Zdjęcia z wakacji w rękach oszusta: jak z Twoich postów buduje się atak

Zdjęcie z hotelu, oznaczona restauracja i karta pokładowa na stoliku wystarczą, żeby ktoś obcy ustalił, gdzie jesteś, do kiedy Cię nie ma, z kim podróżujesz i z jakiego banku korzystasz. Kilka dni później dzwoni telefon: dział bezpieczeństwa banku wykrył podejrzaną transakcję w Twoim hotelu w Rzymie. Nazwa hotelu się zgadza, miasto się zgadza, data się zgadza. I właśnie dlatego to działa.

Co oszust wyczyta ze zdjęcia z wakacji

Z jednego posta da się zwykle ustalić kraj i miasto pobytu, nazwę hotelu lub restauracji, przybliżoną datę powrotu, osoby towarzyszące, linię lotniczą oraz – jeśli w kadrze jest karta lub paragon – bank i typ karty płatniczej. Do tego dochodzą dane z innych, starszych publikacji: numer telefonu podany kiedyś w ogłoszeniu, adres e-mail, imiona dzieci, nazwisko panieńskie matki.

Miejsce rozpoznaje się nie tylko po oznaczeniu lokalizacji. Wystarczy charakterystyczny budynek, tablica rejestracyjna, język na znakach, widok z okna, logo przewoźnika, nazwa sieci Wi-Fi, menu, paragon albo opaska hotelowa.

OSINT, spear phishing i pretexting

OSINT (Open Source Intelligence) to zbieranie informacji dostępnych publicznie: z mediów społecznościowych, wyszukiwarek, rejestrów, starych ogłoszeń i zdjęć. Samo przeglądanie publicznych informacji nie jest przestępstwem. Problem zaczyna się, gdy posłużą do podszycia się pod kogoś, kradzieży tożsamości albo przejęcia konta.

Spear phishing różni się od zwykłego phishingu tym, że jest przygotowany pod konkretną osobę. Masowa wiadomość mówi ogólnie o zablokowanym koncie. Spear phishing zna Twoje imię, hotel, miasto i datę podróży.

Pretexting to scenariusz, który ma skłonić do działania: błędne obciążenie karty w hotelu, zatrzymana transakcja, weryfikacja rezerwacji, uszkodzenie wypożyczonego auta, przesyłka na cle.

Karta pokładowa zdradza więcej niż nazwisko

To najbardziej niedoceniany element wakacyjnych zdjęć. Analizy Briana Krebsa pokazały konkretny mechanizm:

• Sam kod rezerwacji (PNR) i nazwisko – oba widoczne z przodu karty – wystarczały, żeby zalogować się na stronę rezerwacji linii lotniczej, zobaczyć i edytować dane paszportowe, obywatelstwo i datę urodzenia, a także anulować przyszłe loty.
• Kod kreskowy zawiera pełny numer w programie lojalnościowym. Numer razem z nazwiskiem pozwalał zresetować hasło do konta, odpowiadając na pytania bezpieczeństwa wielokrotnego wyboru.
• Wyszukiwanie hasła "boarding pass" na Instagramie zwracało ponad 91 tysięcy zdjęć, z czego wiele z czytelnym kodem.

Zamazanie części numeru nie wystarcza. Kod kreskowy i kod QR pozostają odczytywalne nawet z nieostrego zdjęcia.

Źródła: What's in a Boarding Pass Barcode? A Lot oraz Why It's Still A Bad Idea to Post or Trash Your Airline Boarding Pass.

Jak wygląda taki atak krok po kroku

1. Ofiara publikuje zdjęcie z hotelu w Rzymie, oznacza obiekt i dodaje lokalizację. W kadrze widać kartę pokładową i kopertę z numerem pokoju.
2. Oszust przegląda starsze publikacje: numer telefonu z ogłoszenia sprzed lat, adres e-mail, imiona członków rodziny, bank widoczny na zdjęciu karty.
3. Ofiara dostaje wiadomość: "Dział bezpieczeństwa wykrył próbę obciążenia karty na 780 euro w hotelu Roma Palace. Prosimy o pilną weryfikację." Nazwa hotelu jest prawdziwa.
4. Prośba o kliknięcie linku, zalogowanie się, podanie kodu z SMS-a, zainstalowanie aplikacji "do bezpiecznej obsługi" albo przelew na "konto techniczne".

