Oszuści wykorzystują aplikacje do śledzenia zamówień, aby umieszczać fałszywe potwierdzenia tam, gdzie użytkownicy spodziewają się zobaczyć prawdziwe zakupy, a następnie nakłaniają ich do dzwonienia pod fałszywe numery pomocy technicznej.
Spis treści
- Dlaczego aplikacja Shop sprawia, że oszustwo wydaje się bardziej wiarygodne
- Marka jest dowolna
- Co wiemy, a czego nie wiemy
- Jak działa to oszustwo
- Dlaczego użytkownikom trudniej jest to ocenić
- Co zrobić, jeśli je zauważysz
- Co zrobić, jeśli już zadzwoniłeś
- Wniosek
Fałszywą fakturę w wiadomości e-mail łatwo zignorować. Fałszywa faktura w historii zamówień wywołuje jednak inne odczucia.
Klienci firmy Norton zgłaszali pojawianie się fałszywych faktur Norton w aplikacji Shop – aplikacji do zakupów i śledzenia zamówień od Shopify. Publiczne doniesienia sugerują, że ta sama technika nie ogranicza się wyłącznie do firmy Norton. Podobne podejrzane powiadomienia w aplikacji Shop wykorzystywały jako przynętę markę McAfee, karty podarunkowe Apple, iPhone’y, żądania płatności w stylu PayPal oraz inne zakupy o wysokiej wartości. Marka, pod którą podszywa się oszust, może się zmieniać, ale schemat działania jest znany: sprawić, by użytkownik uwierzył, że został obciążony opłatą, a następnie podać mu numer telefonu, pod który ma zadzwonić.
To właśnie pod tym numerem telefonu naprawdę zaczyna się oszustwo.
Dlaczego aplikacja Shop sprawia, że oszustwo wydaje się bardziej wiarygodne
Shop to legalna aplikacja. Użytkownicy korzystają z niej, aby śledzić przesyłki, sprawdzać paragony i otrzymywać aktualizacje dotyczące zamówień. Zgodnie z dokumentacją samej aplikacji Shop, może ona automatycznie śledzić zamówienia z kilku źródeł, w tym z Gmaila, Outlooka, adresu e-mail powiązanego z kontem użytkownika w Shop oraz zamówień opłaconych za pośrednictwem Shop Pay. Jeśli Gmail lub Outlook są połączone, Shop skanuje najnowsze wiadomości e-mail w poszukiwaniu słów kluczowych, takich jak „numer śledzenia” i „śledź swoją przesyłkę”, aby wyświetlić dostawy w zakładce „Zamówienia”.
Aplikacja Shop obsługuje również powiadomienia push dotyczące aktualizacji dostaw, płatności i ulubionych produktów. Pierwszym powiadomieniem, jakie widzi ofiara, może więc nie być wiadomość e-mail, SMS ani zaproszenie do kalendarza. Może to być powiadomienie z aplikacji, z której już korzysta w celu dokonywania prawdziwych zakupów.
Ten kontekst ma znaczenie. Treść oszukańskiej wiadomości nie jest szczególnie dopracowana. Niektóre z przeanalizowanych przez nas przykładów zawierają niezręczne sformułowania i oczywiste oznaki oszustwa. Jednak gdy wiadomość pojawia się w aplikacji do śledzenia zamówień, w otoczeniu prawdziwych potwierdzeń zakupu i aktualizacji dotyczących wysyłki, użytkownicy mogą nadać jej większą wiarygodność, niż na to zasługuje.
Zrzuty ekranu, które nam zgłoszono, pokazują fałszywe zamówienia pod ogólnymi nazwami sprzedawców, takimi jak „My Store”. Na potwierdzeniach zakupu podano, że subskrypcja Norton lub Norton LifeLock została aktywowana lub odnowiona, zazwyczaj za kilkaset dolarów. Numer telefonu pojawia się w opisie produktu, treści potwierdzenia zakupu, a nawet w polu adresu wysyłki.
Tak nie powinno wyglądać normalne potwierdzenie zakupu.
Marka jest dowolna
Norton to przykład, który widzieliśmy w zgłoszeniach klientów. Obsługa klienta firmy Norton ostrzega obecnie, że oszuści mogą nadużywać platform zakupowych lub aplikacji na systemy Android i iOS w celu generowania fałszywych powiadomień o zamówieniach, które wyglądają jak legalne zakupy produktów Norton. Powiadomienia te mogą zawierać fałszywe potwierdzenia zamówień, fałszywe obciążenia, dostawę za pośrednictwem zaufanych aplikacji stron trzecich oraz fałszywe numery telefonów do pomocy technicznej umieszczone w szczegółach zamówienia.
