„Kod weryfikacyjny: 748 219. Nie przekazuj tego kodu nikomu, również doradcy."
Nie prosiłeś o nic. A jednak SMS przychodzi od nadawcy, którego rozpoznajesz — nazwa twojego banku, platformy sprzedażowej, serwisu płatniczego. Czytasz go dwa razy, wzruszasz ramionami. A dwadzieścia pięć sekund później dzwoni telefon.
Po drugiej stronie spokojny głos, w tle delikatny gwar call center, twoje nazwisko wymówione poprawnie. „Dzień dobry, dział bezpieczeństwa. Wykryliśmy próbę płatności na 847 euro z pańskiego konta z nieznanego urządzenia. Właśnie otrzymał pan kod SMS-em: to kod anulujący. Czy może mi go pan podyktować, żebym zablokował operację?"
Ten kod niczego nie anuluje. On autoryzuje. A SMS, który cię ostrzegał, mówił dokładnie prawdę — tyle że byłeś już w scenariuszu napisanym przez kogoś innego.
Kod jednorazowy, ostatni zamek przed pustką
Od wejścia w życie europejskiej dyrektywy o usługach płatniczych (PSD2), która nakłada obowiązek silnego uwierzytelniania klienta, niemal wszystkie wrażliwe operacje przechodzą przez drugi składnik: kod wysłany SMS-em, powiadomienie do zatwierdzenia w aplikacji bankowej, czasem odcisk palca.
Ten kod — mówi się o OTP, one-time password, haśle jednorazowym — stał się obowiązkowym punktem przejścia każdego oszustwa. Przestępca, który dysponuje twoim loginem i hasłem, zdobytymi w wycieku danych albo przez fałszywą stronę, nie może już nic zrobić sam. Brakuje mu jednej rzeczy: sześciu cyfr, które otrzymujesz tylko ty.
Stąd całkowite odwrócenie strategii przestępczej. Nie chodzi już o włamanie do systemu, lecz o przekonanie człowieka, by odczytał na głos sześć cyfr. To nieskończenie tańsze i, niestety, skuteczniejsze.
Banki centralne i organy nadzoru nad bezpieczeństwem środków płatniczych odnotowują to rok po roku: oszustwa „z manipulacją ofiarą" rosną, podczas gdy oszustwa czysto techniczne maleją. Atakujący nie musi już być informatykiem. Musi być aktorem — albo mieć robota, który zagra za niego.
„Boty OTP": kiedy oszustwo staje się abonamentem miesięcznym
To prawdziwa zmiana ostatnich dwóch lat, mało znana szerokiej publiczności. Kradzież kodów weryfikacyjnych została zindustrializowana w formie usług „pod klucz", sprzedawanych na prywatnych kanałach komunikatorów w abonamencie miesięcznym.
Zasada jest przygnębiająco prosta. Oszust dysponuje twoimi danymi logowania (kupionymi w pakiecie skradzionych danych). Loguje się do twojego konta, co uruchamia automatyczne wysłanie prawdziwego SMS-a przez prawdziwy serwis. W tej samej chwili wpisuje twój numer do bota i wybiera scenariusz: „bank", „dostawa", „platforma kryptowalutowa", „operator telekomunikacyjny".
Robot wybiera twój numer, odtwarza syntetyczny głos — często doskonały, po polsku bez obcego akcentu, z tłem dźwiękowym call center — i prosi, byś wpisał lub podyktował kod, który właśnie dostałeś. Gdy tylko to zrobisz, kod trafia do oszusta w czasie rzeczywistym, a on wprowadza go przed wygaśnięciem. Cała operacja trwa mniej niż dziewięćdziesiąt sekund.
Trzy szczegóły czynią ten mechanizm wyjątkowo groźnym:
- Synchronizacja jest perfekcyjna. Prawdziwy SMS i telefon przychodzą we właściwej kolejności, w odstępie kilku sekund. Mózg automatycznie łączy oba zdarzenia.
- SMS jest autentyczny. Naprawdę pochodzi od twojego banku, od właściwego nadawcy, z właściwym formatowaniem. Nie ma czego wykrywać, nie ma podejrzanego linku do sprawdzenia: nie ma tam żadnego linku.
- Wyświetlany numer jest podrobiony. Dzięki spoofingowi połączenie wygląda, jakby pochodziło z numeru wydrukowanego na odwrocie twojej karty płatniczej.
Innymi słowy, wszystkie odruchy, których uczy się nas od dziesięciu lat — sprawdź link, sprawdź nadawcę, sprawdź numer — zostają jednym ruchem unieszkodliwione.
Pięć najczęściej powracających scenariuszy
1. Fałszywy doradca z „działu bezpieczeństwa"
Klasyk. Rzekomo wykryto podejrzaną płatność, trzeba ją anulować. Kod ma służyć do „zablokowania", „odrzucenia", „zabezpieczenia". Bank nigdy nie prosi o kod w celu anulowania czegokolwiek: anulowanie następuje po jego stronie, bez twojego udziału.