Numer na ekranie telefonu nie dowodzi niczego

Federalna Komisja Łączności (FCC) opisuje spoofing jako celowe fałszowanie informacji przekazywanej do wyświetlacza. Kluczowy wniosek: po samym numerze nie da się poznać, czy połączenie jest prawdziwe, nawet jeśli na ekranie widnieje numer Twojego banku.

Zalecenie FCC jest jednoznaczne: rozłącz się i zadzwoń pod numer z wyciągu, z oficjalnej strony albo z odwrotu karty. Nie pod ten, z którego dzwoniono.

Źródła: FCC: Caller ID Spoofing, FTC: Scammers can fake caller ID info.

Kodu z SMS-a nie podaje się nikomu

FTC formułuje to bez wyjątków:

Nigdy nie podawaj nikomu swojego kodu weryfikacyjnego. Żaden dzwoniący – a już szczególnie ktoś z działu przeciwdziałania oszustwom Twojego banku – nigdy nie poprosi o kod weryfikacyjny. To zawsze jest oszustwo.

Kod autoryzuje logowanie, przelew, dodanie urządzenia, zmianę numeru telefonu albo dodanie karty do portfela cyfrowego. Kto go dostanie, wykona tę operację w Twoim imieniu.

Źródło: FTC: What's a verification code and why would someone ask me for it.

Konto techniczne i bezpieczne konto nie istnieją

Polska policja opisuje ten schemat wprost: fałszywy pracownik banku informuje o rzekomych podejrzanych przelewach i proponuje "zabezpieczenie" oszczędności. Metody to przelew na wskazane konto, kody BLIK, wypłata gotówki i wpłata we wpłatomacie albo instalacja aplikacji do zdalnego dostępu.

Konto techniczne, konto zastępcze i konto bezpieczne nie istnieją. Policja zaleca rozłączyć się, samodzielnie zadzwonić na infolinię z oficjalnej strony lub z karty, a próbę wyłudzenia zgłosić na numer 112.

FTC ma na to alert o tytule, który wystarczy zapamiętać: Never move your money to "protect it." That's a scam.

Źródła: KPP Pruszków, KPP Bełchatów, FTC: Got a call about fraud activity on your bank account.

Fałszywe strony rezerwacyjne wyglądają identycznie jak prawdziwe

CERT Polska udokumentował atak podszywający się pod Booking.com: spersonalizowane e-maile o nieopłaconej fakturze za nieistniejącą rezerwację. Zespół zwraca uwagę na rzecz, która unieważnia większość porad o "rozpoznawaniu po wyglądzie":

Współczesny phishing wykorzystuje dokładne kopie wizualne znanych serwisów, więc rozpoznanie oszustwa po wyglądzie strony jest niemożliwe. Jedynym wiarygodnym źródłem informacji jest adres w pasku przeglądarki, a odpowiedź leży w nazwie domeny.

Kłódka przy adresie oznacza wyłącznie szyfrowane połączenie. Fałszywa strona także używa HTTPS.

Źródła: CERT Polska: Atak na klientów Allegro.pl oraz Booking.com, CERT Polska: Jak rozpoznać fałszywe strony internetowe, Lista Ostrzeżeń.

Zdjęcia z wakacji a włamania: co jest udokumentowane, a co nie

Ta teza krąży w internecie w wersji mocniejszej, niż pozwalają dane, więc warto rozdzielić jedno od drugiego.

Udokumentowane sprawy: w 2015 roku w Orange County w Kalifornii sprawca namierzył co najmniej 33 kobiety, korzystając z danych GPS zapisanych w metadanych zdjęć publikowanych na Facebooku i Instagramie; straty przekroczyły 250 tysięcy dolarów. W 2019 roku w Londynie zatrzymano grupę, która śledziła posty o wyjazdach i luksusowych przedmiotach, okradając ponad 12 domów w cztery miesiące.

Czego nie wiadomo: popularna statystyka mówiąca, że 78 procent włamywaczy monitoruje media społecznościowe, pochodzi z ankiety przeprowadzonej na 50 byłych włamywaczach i zamówionej przez branżę zabezpieczeń. Próba jest mała i samoselekcyjna. Policjanci cytowani w amerykańskich materiałach przyznają, że słyszeli o takich przypadkach, ale nie dokonali zatrzymań, w których sprawca potwierdziłby tę metodę.