Publiczne zgłoszenia użytkowników wskazują na szerszy schemat działania. Jeden z użytkowników serwisu Reddit opisał, że otrzymał wiadomość z aplikacji Shop.app dotyczącą transakcji, której nie rozpoznał, bez następującego po niej e-maila z potwierdzeniem, oraz komunikat z prośbą o skontaktowanie się z obsługą klienta, jeśli zamówienie nie zostało złożone przez niego. W innym wątku pojawiły się zgłoszenia dotyczące nieznanych zakupów iPhone’ów w sekcji „My Store”, podejrzanych e-maili kontaktowych oraz użytkowników twierdzących, że nie zauważyli odpowiadających im obciążeń na swoich kartach bankowych. Inne zgłoszenia dotyczą fikcyjnych zakupów kart podarunkowych Apple oraz zamówień iPhone’ów, w których wykorzystano ten sam rodzaj sformułowania: „Jeśli zamówienie nie zostało złożone przez Ciebie”, po którym następuje numer telefonu.
Wybór marki stanowi element socjotechniki. Fałszywa opłata za subskrypcję zabezpieczeń odwołuje się jednocześnie do dwóch obaw: obawy przed obciążeniem za coś, czego się nie kupiło, oraz obawy przed pozostawieniem bez ochrony w przypadku zignorowania powiadomienia. Produkty Apple i karty podarunkowe wywołują panikę związaną z zakupami o wysokiej wartości. Sformułowania w stylu PayPal sprawiają, że użytkownicy obawiają się nadużycia konta płatniczego. W każdym przypadku fałszywe zamówienie ma na celu skłonienie ofiary do nawiązania połączenia telefonicznego.
Co wiemy, a czego nie wiemy
Nie znaleźliśmy żadnych dowodów na to, że którakolwiek z podszywających się marek została naruszona.
Nie powinniśmy również twierdzić, że doszło do włamania do serwisu Shop lub Shopify na podstawie posiadanych dowodów. Dokładna ścieżka nadużycia nadal wymaga potwierdzenia. Fałszywe zamówienie może przedostawać się do aplikacji poprzez proces obsługi sprzedawcy/zamówienia, analizę wiadomości e-mail, powiązanie kont lub inny legalny mechanizm, w którym oszuści znaleźli sposób na nadużycie. Dokumentacja samego serwisu Shop pokazuje, że zamówienia mogą pochodzić z wielu źródeł, więc zakładanie jednej ścieżki byłoby przedwczesne.
To, co możemy stwierdzić, jest węższe i bardziej konkretne: oszuści umieszczają fałszywe potwierdzenia zakupów w interfejsie zamówień aplikacji zakupowych, gdzie użytkownicy są przyzwyczajeni do oglądania prawdziwych potwierdzeń i aktualizacji zamówień. Strona pomocy technicznej firmy Norton opisuje obecnie ten rodzaj oszustwa w aplikacjach zakupowych, a publiczne doniesienia wskazują na podobne przynęty wykorzystujące inne marki i produkty.
To wystarczy, aby ostrzec użytkowników bez wyolbrzymiania dowodów technicznych.
Jak działa to oszustwo
Użytkownik otrzymuje powiadomienie lub widzi nowe zamówienie w aplikacji Shop. Zamówienie wygląda jak potwierdzenie zakupu czegoś drogiego: subskrypcji zabezpieczeń, karty podarunkowej Apple, iPhone’a, MacBooka lub innego zakupu o wysokiej wartości.
Potwierdzenie zawiera informację, że opłata została zrealizowana, subskrypcja została odnowiona lub zamówienie jest w trakcie przygotowywania. Gdzieś w szczegółach zamówienia oszust umieszcza numer telefonu, adres e-mail lub instrukcję dotyczącą pomocy technicznej.
Sformułowania są często nieporadne. Widzieliśmy takie zwroty jak „Jeśli zamówienie nie zostało złożone przez Ciebie” i „Jeśli potrzebujesz pomocy”. Błędy te mogą wydawać się oczywiste podczas przeglądania zrzutu ekranu. Łatwiej je przeoczyć, gdy powiadomienie na telefonie informuje, że właśnie pobrano opłatę w wysokości setek dolarów.
Jeśli ofiara zadzwoni, oszustwo przenosi się poza platformę. Osoba odbierająca połączenie może podawać się za dział rozliczeń, wsparcie techniczne Norton, wsparcie PayPal lub dział anulowania zamówień. Scenariusz rozmowy może się różnić, ale prośba zazwyczaj dotyczy danych logowania, danych płatniczych, kodów jednorazowych lub oprogramowania do zdalnego dostępu.
W tym momencie fałszywy paragon spełnił już swoją rolę. Wywołał wystarczające poczucie pilności, by ofiara wdała się w rozmowę kontrolowaną przez oszusta.
Dlaczego użytkownikom trudniej jest to ocenić
Większość ludzi rozumie, że e-mail może być spamem. Nadal mogą paść ofiarą phishingu, ale przynajmniej skrzynka odbiorcza jest miejscem, w którym oszustwa są oczekiwane.
Aplikacje do śledzenia zamówień to zupełnie inna sprawa. Ich celem jest gromadzenie potwierdzeń, aktualizacji dotyczących wysyłki i informacji o zakupach w jednym miejscu. Powiadomienie z takiego środowiska może sprawiać wrażenie, jakby przeszło już przez pewną warstwę zaufania, nawet jeśli treść zamówienia jest fałszywa.
