Sprawdź najczęstsze przypadki oszustw w sieci i zabezpiecz swoją działalność w Internecie.
Cyberprzestępczość
Badanie
Według danych Breach Level Index szacuje się, że w 2018 roku każdego dnia, średnio ponad 18,5 miliona rekordów (określonych ciągów danych) padało ofiarą nieuprawnionego dostępu. Na przestrzeni całego roku daje to liczbę blisko 7 miliardów. Ataki nie ominęły żadnego sektora, choć tradycyjnie największą popularnością wśród napastników cieszyły się zasoby branży medycznej, finansowej oraz instytucji państwowych. Mówimy tutaj o organizacjach – korporacjach, firmach czy urzędach. Pośrednio ofiarą ataku stajemy się jednak my sami – pracownicy, konsumenci, petenci czy klienci, a ściślej mówiąc – informacje o nas. Sytuacja taka miała miejsce chociażby w przypadku kradzieży danych klientów popularnego sklepu Morele.net czy też niedawnego wycieku z platformy szkoleniowej Krajowej Szkoły Sądownictwa i Prokuratury. Dane takie często następnie trafiają do sprzedaży na tzw. darknecie, a ich nabywcy mogą już wykorzystać je w przeróżny sposób.
Załóżmy więc, że padliśmy ofiarą ataku. Przestępca uzyskał dostęp do naszych danych z serwisu, którym niedawno spotkał wyciek danych. Co dzieje się dalej? Możemy spodziewać się próby scamu lub phishingu. Scam niekiedy przybrać może wręcz absurdalną formę testamentu nigeryjskiego księcia, który potrzebuje TYLKO $50 na koszty księgowe, w celu przekazania nam kilkunastu milionów dolarów w spadku. Obecnie metoda to stała się już żartem samą w sobie i jest raczej rzadko spotykana. Nigeryjski książę może zamienić się w luksusowe auto z loterii czy też najnowszego iPhone’a. Cel ataku jednak pozostaje ten sam.
Bardziej niebezpiecznym narzędziem jest natomiast phishing, który bez wnikliwej analizy może nie budzić żadnych wątpliwości co do swojej autentyczności. Jaką postać może przybrać ten atak? Przykładowo będzie to e-mail z serwisu aukcyjnego, który zawiera ostatnie upomnienie do uiszczenie opłaty za korzystanie z usług. Przeprowadzamy więc krótką (acz niedokładną) analizę: rzeczywiście kupowaliśmy tam ostatnio jakiś przedmiot; adres zdaje się być prawidłowy; stopka zawiera autentyczne logo i dane firmy. Być może coś nam umknęło? Nie chcemy stwarzać sobie problemów, więc klikamy w link. Następstwa mogą być różne i zależą od celu, jaki chciał osiągnąć atakujący. Być może otworzy się pusta strona, a bez naszej wiedzy, na urządzeniu zainstaluje się oprogramowanie szpiegujące. Być może zostaniemy przekierowani do fałszywej witryny płatności, ponownie, przypominającej autentyczny serwis transakcji internetowych. Może być to kopia 1:1, jedyna różnica będzie polegała na miejscu docelowym naszych pieniędzy, czyli koncie przestępcy.
Scenariusz
Powyższy akapit to jedynie przykładowy scenariusz. Cyberprzestępcy są dobrze zorientowani we współczesnym świecie. Wiedzą jak i gdzie szukać podatności oraz wynajdują kolejne sposoby na oszukanie niczego nieświadomych użytkowników. Przykładem z życia wziętym może być atak, z jakim spotkali się liczni klienci korzystający z paczkomatów. W fałszywych sms-ach proszeni byli o uiszczenie brakującej opłaty za dostawę paczki. Skala ataków była na tyle zaawansowana, że InPost postanowił całkowicie zrezygnować ze swoich powiadomień SMS, na rzecz emaili i aplikacji mobilnej.
Niekiedy atak tego typu przyjmuje jeszcze bardziej złożoną formę. Za przykład niech posłuży nam tutaj tak zwana “metoda na BLIKa”. Na czym ona polega? Przestępca może uzyskać dostęp do konta jakiegoś naszego znajomego. Najczęściej jest to jakiś portal społecznościowy. Następnie kontaktuje się z nami na komunikatorze i opisuje w jak pilnej sytuacji się znalazł. Być może stoi przy kasie, a jego karta jest odrzucana. Być może potrzebuje wybrać 50 zł z bankomatu. Być może brakuje potrzebuje opłacić rachunki. Takie scenariusze można wymieniać bez końca. Pieniądze oczywiście nie pomogą naszemu znajomemu, tylko trafią do przestępcy. Atakujący żerują na współczuciu i naiwności. W końcu kto odmówi bliskiej osobie w potrzebie? W takiej sytuacji warto spróbować skontaktować się w inny sposób z domniemanym znajomym, na przykład telefonicznie i potwierdzić czy to rzeczywiście z nim rozmawiamy na komunikatorze. W przypadku negatywnej odpowiedzi warto poradzić zmianę haseł.
Powyższe opracowanie stanowi jedynie naszą próbę zobrazowania problemu i przedstawienia najczęściej spotykanych zagrożeń. Nie sposób wymienić wszystkich możliwych scenariuszy i sztuczek. W trakcie czytania tego artykułu mogło pojawić się 10 kolejnych pomysłów kradzieży danych lub środków finansowych użytkownika. Bezpieczeństwo cyfrowe zaczyna się od ludzi i tylko my sami możemy się o nie zatroszczyć. Tylko dzięki uważności, stosowaniu silnych haseł i weryfikacji dwuskładnikowej będziemy w stanie zmniejszyć ryzyko stania się ofiarą ataku.
Można też podjąć czynna walkę z oszustami. Po wejściu na stronę CERT Orange Polska (https://www.cert.orange.pl/) w prawym górnym rogu można znaleźć przycisk do zgłaszania incydentów, którymi mogą być podejrzane maile czy fałszywe witryny do płatności. W aktualnościach natomiast znaleźć można szczegółowo opisane scenariusze niedawno odkrytych ataków.
