy całkowicie normalne, ale nieczytelne dla laika. Metoda jest identyczna z tą stosowaną od piętnastu lat w oszustwach na fałszywe wsparcie techniczne Windows, po prostu przeniesioną na urządzenia mobilne.
3. Instalacja zdalnego dostępu
To punkt zwrotny. Prosi Cię o zainstalowanie aplikacji „diagnostycznej", o uspokajającej nazwie, dostępnej w oficjalnych sklepach — bo to prawdziwe programy do zdalnej pomocy technicznej, wykorzystane niezgodnie z przeznaczeniem. Po przyznaniu uprawnień ułatwień dostępu rozmówca widzi Twój ekran i może na nim działać.
4. „Zabezpieczanie" środków
Scenariusz kończy się niemal zawsze tym samym zdaniem: Twoje oszczędności są zagrożone, trzeba je przelać na „bezpieczne konto" — czasem przedstawiane jako konto banku centralnego lub rachunek powierniczy. W innych wariantach każą Ci zatwierdzić operację w aplikacji bankowej, podczas gdy oszust steruje nią zdalnie, albo proszą o podyktowanie kodów otrzymanych SMS-em, żeby „anulować" obciążenie.
Żadna obsługa klienta, żaden bank, żaden operator ani żaden urząd nigdy nie poprosi Cię o zainstalowanie oprogramowania do zdalnego dostępu na Twoim prywatnym telefonie ani o przelanie pieniędzy na „konto bezpieczeństwa". Te dwie prośby same w sobie są sygnaturą oszustwa.
Kto dostaje takie wiadomości i dlaczego one działają
Ten scenariusz celuje przede wszystkim w dwa profile, z przeciwstawnych powodów.
Osoby słabo obeznane z technologią, które przyswoiły sobie ideę, że telefon może „złapać wirusa", nie wiedząc dokładnie, co to konkretnie oznacza. Dla nich istnienie numeru pomocy technicznej jest spójne ze wszystkim, co znają: router internetowy, sprzęt AGD, ubezpieczenie. Zadzwonienie na infolinię mieści się w repertuarze normalnych zachowań. Właśnie dlatego towarzyszenie starszej bliskiej osobie liczy się bardziej niż jakiekolwiek oprogramowanie: praktyczny poradnik bezpieczeństwa cyfrowego położony pod ręką, z zapisanymi na nim oficjalnymi numerami, często działa lepiej niż długie przemowy.
Osoby przeciwnie — mocno usieciowione, zarządzające wieloma kontami, otrzymujące bez przerwy prawdziwe alerty bezpieczeństwa, u których jedno powiadomienie więcej nie wzbudza szczególnej nieufności. Tu nie chodzi o niewiedzę, tylko o zmęczenie alertami.
Sześć sygnałów zdradzających fałszywe wsparcie
| Zaobserwowany sygnał | Co robi prawdziwa obsługa | Co robi oszust |
|---|---|---|
| Kanał kontaktu | To Ty kontaktujesz się przez oficjalną aplikację lub numer z odwrotu karty | Narzuca Ci numer podany w wiadomości |
| Słownictwo | Precyzyjne, wyważone, „sprawdzimy to" | Alarmistyczne, z liczbami, „wykryto 3 zagrożenia" |
| Tempo | Możesz oddzwonić później | Liczy się każda minuta, nie wolno się rozłączać |
| Oprogramowanie | Nic nie trzeba instalować | Niezbędna aplikacja „diagnostyczna" |
| Kody otrzymane SMS-em | Nigdy nie są wymagane ustnie | Dyktowane „w celu zatwierdzenia anulowania" |
| Przeznaczenie środków | Żadne, Twoje pieniądze nie ruszają się z miejsca | Konto „zabezpieczone", zrzutka, kryptowaluty |
Na dodatkową uwagę zasługuje jeszcze jeden szczegół: sama natura alertu. Naprawdę skompromitowany telefon nie ostrzegłby Cię SMS-em z numerem do wybrania. Autentyczne alerty bezpieczeństwa Androida czy iOS-a pojawiają się w ustawieniach systemu albo w odpowiedniej aplikacji, nigdy w formie wiadomości tekstowej od nieznanego nadawcy.
Co zrobić natychmiast, jeśli już zadzwoniłeś
Kolejność ma znaczenie. Oto kroki, od najpilniejszego do najmniej pilnego.
- Odetnij połączenie. Tryb samolotowy albo wyłączenie urządzenia. Jeśli działa oprogramowanie do zdalnego dostępu, zakończy to bieżącą sesję.
- Odinstaluj aplikację zainstalowaną podczas rozmowy, a także wszystkie aplikacje, których nie rozpoznajesz, i cofnij uprawnienia ułatwień dostępu w ustawieniach.
- Zadzwoń do swojego banku z innego urządzenia, wybierając numer widniejący na odwrocie karty płatniczej — nigdy ten, który Ci podano. Poproś o blokadę operacji i zastrzeżenie karty.
- Zmień hasła do wrażliwych kont z bezpiecznego urządzenia: najpierw główna skrzynka pocztowa, potem bank, potem konta zakupowe. Menedżer haseł pozwala uniknąć używania wszędzie tej samej kombinacji, na co właśnie liczy oszust.