Uczciwy wniosek brzmi: pojedyncze sprawy są potwierdzone, skala zjawiska nie jest zbadana. To nadal wystarczający powód, żeby nie ogłaszać publicznie, że dom stoi pusty przez najbliższe dziesięć dni.

Jak usunąć lokalizację ze zdjęcia na iPhonie

Apple opisuje trzy różne czynności i najważniejsza jest pierwsza, bo działa zapobiegawczo.

Wyłączenie zapisywania lokalizacji na przyszłość

Ustawienia, dalej Prywatność i ochrona, dalej Usługi lokalizacji, dalej Aparat, następnie ustaw Nigdy.

Usunięcie lokalizacji z konkretnego zdjęcia

1. Otwórz aplikację Zdjęcia i wybierz fotografię.
2. Dotknij przycisku informacji lub trzech kropek.
3. Wybierz Dostosuj lokalizację.
4. Ustaw Brak lokalizacji.

Udostępnienie bez lokalizacji

W aplikacji Zdjęcia zaznacz zdjęcia, dotknij Udostępnij, następnie Opcje i wyłącz Lokalizacja.

Album Miejsca pokazuje wszystkie fotografie z zapisaną lokalizacją. Warto tam zajrzeć, żeby zobaczyć skalę u siebie.

Nazwy ustawień różnią się nieznacznie między wersjami systemu. Źródło: Apple: Manage location metadata in Photos.

Serwisy społecznościowe zwykle przetwarzają przesyłane pliki, ale nie zakładaj, że metadane zawsze zostaną usunięte. Zdjęcie wysłane e-mailem, komunikatorem, przez chmurę albo publiczny link może zachować więcej informacji. Niezależnie od metadanych lokalizację często zdradza samo to, co widać w kadrze.

Co sprawdzić przed opublikowaniem zdjęcia

Najskuteczniejsza zasada jest jedna: publikuj po powrocie. Wspomnienia nie tracą wartości przez tydzień zwłoki, a relacja na żywo informuje wprost, że Cię nie ma.

Przed wrzuceniem zdjęcia powiększ cały kadr i sprawdź, czy nie widać dokumentu, karty płatniczej, karty pokładowej, paragonu, potwierdzenia rezerwacji, kodu QR lub kreskowego, numeru pokoju, identyfikatora ani ekranu drugiego urządzenia. Sprawdź też, czy nie publikujesz wizerunku cudzych dzieci.

Sygnały ostrzegawcze w wiadomości i rozmowie

• Niespodziewany kontakt połączony z presją czasu.
• Groźba zablokowania konta lub zatrzymania środków.
• Prośba o hasło, PIN, CVV, pełny numer karty albo kod z SMS-a.
• Link do logowania przesłany w wiadomości.
• Prośba o instalację aplikacji lub udostępnienie ekranu.
• Żądanie przelewu na "konto bezpieczne", płatności kryptowalutą albo kartą podarunkową.
• Nakłanianie, żeby nie rozmawiać o sprawie z rodziną ani z pracownikiem oddziału.

Ostatni punkt jest najbardziej charakterystyczny. Odizolowanie ofiary od osób, które mogłyby rozpoznać oszustwo, jest elementem scenariusza, a nie procedury bankowej.

Brak błędów językowych przestał być dowodem autentyczności. FBI wskazuje, że generatywna sztuczna inteligencja usuwa typowe oznaki oszustwa, w tym błędy gramatyczne, i pozwala klonować głos oraz wizerunek osób bliskich.

Rodzinne hasło bezpieczeństwa

FBI zaleca wprost, w publicznym ostrzeżeniu dotyczącym oszustw z użyciem sztucznej inteligencji:

Ustalcie w rodzinie tajne słowo lub frazę do potwierdzania tożsamości.

To samo ostrzeżenie zawiera dwie rekomendacje, które są bezpośrednim potwierdzeniem tematu tego tekstu: weryfikuj tożsamość dzwoniącego przez rozłączenie się i samodzielne wybranie numeru instytucji, oraz ogranicz publicznie dostępne nagrania swojego głosu i wizerunku, ustaw konta społecznościowe jako prywatne i ogranicz obserwujących do osób, które znasz.

