Sukčiavimas (phishing) per SMS, pokalbius, telefoną ir QR kodus

3 modulis: Sukčiavimo (phishing) atpažinimas · Skaitymo trukmė: 12 min.

Mokymosi tikslas: Po šios pamokos galėsite atpažinti sukčiavimą ne tik el. paštu: per SMS ir pokalbių programėles, telefonu (taip pat su klonuotu balsu), per QR kodus ir per prisijungimo pranešimų antplūdį, bei žinosite, kaip patikrinti kiekvieną kanalą.
Pagrindinės sąvokos: smishing, apgaulė „draugas bėdoje“, vishing, numerių klastojimas (spoofing), netikra pagalbos tarnyba, balso klonas, quishing, DVA bombardavimas

Kodėl kiti kanalai veikia taip gerai

Viskas, kas aptarta 3.1 pamokoje, galioja ir čia: skubotumas, autoritetas, baimė, smalsumas ir atlygis. Tačiau už el. pašto ribų šios gudrybės dažnai veikia dar geriau:

• Telefone skaitote greitai. Ekranas mažas, adresai sutrumpinami, o dažnai tuo pačiu metu darote ką nors kita.
• Mažiau technologijų, kurios padėtų. Pašto serveris tikrina SPF, DKIM ir DMARC ir turi šlamšto filtrą. SMS, pokalbiams ir telefono skambučiams to yra žymiai mažiau.
• Tai atrodo asmeniškiau. Žinutė pokalbių programėlėje ar balsas telefonu sukelia daugiau pasitikėjimo nei el. laiškas.
• Tai vyksta gyvai. Skambinantysis gali klausinėti toliau, daryti spaudimą ir vesti Jus žingsnis po žingsnio.

Refleksas lieka tas pats: sustokite, patikrinkite savo pačių būdu, paklauskite. Skiriasi tik tai, kaip ta patikra atrodo priklausomai nuo kanalo.

SMS ir pokalbiai: smishing ir apgaulė „draugas bėdoje“

Smishing yra sukčiavimas per SMS žinutes. Sukčiai apsimeta organizacija, iš kurios galėtumėte tikėtis SMS žinutės: vežėju, banku, valstybine tarnyba, Jūsų energijos tiekėju. Pasak Nyderlandų NCSC, lygiai tas pats vyksta ir per pokalbių programėles, tokias kaip WhatsApp ir Telegram.

Tipiškas pavyzdys:

Kurjerių tarnyba: Jūsų siuntinio nepavyko pristatyti dėl neišsamaus adreso. Suplanuokite naują pristatymą: https://koeriersdienst.track-nl.example/z8K

Perskaitykite nuorodą kaip 3.2 pamokoje: registruojamas domenas yra track-nl.example, taigi tai nėra vežėjo koeriersdienst.example. Telefone tai yra ypač sunku, nes matote tik adreso pradžią. Palaikykite paspaudę nuorodą, kad pamatytumėte visą adresą, arba jos neatidarykite ir patys eikite į vežėjo programėlę ar svetainę.

Siuntėjo numeris ar vardas nieko neįrodo. SMS siuntėjai ir telefono numeriai gali būti suklastoti (spoofing). Dėl to netikra žinutė gali atsirasti toje pačioje SMS grandinėje kaip ir tikros to siuntėjo žinutės. Taigi net pažįstamas vardas virš žinutės nėra įrodymas.

Apgaulė „draugas bėdoje“ vyksta per pokalbių programėles:

Labas, čia mano naujas numeris, mano telefonas sugedo. Ar galėtumėte už mane šį tą sumokėti? Rytoj Jums grąžinsiu. Tai reikia padaryti dar šiandien.

Įmonėje ta pati gudrybė pasitaiko kaip žinutė nuo „direktoriaus“ ar „kolegos“ su nauju numeriu, kuris skubiai nori mokėjimo ar dovanų kuponų. Patikrinkite: paskambinkite ar parašykite tam asmeniui senu, žinomu numeriu, arba užduokite klausimą, į kurį atsakyti gali tik tikrasis asmuo.

Telefonas: vishing, netikra pagalbos tarnyba ir balso klonai

Vishing (balso sukčiavimas, voice phishing) yra sukčiavimas telefonu. Dažniausiai pasitaiko trys formos.

