Używasz BLIK? Pilne ostrzeżenie. Możesz stracić pieniądze
CERT Orange Polska zauważył dziś nową aktywność przestępców, którzy pozywając się pod BLIK, próbują wyłudzić login i hasło do banku.
BLIK to jedna z najpopularniejszy metod płatności w Polsce, niedziwne więc, że przestępcy chętnie się pod nią podszywają. Eksperci od bezpieczeństwa z CERT Orange Polska namierzyli właśnie kolejny taki atak.
Uważajcie na fałszywe SMS-y, sugerujące problem z usługą BLIK! Od piątkowego popołudnia obserwujemy wzmożoną liczbę tego typu wiadomości, będących próbą wyłudzenia loginu i hasła do banku
– alarmuje CERT Orange Polska.
Fałszywe wiadomości przychodzą w SMS-ach z napisami NOTICE oraz InfoSMS – te nazwy widnieją w polu nadawcy, co może sugerować systemowy komunikat. Nadpis BLIK jest zastrzeżony i przestępcy nie mogą się nim posługiwać, ale słowo BLIK widnieje w treści SMS-a:
[BLIK] Aby moc dalej korzystac z BLIK-a, zweryfikuj swoja tozsamosc juz teraz. Zrob to na: wymien-teraz[.]com
Chociaż BLIK często pojawia się w próbach oszustw, to ponowna weryfikacja tożsamości w tym systemie płatności stanowi pewną nowość.
Z czymś takim się do tej pory nie spotkaliśmy, a BLIK nie wygasa
– komentuje CERT Orange Polska.
BLIK nie wygasa, ale zaniepokojone ofiary nie będą się nad tym zastanawiały, a sugestia, że bez weryfikacji nie będzie można dalej korzystać z płatności to socjotechniczne oddziaływanie na emocje.
Po kliknięciu w link z wiadomości SMS ofiara na początku trafia na stronę udającą witrynę BLIK z logotypami poszczególnych banków. Oszuści zachęcają do wybrania swojego, by przejść do kolejnego etapu rzekomej weryfikacji.
Gdy klikniemy w logotyp banku, trafimy na stronę podszywającą się pod konkretny bank. Można się nabrać, bo strony są skopiowane niemal 1:1, a że mamy do czynienia z fałszywką, zdradza tylko link w pasku adresu.
CERT Orange Polska badał, co dzieje się w kolejnych etapach. Po wpisaniu identyfikatora i hasła najpierw pojawia się monit o przetwarzaniu wprowadzonych informacji (co ciekawe, po niemiecku), a następnie kolejny ekran, gdzie z kolei przestępcy chcą od nas wyłudzić PESEL i nazwisko panieńskie matki.
W przypadku mBanku te dane są niezbędne do skojarzenia aplikacji mobilnej z kontem. W innych bankach mogą pojawić się inne pola i monity, ale efekt jest zawsze takim sam – wszystko kończą się przejęciem przez oszustów kontroli nad kontem bankowym.
CERT Orange Polska radzi, by z założenia nie wierzyć SMS-om związanym z pieniędzmi lub usługami finansowymi. Należy zawsze sprawdzać adres w pasku przeglądarki, a dane wrażliwe podawać wyłącznie, gdy sami wpiszemy na stronie adres banku.