Hasło rodzinne nie powinno być imieniem zwierzęcia ani niczym, co pada w postach.

Źródło: FBI IC3: Criminals Use Generative Artificial Intelligence to Facilitate Financial Fraud.

Co zrobić po otrzymaniu podejrzanej wiadomości

1. Nie klikaj linku i nie odpowiadaj – odpowiedź potwierdza, że numer jest aktywny.
2. Nie podawaj kodu z SMS-a, kodu z aplikacji, kodu BLIK, hasła, PIN-u ani CVV.
3. Rozłącz się całkowicie. Nie pozwól przełączyć się do rzekomego działu bezpieczeństwa.
4. Zadzwoń samodzielnie, korzystając z numeru z odwrotu karty, z oficjalnej aplikacji albo z wyciągu.
5. Sprawdź w oficjalnej aplikacji ostatnie transakcje, listę urządzeń, odbiorców przelewów i karty dodane do portfeli cyfrowych.
6. Zrób zrzuty ekranu, ale nie przedłużaj rozmowy tylko po to, żeby zebrać dowody.

Co zrobić, jeśli dane już zostały podane

Działaj od razu, nie czekając na pojawienie się nieautoryzowanej transakcji.

Login lub hasło: wejdź na prawdziwą stronę lub do aplikacji, zmień hasło, wyloguj pozostałe sesje, włącz uwierzytelnianie wieloskładnikowe, zmień to samo hasło wszędzie indziej i sprawdź, czy nie podmieniono adresu e-mail do odzyskiwania konta.

Dane karty: natychmiast skontaktuj się z bankiem, zastrzeż kartę, zapytaj o procedurę reklamacyjną i obserwuj konto przez kolejne tygodnie.

Kod z SMS-a lub zatwierdzona operacja: powiedz bankowi dokładnie, co zatwierdziłeś. Kod mógł autoryzować przelew, dodanie urządzenia, zmianę numeru telefonu albo dodanie karty do portfela.

Zainstalowana aplikacja do zdalnego dostępu: odłącz urządzenie od internetu, nie loguj się na nim do banku, zadzwoń do banku z innego telefonu, usuń aplikację, sprawdź uprawnienia ułatwień dostępu i nagrywania ekranu, zmień hasła z innego urządzenia i rozważ przywrócenie ustawień fabrycznych.

Wysłane pieniądze: natychmiast poproś bank o próbę zatrzymania transakcji. Gwarancji nie ma, ale czas ma tu największe znaczenie.

Oszuści wracają po raz drugi

Osoby, które już straciły pieniądze, są atakowane ponownie. FTC opisuje mechanizm: oszuści kupują listy ofiar, tak zwane "sucker lists", zawierające imię, adres, telefon, rodzaj oszustwa i wysokość straty. Następnie podszywają się pod urząd, organizację konsumencką, kancelarię albo nawet pod pierwotnego oszusta oferującego zwrot.

Zasada bez wyjątków: żaden urząd ani legalna organizacja nie żąda opłaty z góry za pomoc w odzyskaniu pieniędzy.

Źródła: FTC: Refund and Recovery Scams, FTC: What To Do if You Were Scammed.

Zastrzeżenie PESEL: co blokuje, a czego nie

Jeżeli oszust zdobył numer PESEL, zdjęcie dowodu albo szerszy zestaw danych, warto zastrzec numer. Usługa jest bezpłatna, dostępna w aplikacji mObywatel (działa natychmiast) oraz w urzędzie gminy (od ręki).

Od 1 czerwca 2024 roku instytucje finansowe mają obowiązek sprawdzać, czy PESEL jest zastrzeżony, przy zawieraniu umów takich jak kredyt czy pożyczka.

Najczęstsza obawa jest nieuzasadniona. Zastrzeżenie nie blokuje rejestracji u lekarza, realizacji recepty, wypłat z bankomatu, przelewów, wyjazdu za granicę ani spraw urzędowych.

Źródło: gov.pl: Zastrzeż swój numer PESEL.

Gdzie zgłosić oszustwo w Polsce

W pierwszej kolejności bank, jeśli doszło do ujawnienia danych finansowych, przelewu albo zatwierdzenia operacji.

