Infraštruktúra za podvodom
Tieto správy neposiela nejaký tínedžer v garáži s jednorazovým telefónom. Za profesionálnou SMS phishingovou kampaňou stojí priemyselná infraštruktúra.
Servery na hromadné odosielanie bývajú spravidla hostované mimo Európskej únie: Ukrajina, Moldavsko, niektoré krajiny juhovýchodnej Ázie, čo komplikuje justičnú spoluprácu. Čísla odosielateľov sú jednorazové a obnovujú sa každú hodinu, aby sa vyhli čiernym listinám. Podvodné webové stránky sú hostované na doménach zaregistrovaných 24 až 48 hodín pred kampaňou, často cez bezškrupulóznych registrátorov.
Celkové náklady na kampaň na kľúč: server, čísla, doména, naklonovaná stránka, sa odhadujú na 150 až 300 €. Pri 2 % miere prekliknutia zo 100 000 odoslaných správ a 10 % miere konverzie (zadané bankové údaje) je návratnosť investície obrovská.
Phishingová stránka
Falošná stránka sa vydáva za DHL, La Poste, Colissimo alebo Chronopost so znepokojujúcou presnosťou: správne logá, správne firemné farby, niekedy dokonca aj indikátor priebehu doručenia a náhodne vygenerované, no presvedčivo naformátované sledovacie číslo.
Požaduje sa 1,99 € za „colné poplatky“ alebo „poplatky za opätovné doručenie“. Suma je zámerne nízka: nespustí psychologický poplach, ktorý sprevádza väčšiu transakciu.
Cieľom nie sú tie 2 €. Je to vaše 16-miestne číslo karty, dátum platnosti a CVV na zadnej strane. S týmito tromi údajmi možno zaplatiť u ktoréhokoľvek online obchodníka.
Čo nasleduje potom
Do niekoľkých hodín po zadaní sa vaša karta „otestuje“: mikrotransakcie od 0,01 € do 0,50 € na platformách, ktoré prijímajú platby bez silného overenia (niektoré predplatné služby, prepitné, dary).
Keď sa karta overí ako aktívna, nasledujú väčšie nákupy. Preferovaná technika: nákup darčekových kariet Steam, Amazon alebo Google Play, ktoré možno na sekundárnych trhoch premeniť na hotovosť v priebehu niekoľkých minút a nezanechajú žiadnu priamu bankovú stopu.
Získanie peňazí späť prostredníctvom chargebacku trvá v priemere 3 až 6 mesiacov. Vaša banka vám takmer určite peniaze vráti: ale iba ak transakcie napadnete v stanovenej lehote (maximálne 13 mesiacov pri platbách vo Francúzsku).
Ako sa na to prestať nachytávať
Štyri jednoduché pravidlá, ktoré odstránia 95 % rizika:
- →Nikdy neklikajte na odkaz v SMS o doručení: choďte priamo na oficiálnu stránku dopravcu (laposte.fr, dhl.fr) a ručne zadajte sledovacie číslo, ktoré ste dostali od predajcu.
- →Pred zadaním čohokoľvek skontrolujte URL: „laposte-colis-paiement.com“ ani „colissimo-fr.net“ nie sú La Poste. Legitímna URL je vždy laposte.fr.
- →Skutoční dopravcovia nikdy nepýtajú platbu bankovou kartou cez SMS za doručenie: to je jednoznačný znak podvodu.
- →Nahláste SMS na číslo 33700 (francúzska národná platforma proti smishingu prevádzkovaná GSMA): pomôže to rýchlejšie zablokovať podvodné čísla.
Tieto podvody pretrvávajú, pretože zneužívajú dokonale vierohodný kontext, všetci si objednávame balíky a často máme viacero naraz na ceste. Systematická obozretnosť pri každom odkaze doručenom cez SMS, bez výnimky, je jedinou skutočnou obranou. Odkaz v správe o doručení: nikdy naň neklikajte priamo.
- Cybermalveillance.gouv.fr (French national cybersecurity assistance platform, GIP ACYMA), "L'hameçonnage à la livraison de colis" (Package-delivery phishing scam)
- 33700 — French national platform against SMS spam and smishing (operated by the French telecom operators)
- Code monétaire et financier, Article L133-24 (Légifrance) — 13-month deadline to report/contest an unauthorized payment operation
Zapnúť ochranu pred phishingom