Dostałeś taki SMS z banku? To nowa sztuczka oszustów

Systemy bezpieczeństwa CERT Orange Polska wykryły serię takich wiadomości. Ich konstrukcja jest podobna niezależnie od instytucji, pod którą podszywają się oszuści. Zmieniane są przede wszystkim nazwa banku oraz personalia rzekomego konsultanta.

W jednej z zaobserwowanych wiadomości odbiorca otrzymywał informację o „weryfikacji pracownika banku”, sześciocyfrowy kod oraz nazwisko osoby mającej prowadzić jego sprawę. SMS instruował również, aby poprosić aktualnego rozmówcę o podanie wskazanego kodu.

Kod ma wzbudzić zaufanie

W przeciwieństwie do wielu kampanii phishingowych wiadomości nie zawierają linku prowadzącego do fałszywej strony. Nie chodzi też o nakłonienie odbiorcy do przekazania otrzymanego kodu.

Według CERT Orange cały mechanizm ma inny cel. To sam oszust prowadzący rozmowę wysyła wiadomość, a następnie może podać znajdujący się w niej kod i w ten sposób stworzyć wrażenie, że przeszedł procedurę weryfikacji.

Ani kod, ani nazwisko wskazanego „konsultanta” nie mają w rzeczywistości żadnego znaczenia. Są elementem scenariusza przygotowanego przez przestępcę.

Jeżeli ofiara uwierzy, że rozmawia z prawdziwym przedstawicielem banku, łatwiej przekonać ją do wykonywania kolejnych poleceń. To właśnie na tym etapie może pojawić się próba zdobycia danych, nakłonienia do wykonania operacji bankowej lub innego działania prowadzącego do utraty pieniędzy.

Podszywają się pod wiele banków

CERT Orange wskazuje, że identyczne wiadomości były rozsyłane z wykorzystaniem różnych nazw nadawców.

Wśród nich znalazły się określenia nawiązujące m.in. do:

• Alior Banku, 
• Credit Agricole, 
• ING, 
• PKO BP, 
• mBanku, 
• Narodowego Banku Polskiego.

To pokazuje, że schemat nie jest związany z jedną konkretną instytucją. Przestępcy mogą dostosowywać nazwę nadawcy do banku, którego klientem jest osoba będąca celem oszustwa.

Sama obecność nazwy banku w polu nadawcy SMS-a nie powinna być więc traktowana jako potwierdzenie autentyczności wiadomości.

Jak naprawdę zweryfikować pracownika banku?

CERT Orange zaleca, aby sprawdzić na oficjalnej stronie swojego banku, w jaki sposób można potwierdzić tożsamość konsultanta. Część instytucji umożliwia taką weryfikację bezpośrednio w aplikacji mobilnej. W niektórych przypadkach podczas rozmowy może pojawić się również odpowiednie powiadomienie push.

Nie należy natomiast ufać SMS-om, które same mają stanowić dowód, że po drugiej stronie znajduje się pracownik banku.

Jeżeli pojawiają się jakiekolwiek wątpliwości, najlepiej zakończyć rozmowę i samodzielnie zadzwonić na oficjalny numer banku. CERT Orange zwraca uwagę, że oszust może próbować temu zapobiec, powołując się na rzekome zagrożenie dla pieniędzy i konieczność natychmiastowego działania.

Presja czasu jest w takich sytuacjach jednym z najważniejszych sygnałów ostrzegawczych.