Banko darbuotojas. Kažkas skambina banko arba „sukčiavimo skyriaus“ vardu: esą yra įtartinų mokėjimų, Jūsų pinigus reikia „apsaugoti“, arba turite perduoti kodą ar patvirtinti mokėjimą banko programėlėje. Jūsų ekrane kartais net rodomas tikras banko numeris. Ir tai gali būti suklastota. Tikras bankas niekada neprašo prisijungimo kodų ar pervesti pinigus į „saugią sąskaitą“.

Netikra pagalbos tarnyba. Kažkas skambina programinės įrangos tiekėjo, Jūsų interneto paslaugų teikėjo ar IT įmonės vardu: Jūsų kompiuteris esą užkrėstas, yra problema su paskyra. Jis prašo įdiegti programą, kad galėtų nuotoliniu būdu stebėti ekraną. Taip jis perima Jūsų kompiuterio valdymą. Nyderlandų NCSC pateikia paprastą patarimą: niekada neduokite niekam nuotolinės prieigos prie savo įrenginių be rimto pagrindo.

Klonuotas balsas. Naudojant DI balsas gali būti suklonuotas pagal garso įrašus, pavyzdžiui, iš vaizdo įrašo ar balso pašto. Balso klonas, imituojantis Jūsų direktorių ar šeimos narį, gali paskambinti su skubiu prašymu. Taigi savo ausimis aklai pasitikėti nebegalima.

Kas veikia visais trimis atvejais:

1. Padėkite ragelį, kai tik pajuntate spaudimą arba prašoma kodų, pinigų ar prieigos. Tai nėra nemandagu.
2. Patys perskambinkite numeriu, kurį patys susiradote ar jau turėjote: banko kortelės galinė pusė, oficiali svetainė, Jūsų paties kontaktų sąrašas. Ne numeriu, kurį nurodė skambinantysis.
3. Susitarkite dėl patikros klausimo ar kodinio žodžio su žmonėmis, kurie gali paprašyti pinigų, pavyzdžiui, vadovybe ir buhalterija. Taip pat užfiksuokite, kad mokėjimai niekada nevykdomi vien tik pagal telefono skambutį (1.2 pamoka).

QR kodai: quishing

QR kodas yra tiesiog nuoroda, kurios negalite perskaityti. Quishing yra sukčiavimas naudojant QR kodą. Dvi formos:

• Gatvėje ar patalpoje. Lipdukas su savo QR kodu, uždėtas ant tikrojo, ant parkavimo automato, įkrovimo stotelės, meniu ar plakato. Manote, kad mokate parkavimo programėlei, bet iš tiesų įvedate kortelės duomenis netikroje svetainėje.
• El. laiške ar PDF faile. „Nuskaitykite šį kodą, kad patvirtintumėte savo pašto dėžutę.“ QR kodo paveikslėlyje negalite patikrinti pele. O nuskaitote jį telefonu, kuriame adresus skaityti sunkiau.

Nyderlandų NCSC pataria, be kita ko:

• Nenuskaitykite QR kodo be jį lydinčio teksto ar paveikslėlio, ir būkite atsargūs su kodais viešose vietose.
• Patikrinkite, ar kodas tikrai atspausdintas plakate ar lentoje, ar ant jo priklijuotas lipdukas.
• Naudokite skaitytuvą, kuris pirmiausia parodo, į kokį adresą ar domeną einate. Naujesnėse Android ir iOS versijose kamera tai daro automatiškai.
• Jei adreso neatpažįstate, toliau nesitęskite. Nesuveskite slaptažodžio ar mokėjimo duomenų, jei nesate tikri, kad svetainė tikra.

Žiūrėdami į adreso pavyzdį, kurį rodo kamera, atkreipkite dėmesį į registruojamą domeną, lygiai taip pat kaip 3.2 pamokoje. Prie parkavimo automato taip pat galite naudoti oficialią parkavimo programėlę arba adresą, nurodytą ant pačios lentos.