2. Potwierdzenie dostawy
Paczka jakoby utknęła, trzeba potwierdzić przedział czasowy. Kod rzekomo służy do „zweryfikowania adresu". W praktyce często zatwierdza założenie konta albo dodanie karty płatniczej do portfela mobilnego.
3. Sprzedaż między osobami prywatnymi
Sprzedajesz przedmiot. Kupujący wysyła ci kod, „żeby sprawdzić, czy nie jesteś botem", zanim przyjedzie. To kod rejestracji w usłudze zewnętrznej, powiązany z twoim numerem — który posłuży potem do budowania kolejnych oszustw w twoim imieniu.
4. Fałszywa obsługa klienta operatora
Proponują ci rabat, gest handlowy, zmianę taryfy. Kod, o który proszą, to w rzeczywistości ten, który autoryzuje przeniesienie twojego numeru na inną kartę SIM. Ten wariant prowadzi wprost do całkowitego przejęcia twojego numeru.
5. „Reaktywacja" zablokowanego konta
Skrzynka mailowa, serwis ogłoszeniowy, usługa płatności mobilnych: informują cię o blokadzie i „pomagają" ją zdjąć. Kod rzeczywiście coś odblokowuje — dostęp oszusta.
Dlaczego dają się nabrać nawet osoby ostrożne
Trzeba porzucić przekonanie, że te oszustwa dotyczą wyłącznie osób, które nie radzą sobie z technologią. Scenariusze wykorzystują uniwersalne mechanizmy poznawcze, doskonale opisane w literaturze.
Pośpiech wyłącza weryfikację. Duża kwota, konto w niebezpieczeństwie, dwie minuty na decyzję: mózg przełącza się w tryb reakcji. Badania nad podejmowaniem decyzji pod wpływem stresu pokazują wyraźny spadek zdolności do rozważania alternatywnych hipotez.
Spójność uspokaja bardziej niż autentyczność. Dostajesz SMS, ktoś dzwoni w sprawie tego SMS-a: oba elementy wzajemnie się potwierdzają. Nazywa się to iluzją potwierdzenia. Tymczasem oba pochodzą z tego samego źródła — oszust po prostu wywołał to pierwsze.
Autorytet rozbraja sprzeciw. Spokojny głos, branżowe słownictwo („zastrzeżenie", „odrzucenie operacji", „drugi poziom"), znany numer. Przerwanie komuś, kto zdaje się nam pomagać, wymaga realnego wysiłku społecznego.
Treść ostrzeżenia zostaje obejściem. „Nie przekazuj tego kodu nikomu" oszust przedstawia jako wskazówkę dotyczącą innych połączeń: „Oczywiście, słusznie pan jest nieufny. Właśnie dlatego dzwonię ja, z oficjalnego numeru". Wątpliwość zostaje wchłonięta, odwrócona, przerobiona na dowód wiarygodności.
Jedna zasada, która wystarczy, by zablokować wszystko
Możesz zapomnieć o listach dziesięciu porad. Jedno zdanie chroni przed całością tych scenariuszy:
Kodu otrzymanego SMS-em nigdy się nie podaje, nigdy nie wystukuje na klawiaturze telefonu, nigdy nie przesyła dalej. Wpisujesz go wyłącznie ty, na ekranie, w aplikacji lub na stronie, którą sam otworzyłeś.
Żadnych wyjątków. Ani dla doradcy bankowego, ani dla policjanta, ani dla technika, ani dla kuriera, ani dla kupującego. Żaden uczciwy profesjonalista nie potrzebuje tego kodu, ponieważ żaden uczciwy profesjonalista nie działa właśnie w tej chwili na twoim koncie zamiast ciebie.
Równie ważny wniosek: kod otrzymany bez powodu to sygnał alarmowy, a nie pomyłka. Jeśli przychodzi, choć nic nie zrobiłeś, oznacza to, że ktoś już ma twoje dane logowania i próbuje wejść. Właściwą reakcją nie jest zignorowanie SMS-a, lecz natychmiastowa zmiana hasła do danej usługi, z poziomu oficjalnej aplikacji.
Odzyskać kontrolę: konkretne kroki
Rozłączyć się, a potem oddzwonić samemu
To najskuteczniejszy gest i zarazem najtrudniejszy do wykonania. Przerywamy połączenie, czekamy całą minutę (niektórzy oszuści utrzymują linię otwartą), a potem sami wybieramy numer widniejący na odwrocie karty płatniczej lub w aplikacji. Jeśli incydent był prawdziwy, za pięć minut wciąż tam będzie.
Osobom, które odbierają dużo niechcianych połączeń, telefon stacjonarny z filtrowaniem połączeń — blokujący numery niezapisane w książce lub wymuszający wcześniejszą zapowiedź — usuwa sporą część szumu. To niewielka inwestycja dla starszego rodzica, który nie ma odwagi rozłączyć się uprzejmemu rozmówcy.
