Spoofing - wszystko co trzeba wiedzieć

Spoofing - co to takiego?

Spoofing to metoda działania oszustów, do której wykorzystuje się istniejące ID dzwoniącego, aby podszyć się pod osobę reprezentującą najczęściej instytucje finansowe, przede wszystkim banki, ale także instytucje publiczne, a nawet policjantów, czy adwokatów. Głównie oszustom chodzi o to, żeby w rozmowie najpierw wzbudzić zaufanie, jako faktyczny pracownik danej firmy, a następnie pod pretekstem przeciwdziałania oszustwom, stara się wydobyć dane osobowe, a nawet dane bankowe, dane logowania do serwisów bankowych, czy dane karty kredytowej. Wszystko motywowane jest naszym dobrem i bezpieczeństwem naszych środków.

Jak działa Spoofing - techniki stosowane przez oszustów

Spoofing opiera się na prostej rozmowie telefonicznej, w której oszuści korzystając z różnych narzędzi, dokonują niejako włamania na “konta” abonentów telefonicznych, podpinają się pod ich ID Dzwoniącego i wykorzystują je, w celu wykonywania połączeń jako dana osoba. Wykorzystują w tym celu przede wszystkim numery pracowników bankowych, czy innych instytucji finansowych, ale i pracowników instytucji państwowych, policji, czy kancelarii. Najlepiej jednak spisują się połączenia wykonane w imieniu pracowników banku, ponieważ oni teoretycznie wywołują najmniej podejrzeń, prosząc o newralgiczne dane.

Zwykle takie połączenie odbywa się tak, jak standardowe połączenie od prawdziwego pracownika banku. Przedstawia się, informuje o nagrywaniu rozmowy i przechodzi do weryfikacji klienta. Już na tym etapie zwykle oszust zadaje znacznie więcej pytań, niż pracownik banku, który w zależności od reprezentowanej instytucji zadaje nie więcej niż 3 pytania, w tym ostatnie najczęściej dotyczy jedynie posiadania lub nie, konkretnego produktu. Oszust potrafi już w tym momencie wyłudzić imię, nazwisko, datę urodzenia, a nawet PESEL, serię i numer dowodu osobistego, a nawet datę wydania i datę ważności dokumentu.

Im bardziej po myśli oszustów układać się będzie rozmowa, tym więcej danych będą starali się uzyskać. Najczęściej powodem rozmowy jest bezpieczeństwo nasze i naszych środków. Oszuści informują o podejrzanej działalności na rachunku, o próbie włamania, o blokadzie środków - najpewniej usłyszymy coś, co ma nas skłonić do podjęcia szybkiej, impulsywnej decyzji. Po wyłudzeniu podstawowych danych osobowych i danych dowodowych, złodzieje mogą próbować uzyskać bezpośredni dostęp do naszych serwisów bankowości elektronicznej. W tym celu będą próbowali uzyskać login i hasło, czego prawdziwy pracownik banku nigdy by nie zrobił. Mogą próbować nawet uzyskać od ofiary dane karty kredytowej, od numeru karty, przez datę ważności, po numer CVV a nawet kod PIN. Tego również żaden pracownik banku, czy jakiejkolwiek instytucji, by nie zrobił.

Jakie środki ostrożności zachować by nie paść ofiarą spoofingu?

W przypadku podjętej przez oszustów próby Spoofingu, trudno jest się tak naprawdę uchronić przed samym odebraniem telefonu. Podszywając się pod numery istniejących osób i instytucji, zyskują przewagę nad niczego nieświadomymi ofiarami. Dzwoniąc z zaufanego numeru, oszuści zyskują już tym samym pewną dawkę zaufania ze strony rozmówcy. Pamiętajmy jednak, że pracownicy banków i innych instytucji nigdy nie będą nas pytać o takie informacje jak data ważności dowodu osobistego, hasło do bankowości internetowej, czy numer CVV do karty kredytowej. Nie jest to dla każdego oczywiste, ale właśnie ilość i szczegółowość pytań potencjalnego konsultanta są dla nas jedyna czerwoną flagą. Pamiętajmy, że bez względu na to, z kim rozmawiamy przez telefon, im mniej danych podamy, tym jesteśmy bezpieczniejsi.