DVA bombardavimas: kai telefonas vis pypsi

Daugelis paslaugų, prisijungiant, siunčia pranešimą į Jūsų telefoną: „Bandote prisijungti? Patvirtinti ar atmesti.“ Jei užpuolikas jau turi Jūsų slaptažodį, jis bando prisijungti vis iš naujo. Jūsų telefonas gauna vieną pranešimą po kito, kartais vidury nakties. Tai vadinama DVA bombardavimu (taip pat DVA nuovargiu). Jis tikisi, kad iš susierzinimo ar netyčia paspausite „Patvirtinti“. Kartais jis dar paskambina ar parašo kaip „pagalbos tarnyba“: „Mes atkuriame Jūsų paskyrą, paspauskite patvirtinti.“

Ką daryti:

1. Niekada nepatvirtinkite pranešimo, kurio patys nesate inicijavę. Net jei kažkas to prašo.
2. Vertinkite tai kaip pavojaus signalą. Netikėtas prisijungimo pranešimas reiškia, kad kažkas turi Jūsų slaptažodį. Iš karto pakeiskite tos paskyros slaptažodį per pačią svetainę ar programėlę.
3. Peržiūrėkite aktyvias sesijas ir atjunkite nežinomas sesijas (2.5 pamoka).
4. Pasirinkite stipresnę dviejų veiksnių autentifikavimo formą, jei tokia galima. Naudojant skaičių susiejimą (number matching) turite perrašyti prisijungimo ekrane rodomą skaičių programėlėje; pranešimo be to prieš akis esančio ekrano patvirtinti taip paprastai negalėsite. Passkey ir apsaugos raktai (2.4 pamoka) yra dar stipresni, nes jie neveikia netikroje svetainėje.

Praktikoje: taip tai atrodo

Mano WebOké skiltyje „aktyvios sesijos“ matote, kur ir kada buvote prisijungę, ir galite atjungti kitas sesijas (WebOké instrukcija 3.6). Kitos paslaugos, tokios kaip Jūsų pašto programa, apskaitos sistema ar Nextcloud, turi panašią apžvalgą paskyros saugumo nustatymuose. Po netikėto prisijungimo pranešimo pirmiausia pažiūrėkite ten.

Santrauka

• Už el. pašto ribų veikia tos pačios gudrybės, tačiau yra mažiau technologijų, kurios padėtų, ir Jūs skaitote greičiau.
• Numeris ar siuntėjo vardas Jūsų ekrane nieko neįrodo: jie gali būti suklastoti.
• Telefonu: padėkite ragelį, patys perskambinkite žinomu numeriu, niekada neduokite kodų, pinigų ar nuotolinės prieigos. Net pažįstamas balsas gali būti suklonuotas.
• QR kodai: tikrinkite lipdukus, leiskite kamerai parodyti adresą ir perskaitykite registruojamą domeną.
• Netikėtas prisijungimo pranešimas yra pavojaus signalas: atmeskite, pakeiskite slaptažodį, patikrinkite sesijas.

Testas (quiz)

Užduotis

Užduotis A3.4: QR kodo nuskaitymas jo neatidarant. Programa parodo QR kodą. Nuskaitykite jį telefono kamera, bet nuorodos neatidarykite. Perskaitykite adresą, kurį parodo kamera, ir įveskite registruojamą domeną bei nurodykite, ar atidarytumėte nuorodą. Programa patikrins.

Užduotis D3.4: Susitarimai dėl telefono, pokalbių ir prisijungimo pranešimų. Su savo komanda sutarkite dėl perskambinimo, patikros klausimo ar kodinio žodžio, ir ką darysite gavę netikėtą prisijungimo pranešimą. Po to savo telefone patikrinkite, ar kamera parodo QR kodo adresą prieš ją atidarant.

Skaitykite daugiau

Veiksmai WebOké straipsniuose galioja WebOké aplinkai; pas kitus teikėjus viskas veikia panašiai.

• WebOké vadovas 3.6: Aktyvių sesijų peržiūra ir atsijungimas
• Nextcloud vadovas 3.6: Peržiūrėti, panaikinti arba nuotoliniu būdu ištrinti duomenis įrenginiuose ir seansuose
• Nyderlandų NCSC, SMS sukčiavimas („smishing“): https://www.ncsc.nl/phishing/sms-phishing-smishing
• Nyderlandų NCSC, Kaip atpažinti netikrą skambutį?: https://www.ncsc.nl/phishing/hoe-herken-ik-een-neptelefoontje
• Nyderlandų NCSC, QR kodai: https://www.ncsc.nl/phishing/qr-codes
• Policija, pranešimai apie sukčiavimą ir sukčiavimą el. paštu: https://www.epolicija.lt/