Odejść od SMS-a w uwierzytelnianiu, gdy to możliwe
SMS pozostaje najsłabszym składnikiem uwierzytelniania: można go przechwycić przez przejęcie linii, odczytać na zablokowanym ekranie i wykorzystać w opisanej tu manipulacji. Gdy usługa na to pozwala, wybierz aplikację uwierzytelniającą (zatwierdzanie w aplikacji bankowej, generator kodów) lub — przy najbardziej wrażliwych kontach — fizyczny klucz bezpieczeństwa FIDO2, który ma tę zaletę, że nie wyświetla niczego, co dałoby się podyktować nieznajomemu.
Zablokować podgląd wiadomości
Domyślnie wiele telefonów wyświetla treść SMS-ów na zablokowanym ekranie. Kod widoczny bez odblokowania to kod wystawiony na widok każdego, kto spojrzy na urządzenie — w pociągu, w open space, w poczekalni. Ustawienie znajduje się w powiadomieniach: wybierz „ukryj treść". Filtr prywatyzujący na ekran smartfona dobrze uzupełnia to zabezpieczenie u osób, które sprawdzają telefon w środkach transportu.
Chronić samą linię telefoniczną
Skoro SMS przychodzi na twoją kartę SIM, karta SIM staje się celem. Dwie ostrożności: włączyć kod PIN karty (u wielu użytkowników wyłączony domyślnie) i poprosić operatora o blokadę przenoszenia numeru — opcję, która uniemożliwia przeniesienie linii bez wzmocnionej weryfikacji. Ci, którzy rozdzielają swoje zastosowania, docenią telefon z dwiema kartami SIM, pozwalający zarezerwować osobny numer wyłącznie do usług bankowych, nigdy niepodawany w ogłoszeniach ani formularzach.
Zapisać zasadę na fizycznym nośniku
Wydaje się to naiwne, a jednak działa najlepiej wśród osób szczególnie narażonych. Wydrukowana kartka położona przy telefonie stacjonarnym z trzema linijkami: „Nigdy nie dyktuję kodu. Rozłączam się. Sam dzwonię do swojego banku". Wiele organizacji prewencyjnych rozdaje tego typu ściągawki. Praktyczny poradnik cyberbezpieczeństwa na co dzień, zostawiony na stoliku kawowym, często robi dla rodzinnej czujności więcej niż długie przemowy.
Jeśli podałeś kod
Nie ma się czego wstydzić — te scenariusze są projektowane przez profesjonalistów, dla których to praca na pełen etat. Jest za to pilna sprawa.
| Termin | Działanie |
|---|---|
| Natychmiast | Zadzwonić na infolinię zastrzeżeń swojego banku (numer na odwrocie karty) i zablokować kartę oraz dostęp online |
| W ciągu godziny | Zmienić hasło do danej usługi i do powiązanej skrzynki mailowej, w miarę możliwości z innego urządzenia |
| W ciągu 24 godzin | Zgłosić sprawę na oficjalnej platformie zgłaszania oszustw i złożyć zawiadomienie na policji |
| W ciągu 13 miesięcy | Zakwestionować nieautoryzowane operacje pisemnie w banku |
Kilka przydatnych punktów odniesienia:
- Numer 3018 (połączenie i usługa bezpłatne) wspiera ofiary przemocy cyfrowej; Info Escroqueries pod numerem 0 805 805 817 udziela informacji o krokach do podjęcia.
- Oszukańcze SMS-y zgłasza się pod numer 33700, wspólną usługę francuskich operatorów.
- Serwis cybermalveillance.gouv.fr, krajowy system pomocy, oferuje karty postępowania i katalog certyfikowanych usługodawców.
- Kodeks monetarny i finansowy przewiduje zwrot środków za nieautoryzowane transakcje płatnicze, z wyjątkiem rażącego niedbalstwa klienta. Pojęcie rażącego niedbalstwa ocenia się indywidualnie: fakt padnięcia ofiarą wyrafinowanej manipulacji, z podszyciem się pod numer banku, był już rozstrzygany na korzyść klienta przez Sąd Kasacyjny. Zachowaj wszystko: zrzuty ekranu, godziny połączeń, wyświetlany numer, treść SMS-ów.
Co to oszustwo zapowiada na przyszłość
Jednorazowy kod SMS przeżywa ostatnie lata jako standard bezpieczeństwa. Europejskie organy nadzoru bankowego już zachęcają do migracji ku metodom wiążącym uwierzytelnienie z urządzeniem i z samą operacją — zatwierdzenie w aplikacji, która wyświetla kwotę i odbiorcę, jest znacznie trudniejsze do przechwycenia przez telefon.
Na razie podatność nie tkwi ani w telefonie, ani w sieci: tkwi w rozmowie. Oszust nie kradnie kodu, on go otrzymuje. Co oznacza, że jedna decyzja — uprzejma odmowa, rozłączenie się, oddzwonienie z własnej inicjatywy — wystarczy, by zniweczyć cały łańcuch ataku, łącznie z botami głosowymi.
SMS, który cię ostrzega, ma rację. To telefon, który po nim następuje, kłamie.