Jak rozpoznać próbę spoofingu?

Aby rozpoznać próbę Spoofingu, wystarczy skupić się na samym początku rozmowy, weryfikacji rozmówcy przez dzwoniącego. Weryfikacja klienta dokonywana przez pracownika banku polega zwykle na potwierdzeniu przez nas słownie naszego imienia i nazwiska, zwykle dochodzi do tego pytanie o datę urodzenia, nazwisko panieńskie matki, czy ostatnie 3 cyfry numeru PESEL, oraz jako trzecie i ostatnie pytanie, pracownik zwykle pyta czy posiadamy jakiś, bardzo jasno określony produkt w tym banku. Tyle wystarczy pracownikom banków i innych instytucji finansowych, by potwierdzić naszą tożsamość. Jeżeli już na tym etapie otrzymujemy więcej, bardziej szczegółowych pytań, rozłączmy się bez zawahania. Jeśli to faktycznie bank, zadzwoni do nas inny pracownik.

Jakie kroki należy podjąć, gdy padniemy ofiarą spoofingu?

Jeśli uważamy, że padliśmy ofiarą Spoofingu, w pierwszej kolejności należy zgłosić to w pozarządowej organizacji przeciwdziałania cyberprzestępczości - CERT Polska. Zgłoszenie złożymy na onlineowym formularzu. Pamiętajmy, że im więcej informacji udzielimy, tym łatwiej będzie cokolwiek zdziałać. Oczywiście zaistniałe przestępstwo lub podejrzenie zaistnienia przestępstwa należy zgłosić również na policji, a nawet w samej prokuraturze. Warto także udać się do naszego banku, aby zasięgnąć informacji, jak dalej postępować.

Rola instytucji finansowych w ochronie przed spoofingiem

Spoofing to oszustwo, którego ofiarą padają najczęściej klienci banków, ale banki również nie wychodzą z tego bez szwanku. Odkąd złodzieje zyskali możliwość podpinać się pod istniejące numery telefonów, zarejestrowane na realnych ludzi, a nawet instytucje - zwłaszcza banki, spada zaufanie względem prawdziwych połączeń z konsultantami banku. Przeciwdziałając Spoofingowi, banki wprowadziły możłiwośc weryfikacji konsultanta poprzez aplikacje mobilną. Jeszcze nie każdy bank oferuje taką usługę, ale staje się coraz powszechniejsza, a polega na tym, że faktyczny konsultant dzwoniący w imieniu danego banku, może potwierdzić nam swoją tożsamość, wysyłając powiadomienie na naszą aplikację mobilną. W powiadomieniu zobaczymy potwierdzenie danych dzwoniącego - imię, nazwisko, informacje, że faktycznie reprezentuje dany bank. Jest to jedna z opcji, by uchronić się przed podszywającymi się pod pracowników banku oszustami, ponieważ oszuści nie mają możliwości takiego powiadomienia wysłać.

Podsumowanie najważniejszych informacji na temat spoofingu

Spoofing to jedna z metod oszustw, wykorzystująca połączenia telefoniczne, a przede wszystkim, połączenia z faktycznie istniejących i zarejestrowanych numerów, często numerów pracowników banków i innych zaufanych instytucji. Oszustowi podszywającemu się pod pracownika banku zależy na wyłudzeniu od nas możliwie największej ilości danych, w tym danych wrażliwych, jak dane dowodowe, dane logowania do serwisów bankowych, czy dane karty kredytowej. Duża ilość pytań o wrażliwe dane to pierwszy znak ostrzegawczy, który powinien nakłonic nas do natychmiastowego zakończenia rozmowy. Jednak, jeśli padliśmy ofiarą Spoofingu, niezwłocznie zgłośmy to do CERT Polska oraz na policji.