Atak metodą na influencera i kod QR? Tego chyba jeszcze nie grali, ale ta metoda może okazać się kolejną sztuczką, wykorzystywaną przez internetowych oszustów.
CERT Orange Polska informuje o dość nietypowym oszustwie przez kod QR i aplikację Wiadomości Google. Przekręt odbiega od ataków przez SMS-y czy e-maile, na jakie narażeni są codziennie Polacy, ale mimo większej pracochłonności ze strony oszusta, może zyskać na popularności.
Do CERT Orange Polska trafiło zgłoszenie od klienta, proszącego o wyjaśnienie naliczenia wysokich opłat za usługi dodatkowe. Zgłaszający przysłał od razu podejrzane w jego opinii zrzuty ekranu z prowadzonej kilka tygodni wcześniej korespondencji za pośrednictwem platformy Discord. Rozmówcą miał być influencer i streamer Panda Gaming.
Podający się za niego oszust obiecał rozmówcy, że w zamian za zagłosowanie w ankiecie na kanał Panda Gaming przekaże mu karnet i gemy do gry Brawl Stars, ułatwiające rozgrywkę. Rozmówca dał się skusić, więc oszust poprosił o znalezienie aplikacji Wiadomości Google, otwarcie menu z profilem i wyszukanie tam opcji „Parowanie urządzenia”.
Fałszywy influencer poinstruował zaatakowanego, by włączył dostępny tam skaner kodów QR i zeskanował przesłany kod. Rozmówca, skupiony na otrzymaniu prezentu od rzekomego influencera nie zwrócił uwagi, że kod, który mu podaje, nie ma nic wspólnego z ankietą.
Co więcej „idol” jest jeszcze gotów dodać go do znajomych! Sprytna socjotechniczna sztuczka, odwracająca uwagę ofiary od tego, co się właśnie stało.
– komentuje CERT Orange Polska.
Jak wyjaśnia CERT Orange Polska, kod QR, który osoba podszywająca się pod influencera podsunęła nieświadomej ofierze, powoduje sparowanie aplikacji Wiadomości Google na telefonie ofiary z komputerem atakującego.
To wprowadzona już jakiś czas temu w Androidzie możliwość ułatwiająca podstawową interakcję telefonem bez odchodzenia od komputera. Jest to wygodne rozwiązanie, ale trzeba pamiętać, by nie skanować kodów QR podanych przez osoby trzecie.
Dzięki tej sztuczce oszust uzyskuje dostęp do wszystkich SMS-ów ofiary. W tym przypadku napastnik wykupił usługi online, za które płatność była pobierana z rachunku zaatakowanego. By ją zatwierdzić, wystarczyło podać kod z SMS-a. Łatwo sobie wyobrazić, że ten sam mechanizm można wykorzystać do innych przekrętów.
Youtuber prowadzący kanał Panda Gaming już wie, że podszywają się pod niego oszuści i opublikował film, ostrzegający przed próbami wyłudzenia. Jak jednak podkreśla CERT Orange Polska – to jeden, zgłoszony przypadek, ale niewykluczone, że oszuści wykorzystują również marki osobiste innych influencerów.
Zobacz: Pułapka w telefonach z Androidem. Wykrada dane karty płatniczej
Zobacz: Pułapka na Gmail. Rutynowa czynność może zmienić się w dramat
Źródło zdjęć: Shutterstock, CERT Orange Polska
Źródło tekstu: CERT Orange Polska