Tę samą logikę zaobserwowaliśmy w przypadku oszustw związanych z zaproszeniami w kalendarzu. Sama wiadomość nie zawsze jest przekonująca, ale kanał, przez który jest dostarczana, zmienia sposób, w jaki ludzie ją odbierają. Fałszywa faktura w skrzynce odbiorczej to jedno. Fałszywa faktura w przypomnieniu kalendarza lub potwierdzeniu z aplikacji zakupowej może wydawać się bardziej zbliżona do prawdziwego zdarzenia.
W przypadku produktów zabezpieczających stwarza to również problem z wykrywaniem. Pierwszym widocznym ostrzeżeniem może nie być e-mail, SMS ani złośliwa strona internetowa. Może to być legalne powiadomienie z aplikacji zawierające fałszywy tekst. Oszustwo nadal opiera się na inżynierii społecznej, ale sposób jego dostarczenia jest trudniejszy do sklasyfikowania przy użyciu standardowych zasad.
Co zrobić, jeśli je zauważysz
Nie dzwoń pod numer podany w potwierdzeniu.
Sprawdź transakcję bezpośrednio. Otwórz aplikację bankową lub aplikację karty kredytowej. Otwórz oficjalne konto marki, pod którą ktoś się podszywa. Jeśli podaje się za firmę Norton, przejdź do swojego konta Norton lub oficjalnej pomocy technicznej Norton. Jeśli podaje się, że dotyczy to serwisu PayPal, otwórz bezpośrednio stronę PayPal. Nie korzystaj z numeru telefonu, adresu e-mail ani linku zawartego w podejrzanym zamówieniu.
Jeśli nie ma pasującej transakcji, potraktuj potwierdzenie jako próbę oszustwa.
Zgłoś podejrzany sklep lub wiadomość w aplikacji Shop, jeśli opcja ta jest dostępna. Strony pomocy Shop informują, że podejrzane sklepy w Shop można zgłaszać z poziomu strony sklepu za pośrednictwem aplikacji, a Shopify zaleca również użytkownikom przekazywanie wiadomości phishingowych do swojej skrzynki odbiorczej przeznaczonej na takie wiadomości.
Użytkownicy Norton mogą przekazywać podejrzane wiadomości do firmy Norton i powinni weryfikować nieoczekiwane obciążenia wyłącznie za pośrednictwem swojego konta Norton lub oficjalnych kanałów pomocy technicznej Norton.
Otwarcie potwierdzenia nie oznacza automatycznie, że Twoje urządzenie zostało przejęte. Ryzyko wzrasta, jeśli zadzwonisz pod podany numer, udostępnisz informacje, zainstalujesz oprogramowanie lub zastosujesz się do instrukcji osoby dzwoniącej.
Co zrobić, jeśli już zadzwoniłeś
Zakończ rozmowę.
Jeśli podałeś dane płatnicze, natychmiast skontaktuj się z bankiem lub wystawcą karty, korzystając z numeru podanego na karcie lub w aplikacji bankowej. Jeśli podałeś hasło, zmień je, jeśli to możliwe, z innego urządzenia. Zacznij od konta e-mail, Apple ID lub konta Google, konta bankowego oraz wszelkich kont powiązanych z fałszywą fakturą.
Jeśli zainstalowałeś oprogramowanie do zdalnego dostępu, odłącz urządzenie od Internetu i usuń oprogramowanie. Przed ponownym użyciem urządzenia do obsługi bankowości, poczty elektronicznej lub zakupów przeprowadź skanowanie bezpieczeństwa.
Jeśli podałeś rozmówcy kod jednorazowy, potraktuj powiązane konto jako naruszone. Zmień hasło, przejrzyj opcje odzyskiwania dostępu i sprawdź ostatnią aktywność logowania.
Wniosek
Oszuści nieustannie testują nowe miejsca, w których mogą zastosować stare sztuczki. Przez lata fałszywe faktury były głównie problemem związanym z pocztą elektroniczną. Następnie podobne powiadomienia o subskrypcji pojawiły się w zaproszeniach kalendarzowych. Obecnie obserwujemy fałszywe pokwitowania w historii zamówień w aplikacjach zakupowych oraz w strumieniach powiadomień push.
Najbezpieczniejszą reakcją jest oddzielenie powiadomienia od działania. Jeśli aplikacja, e-mail, SMS lub zaproszenie w kalendarzu informuje o naliczeniu opłaty, nie korzystaj z danych kontaktowych podanych w tym powiadomieniu. Samodzielnie przejdź bezpośrednio do swojego konta lub dostawcy usług płatniczych. Sprawdź, czy opłata rzeczywiście została naliczona. Korzystaj z oficjalnych kanałów pomocy technicznej.
Fałszywy paragon, fałszywy numer pomocy technicznej i fałszywa sytuacja awaryjna stanowią część tego samego, kontrolowanego środowiska. W momencie, gdy zweryfikujesz opłatę gdzie indziej, oszustwo traci większość swojej skuteczności.
Źródło zdjęć: depositphotos.com
Materiał przygotowany przez CORE - Norton, Avast i AVG w Polsce