Czy oszuści mają wakacje?

Wakacje to czas odpoczynku, ale także okres wzmożonej aktywności cyberprzestępców. Fałszywe rezerwacje noclegów, zwroty podatku, bilety na koncerty czy SMS-y o mandatach to tylko część scenariuszy wykorzystywanych przez oszustów. Zobacz, na co uważać i jak chronić swoje dane oraz pieniądze.

Tytuł jest trochę zaczepny, ale pewnie domyślasz się, że oszuści cały rok szukają ofiar i jeżeli cokolwiek zmienia się w czasie wakacji, to chyba tylko pojawienie się nowych pretekstów. Bo skoro wybierasz się na urlop, to pewnie szukasz np. noclegów na wyjazd, biletów do popularnych atrakcji lub na koncert ulubionego zespołu. Albo dodatkowych pieniędzy na wakacyjne wydatki. I wtedy częściej możesz natrafić na „atrakcyjną ofertę”. Kilka świeżych przykładów takich i podobnych akcji znajdziesz poniżej.

Wyciek danych z systemu rezerwacyjnego. Jak działa oszustwo?

To może być jedno z trudniejszych do rozpoznania oszustw, dlatego to właśnie przed nim przede wszystkim chcemy Cię ostrzec.

W ostatnich miesiącach wyciekły dane użytkowników, dotyczące najmu turystycznego noclegów, m.in. z dużych systemów rezerwacyjnych – globalnego Booking.com oraz obsługującego lokalne obiekty noclegowe w Polsce – Hotres.

Wyciek mógł obejmować m.in. imię i nazwisko osoby rezerwującej, adres mejlowy, numer telefonu, informacje o pobycie: numer rezerwacji, nazwa obiektu, termin, rodzaj noclegu lub pokoju, kwota itd.

Zwróć na to uwagę – na ich bazie przestępcy mogą teraz przygotowywać swoje kampanie, co gorsza – wyglądające wyjątkowo wiarygodnie ☹

No bo wyobraź sobie: dostajesz na swój adres e-mail bardzo dobrze wyglądającą wiadomość – ma profesjonalny układ zawartości, bezbłędny tekst, dobrze przygotowaną grafikę, precyzyjnie podane informacje o Tobie i Twojej rezerwacji. Wygląda na to, że właściciel zarezerwowanego mieszkania/pokoju pisze w nim, że oczywiście z niecierpliwością czekają na Ciebie, ale wcześniej prosi Cię o potwierdzenie tej rezerwacji przez kliknięcie linku i wejście na podaną stronę. Tam znowu widzisz Twoje dane z rezerwacji i formularz do jej potwierdzenia z polami do podania danych Twojej karty płatniczej. Bez tego – ostrzega w wiadomości – będą musieli anulować Twoją rezerwację.

Przypomnę – wszystkie dane rezerwacji zgadzają się – Twoje dane, adresy, daty, kwota itd.
Trudne do rozpoznania? Trudne.

Ciekawostka: widziałem takiego mejla. Zapewniam Cię – naprawdę wygląda niepokojąco wiarygodnie…

A co zdecydowanie nie zgadza się w takiej wiadomości?

• Adres mejlowy nadawcy i adresy z linków z tej wiadomości nie mają nic wspólnego z systemem rezerwacyjnym ani z tą rezerwacją. To wystarczy, aby zignorować takiego mejla, skasować go i przestrzec bliskich.
  Chcesz upewnić się, że masz rację? Napisz sam_a do właściciela – wyślij wiadomość bezpośrednio na platformie. Przekonasz się, że on zapewne nie ma pojęcia o żadnym mejlu, bo przecież to nie on go wysłał. Albo już wie o akcji, bo odezwali się inni, których też próbowano w ten sposób okraść.
• Bardzo ważne: nigdy nie prowadzi się takiej korespondencji poza systemem rezerwacyjnym. Zawsze tylko wewnętrzny komunikator. Nie mejlem, nie SMS-em, WhatsApp’em ani innym komunikatorem. Wszystkie ustalenia, prośby itd. muszą do Ciebie dotrzeć wewnętrznym dla platformy chatem. Oczywiście to nadal nie oznacza, że wszystkie musisz bezkrytycznie akceptować, ale masz dużo większą pewność co do tożsamości rozmówcy. I w razie problemów można liczyć na wsparcie pośrednika.

