Dzisiaj chcieli mnie okraść podszywając się pod konsultanta mBanku.
Nie uwierzycie, ale czekałem na ten moment bardzo długo 😅 Tak, tak..czekałem, aż będą mnie chcieli okraść. Jako zapaleniec cybersec chciałem przejść przez każdy etap tego scamu i zobaczyć jakie techniki wykorzystują. Dodatkowo chciałem zabawić się w Pierogi Scammer Payback i zmarnować im trochę czasu.
Wytrzymałem 41 minut! Znaczy scammerzy wytrzymali - popełniłem kilka błędów, ale o tym dalej!
Scam rozpoczyna się jak większość tego rodzaju. Telefon z informacją o zablokowaniu przelewu na 2 500 zł, wschodnio brzmiący Pan informuje o zablokowaniu przelewu i prosi o wysłanie maila z oświadczeniem że nie wykonywałem przelewu do firmy crypto com.
Jako adresat musiałem podać bardzo sprytnie przygotowany mail pomoc@infombank[.]pl (zgłosiłem do NASK). Pan bardzo dokładnie literował i informował, że pomiędzy info, a mbank NIE MA KROPKI.
Po przesłaniu wiadomości scammerzy już wiedzą, że jesteśmy podatni na proste techniki manipulacji i nie mamy większej świadomości o bezpieczeństwie i następuje przełączenie rozmowy do "Pracownika Działu Bezpieczeństwa" w którego głosie już nie ma wyczuwalnego żadnego akcentu - mówi i przeklina piękną polszczyzną.
Dostajemy SMSy z nadpisem mBank (że to jeszcze jest możliwe). Konto jest blokowane dla "niezaufanych" urządzeń, ale nasze będzie jeszcze działać, wyrabiane są nowe kart...oszuści są tak mili, że nawet pytają czy zachować taki sam wygląd kart.
Na tym etapie weryfikowane są posiadane środki, konta, usługi. Informacje wysyłamy ponownie na ten sam adres e-mail - pracownik twierdzi, że nie można podać mu tych danych przez telefon ze względów bezpieczeństwa.
Na tym etapie popełniłem błąd, który spalił całą akcję, ale już byliśmy na blisko 40 minucie rozmowy - nie pytajcie jak to zrobiłem 😂 Mam nadzieję, że to chociaż jedna oszukana osoba mniej.
Dobra, ale skąd mają dane?
CEIDG i Biała lista podatników VAT.
Numer konta firmowego się zgadzał, dane osobowe też, ale nie przewidzieli tego, że w bankowości mam podany zupełnie inny adres - nie jest on dostępny w internecie. Utwierdziło mnie to, że dane pochodzą z CEIDG, nawet przesyłki ze sklepów internetowych przychodzą gdzie indziej.
Gdzie popełniłem błąd?
Łatwo mnie wygooglować i podałem zbyt dużą kwotę posiadanych środków. W celu zainteresowania jak największej ilości "operatorów" lub przełączenia do operatora, który jest najwyżej w hierarchii scam-center podałem, że na firmowym koncie posiadam 13 milionów - uwiarygodniłem to przesyłając w wiadomości zdjęcie ze stanem konta. Wzbudziło to podejrzenia, rozpoczęło się przeszukiwanie informacji, spaliłem całą akcję. Ciągnąłem ile się dało, ale niestety...busted.
Ta historia pokazuje jak sprytne i coraz bardziej dopracowane są próby wyłudzeń "na pracownika banku". Scammerzy potrafią wykorzystywać publicznie dostępne dane (CEIDG, biała lista VAT), żeby rozmowa brzmiała bardziej wiarygodnie. Podszywają się pod konsultantów, wywołują presję i próbują nakłonić do wysyłania dodatkowych danych oraz wykonywania poleceń.
Najważniejsze...zachowaj spokój i nie działaj pod presją. Właśnie na emocje i pośpiech liczą oszuści. Im większa świadomość takich metod, tym mniej osób padnie ich ofiarą.
Domenę i informacje zgłosiłem do NASK.