CERT Polska przyjmuje zgłoszenia czterema kanałami:

• SMS na numer 8080 – bezpłatny, działa od 22 listopada 2023 roku. Najlepiej użyć polecenia Przekaż lub Udostępnij; jeśli to niemożliwe, skopiuj treść. Przekaż całą wiadomość w oryginale, nie wycinaj linku. Można zgłaszać także SMS-y bez linków. Poza Polską koszt według taryfy operatora.
• incydent.cert.pl – formularz zgłoszenia incydentu.
• incydent.cert.pl/phishing – osobny formularz dla stron wyłudzających dane.
• Aplikacja mObywatel – funkcja zgłaszania podejrzanych wiadomości.

Policja: zgłoś, jeśli doszło do utraty pieniędzy, kradzieży tożsamości, przejęcia konta lub szantażu. Zabierz zrzuty ekranu, numery telefonów, adresy stron, potwierdzenia przelewów i dane rachunku odbiorcy. Numer alarmowy: 112.

Platforma społecznościowa: zgłoś fałszywy profil, przejęte konto i reklamę prowadzącą do fałszywej strony. Jeśli przejęto Twoje konto, ostrzeż znajomych innym kanałem.

Źródła: gov.pl: Zgłoś SMS lub e-mail do CERT Polska, CERT Polska: Fałszywe SMS-y.

Gdzie zgłosić oszustwo w USA

• Bank lub wystawca karty – w pierwszej kolejności.
• ReportFraud.ftc.gov – Federal Trade Commission.
• IC3.gov – FBI Internet Crime Complaint Center, w tym phishing i spoofing.
• IdentityTheft.gov – kradzież tożsamości.
• Lokalna policja.

Najczęstsze błędy przy ocenie wiarygodności wiadomości

"Profil mam prywatny, więc jestem bezpieczny." Prywatność pomaga, ale konto znajomego może zostać przejęte, znajomy może przesłać zdjęcie dalej, a starsze posty mogą wciąż być publiczne.

"Zna moje ostatnie transakcje, więc to musi być bank." Miejsce pobytu mógł ustalić z Twoich postów, a płatność w tym miejscu po prostu zgadnąć.

"Numer zgadza się z numerem banku." Numer na wyświetlaczu można podrobić. Rozłącz się i zadzwoń sam.

"Strona ma kłódkę." Kłódka oznacza tylko szyfrowanie połączenia. Sprawdzaj nazwę domeny, a najlepiej nie otwieraj banku z linku.

"Zna moje dane, więc pracuje w banku." Dane mogły pochodzić z mediów społecznościowych, wycieku, starego ogłoszenia albo przejętego konta znajomego.

Zasada, która wystarczy zapamiętać

Prawdziwy szczegół w wiadomości nie oznacza, że cała wiadomość jest prawdziwa. Oszust może znać nazwę Twojego hotelu, bo sam ją opublikowałeś.

Gdy ktoś niespodziewanie kontaktuje się w sprawie pieniędzy, karty, rezerwacji albo konta: przerwij kontakt, nie klikaj linku, nie podawaj kodu, nie instaluj aplikacji i skontaktuj się z instytucją samodzielnie, korzystając ze znanego numeru.

Źródła

• FTC – kod weryfikacyjny
• FTC – "przenieś pieniądze, żeby je ochronić" to oszustwo
• FTC – telefon o oszustwie na koncie
• FTC – podrabianie caller ID
• FTC – oszustwa na odzyskanie pieniędzy
• FTC – co zrobić po oszustwie
• FTC – podszywanie się pod obsługę linii lotniczych
• FTC – oszustwa na serwisach turystycznych
• FCC – Caller ID Spoofing
• FBI IC3 – oszustwa z użyciem generatywnej AI
• gov.pl – zastrzeżenie PESEL
• gov.pl – zgłoszenia do CERT Polska
• CERT Polska – fałszywe SMS-y
• CERT Polska – atak na klientów Booking.com
• CERT Polska – jak rozpoznać fałszywe strony
• CERT Polska – Lista Ostrzeżeń
• Policja – oszustwo "na pracownika banku"
• Apple – zarządzanie lokalizacją w Zdjęciach
• Krebs on Security – kod kreskowy karty pokładowej
• Krebs on Security – karta pokładowa, ciąg dalszy