- Złóż zawiadomienie na policji, mając przy sobie zrzuty ekranu, numer, na który dzwoniłeś, godziny i kwoty. Oficjalne platformy ds. cyberbezpieczeństwa kierują też do lokalnych specjalistów.
- Zgłoś SMS-a operatorowi lub do krajowego systemu zgłaszania spamu SMS-owego i głosowego, przekazując wiadomość dalej. Zgłoś także numer, na który dzwoniłeś: dzięki temu szybciej zostanie wyłączony z obiegu.
W przypadku wykonanego przelewu przepisy o usługach płatniczych nakładają na bank obowiązek zwrotu nieautoryzowanej transakcji. Trudność w oszustwach manipulacyjnych polega na tym, że operacja została zatwierdzona przez samego klienta — banki powołują się wtedy na rażące niedbalstwo. Mimo to nie rezygnuj. Instytucje sektora bankowego oraz rzecznik finansowy regularnie zajmują się tego typu sporami, a w wielu rozstrzygnięciach uznano odpowiedzialność instytucji, gdy manipulacja była szczególnie wyrafinowana.
Zmniejsz powierzchnię ataku przed kolejną wiadomością
Żadne zabezpieczenie nie daje odporności, ale kilka ustawień znacząco obniża ryzyko.
Zamknij bankowe drzwi wejściowe. Silne uwierzytelnianie w aplikacji bankowej powinno opierać się na weryfikacji biometrycznej lub kodzie wpisywanym w samej aplikacji, nigdy na kodzie przekazywanym ustnie. Sprawdź też limit przelewów: niski limit, podnoszony doraźnie w razie potrzeby, mechanicznie ogranicza straty.
Odizoluj konta krytyczne. Fizyczny klucz bezpieczeństwa zgodny z FIDO2, podłączany przez USB lub zbliżany przez NFC, sprawia, że kradzież Twoich danych logowania staje się bezużyteczna w przypadku głównej skrzynki pocztowej. To najbardziej opłacalna inwestycja dla osób zarządzających wieloma wrażliwymi kontami, bo skrzynka e-mail jest kluczem do całej reszty.
Nie pozwól, by telefon był jedynym punktem dostępu. Jeśli komórka jest Twoim jedynym sposobem uwierzytelniania się wszędzie, jej przejęcie równa się utracie wszystkiego. Trzymanie drugiego składnika gdzie indziej — na tablecie, komputerze albo w notesie z kodami zapasowymi schowanym poza zasięgiem wzroku — rozdziela ryzyka.
Dbaj o aktualizacje. Zaktualizowany system blokuje znane wektory ataku. A zmęczona bateria, która zmusza do odkładania aktualizacji w celu oszczędzania energii, to pośredni problem bezpieczeństwa: kompaktowy powerbank często wystarcza, by przerwać to błędne koło.
Szczególny przypadek starszych bliskich
To właśnie wśród tej grupy oszustwo na fałszywe wsparcie wyrządza najwięcej szkód, ponieważ łączy trzy dźwignie: strach przed „zrobieniem czegoś źle" z technologią, szacunek dla domniemanego autorytetu technika oraz samotność w momencie rozmowy.
Kilka prostych działań, skuteczniejszych niż jakakolwiek pogadanka:
- Zapisz prawdziwe numery na papierze. Numer banku, lekarza, obsługi klienta operatora, wypisane na kartce położonej przy telefonie. Zasada brzmi: „dzwonimy tylko na to, co jest na kartce".
- Wprowadź odruch zwłoki. „Zanim cokolwiek zainstalujesz albo ruszysz pieniądze, dzwonisz do mnie." Prosta rodzinna zasada, wypowiedziana raz, rozbraja sztuczną presję czasu.
- Uprość sprzęt tam, gdzie to ma sens. Przy użytkowaniu ograniczonym do rozmów telefon z dużymi klawiszami drastycznie zmniejsza powierzchnię ekspozycji: nie ma czego instalować, nie da się przejąć zdalnej kontroli.
- Włącz filtrowanie połączeń. Wszyscy najwięksi operatorzy oferują opcje blokowania niechcianych połączeń i wiadomości, często bezpłatne i rzadko aktywowane.
Co ten SMS mówi o ewolucji oszustw
Przejście od linku do rozmowy telefonicznej nie jest szczegółem technicznym, lecz zmianą natury zjawiska. Oszuści zrozumieli, że obrona technologiczna rozwija się szybciej niż obrona ludzka. Odfiltrowanie złośliwego adresu URL to problem rozwiązany; powstrzymanie kogoś przed zaufaniem spokojnemu głosowi w telefonie — nie, i nigdy nie będzie rozwiązany w pełni.
Stąd jedyny naprawdę odporny odruch, który działa niezależnie od scenariusza, podszywanej marki i wyrafinowania wiadomości: nigdy nie oddzwaniamy na numer podany w niezamówionej wiadomości. Rozłączamy się, sami szukamy oficjalnego numeru, wybieramy go. Ten gest kosztuje trzydzieści sekund. Sam w sobie unieważnia cały opisany w tym artykule łańcuch zdarzeń.
A jeśli pokusa, by zadzwonić i „mieć pewność", nadal jest silna, przypomnij sobie pytanie, które rozstrzyga wszystko: dlaczego usługa, która naprawdę wykryłaby zagrożenie na Twoim urządzeniu, potrzebowałaby Ciebie, żeby się nim zająć?