Fałszywy zwrot podatku. Jak oszuści wyłudzają dane?

A jaki temat może przykuć uwagę każdego przed wyjazdem na wakacje? Może niespodziewany przypływ gotówki? No bo komu nie przydałyby się dodatkowe pieniądze na wakacje? Oszuści mają takie „oferty”.

W czerwcu obserwowaliśmy kampanię z rozsyłaniem fałszywych mejli o zwrocie podatku, w wyniku rzekomej nadpłaty podatku dochodowego. Oszuści podszywali się pod KAS – Krajową Administrację Skarbową – i portal podatki.gov.pl. Po kliknięciu linka w wiadomości pokazywali stronę, gdzie chcieli, żeby „podać dane do wypłaty” – dane do logowania do bankowości internetowej albo dane karty płatniczej – i już. Powód? „Stwierdzono, że przysługuje Ci zwrot nadpłaconego podatku”. Efekt podania takich danych był niestety łatwy do przewidzenia – kradzież pieniędzy.

Co zrobić? Ostrzec bliskich i znajomych, skasować wiadomość.

A co, jeśli po przeczytaniu takiej wiadomości nadal masz wątpliwości, czy aby faktycznie nie czeka tam na Ciebie jakaś niespodziewana kasa?

• Wejdź do serwisu podatki.gov.pl, ale wejdź tam wyłącznie tak, jak zwykle to robisz (wybierz adres z listy zapamiętanych w przeglądarce adresów, wybierz skrót z ulubionych, w ostateczności ostrożnie wyszukaj adres w wyszukiwarce internetowej). Zalogowałaś_eś się? Nie ma tam żadnego powiadomienia o zwrocie, prawda?

To zawsze powinien być wystarczający dowód tj. samodzielne sprawdzenie informacji u źródła. Niezależnie czy mowa o nadpłacie podatku, nieopłaconej fakturze za prąd lub oczekującej paczce itp.

Nieprzekonana_y?

• Sprawdź adres e-mail nadawcy wiadomości. Zobacz – nie ma nic wspólnego z administracją rządową?
• Sprawdź link, czyli adres strony, na którą podobno trzeba wejść. Jest jakimś „losowym” adresem serwisu w internecie, a nie powszechnie znanym serwisem podatkowym, prawda?

Oszustwa na nadpłatę rachunków i zwroty pieniędzy

Wątek nadpłat w różnych innych instytucjach też się pojawia. M.in. scenariusz „chcemy oddać Ci nadpłatę z rachunku za prąd” nie jest nowy i powtarza się co jakiś czas.

Na początku lipca oszuści rozsyłali wiadomości, rzekomo od PGE, że w wyniku błędu systemu za dużo zapłaciliśmy za prąd. I będzie zwrot. Tak… Zwrot będzie – „zwrot akcji”… I na 100% strata pieniędzy, jeśli klikniesz link i podasz dane karty. Ciekawostka: wiesz, że czasem na takie mejle z logo PGE reagują (niestety – podaniem poufnych danych) także te osoby, które nie mają żadnej umowy z PGE, a np. z Tauronem…

Fałszywe bilety na koncert. Na co uważać?

Gdy szukasz biletu na koncert ulubionego zespołu, a ten okazuje się być bardzo drogi lub właściwie już jest nie do kupienia (bo nagle wszyscy lubią ten zespół 😉), to czasem jesteś bardziej otwarta_y na pojawiające się okazje. Np. wtedy, gdy ktoś podobno chce odsprzedać taki bilet, niekoniecznie za pomocą oficjalnych kanałów. Albo wtedy, gdy zobaczyłaś_eś na Facebooku reklamę witryny, gdzie jeszcze jest trochę tych biletów i to podobno w lepszych cenach.

Ostrożność wskazana. W obu przypadkach bilety mogą okazać się fałszywe, a wejście na kocert innej osoby niż ta, która pierwotnie bilet kupiła, niemożliwe. W zależności od scenariusza możesz też stracić nie tylko zapłaconą kwotę, ale i jeszcze więcej pieniędzy. Jak to? Np. wtedy, gdy płatność za bilet polegała na podaniu – na podstawionej przez oszustów stronie – danych katy płatniczej.

SMS o niezapłaconym mandacie – uważaj na phishing

Niezależnie czy jesteś przed wyjazdem na wakacje, czy właśnie wracasz lub wróciłaś_eś, to wiadomość, że masz niezapłacony mandat jest przykrą informacją.

Wiedzą o tym także oszuści i co jakiś czas wracają z takim scenariuszem:

Gdybyś zdecydował_a się wejść pod podany w SMS-ie link (bardzo odradzam), to zwykle jest tam na początku zachęta do wprowadzenia numeru rejestracyjnego samochodu, aby sprawdzić, czy ten pojazd ma jakiś niepłacony mandat. Domyślasz się pewnie, że oszustwo działa tak, że każdy wprowadzony numer okazuje się być tym, dla którego jest konieczność zapłaty mandatu. To oczywiste – oszuści nie korzystają przecież z żadnej bazy wykroczeń, tylko stawiają na łowienie niezorientowanych ofiar, a wprowadzanie numeru rejestracyjnego to tylko mydlenie oczu.

I domyślasz się, że na kolejnym ekranie jest zapewne zachęta do zapłacenia – a jakże, kartą płatniczą, – 10 zł, 20 zł czy innej podobnej, niewielkiej kwoty. Dlaczego podali tam taką niewielką wartość? Bo przy kwocie rzędu kilkuset złotych ofiara pewnie długo zastanawiałaby się czy zapłacić albo, co gorsza, zaczęłaby dopytywać o szczegóły zdarzenia. A przy małej kwocie liczą, że decyzja będzie szybka, „10 zł? Uff, to niewiele, bałem się, że będzie więcej, płacę od ręki, kłopot z głowy”.

Uwaga! Strata finansowa z pewnością będzie większa. Oszuści nie chcą tych 10 zł. Po podaniu danych karty autoryzacja, która przyjdzie, będzie albo opiewała na dużo wyższą kwotę, albo wprost będzie dotyczyła innej operacji np. dodania karty do portfela cyfrowego, aby przestępca od tej pory mógł nią swobodnie sam płacić…

Jak chronić się przed oszustwami podczas wakacji?

Wakacje dla oszustów to tylko nowy pretekst, okazja do wzmożenia akcji z już przez nich przetestowanymi, może tylko trochę bardziej „urlopowymi”, scenariuszami. Musisz zachowywać czujność, nie dać się podejść, nauczyć się rozpoznawać działania oszustów.

Jak rozpoznać próbę oszustwa?

• informacja o niespodziewanym zwrocie pieniędzy, nagrodzie, darowiźnie,
• link do nieznanej Ci strony, która graficznie może nawet wyglądać wiarygodnie, ale jej adres na pewno jest inny od oficjalnego,
• próba wywołania presji czasu, zachęta do szybkiego działania,
• zachęta do pilnego otwarcia załącznika,
• żądanie podania danych karty płatniczej, danych logowania do bankowości lub jakiegokolwiek innego serwisu,
• żądanie instalacji dodatkowej aplikacji.

Miłych wakacji, ostrożności i #NieDajSięZłowić

Źródła ilustracji: CSIRT KNF, www.gov.pl, rp.pl