Vishing - cum funcţionează metoda „Accidentul“ în sistemul bancar

Banii din conturile românilor au devenit o ţintă pentru escroci, iar băncile estimează că atacurile se vor înmulţi, fiind folosită ca strategie de abordare a victimelor metoda „Accidentul”.

„Cum recunoşti un escroc la telefon?“ este întrebarea pe care o pun reprezentanţii ING într-un mail trimis clienţilor zilele acestea, prin care îi avertizează că înşelătorii precum „metoda telefonului“ sau „metoda accidentului“ au evoluat şi în domeniul bancar. Prin acestea, escrocii încearcă să obţină date financiare sau confidenţiale, parole şi coduri de acces pentru a sustrage ulterior bani din conturile clienţilor.

Metoda frauduloasă se numeşte vishing – prescurtare de la voice phishing (furt de date prin telefon) – şi, prin aceasta, clienţii sunt contactaţi telefonic de către persoane care pretind a fi din partea autorităţilor (politişti, procurori, angajaţi ai ING Bank sau ai unor companii IT) şi care solicită accesul de la distanţă pe calculatorul clienţilor sub diferite pretexte inventate. Scopul lor real este de a accesa datele bancare şi de a fura banii.

I-am întrebat pe reprezentanţii ING care a fost motivul pentru care au trimis acest mesaj şi dacă au avut clienţi care s-au confruntat cu acest fel de probleme. „În ceea ce îi priveşte pe clienţii ING, nu au existat cazuri“, ne-au răspuns aceştia, precizând că mesajul este parte dintr-o acţiune de informare cu privire la modurile în care românii se pot proteja de atacurile cibernetice, pe care banca o va intensifica în acest an în mod deosebit atât pentru clienţi, dar şi pentru publicul larg. 

Am întrebat şi reprezentanţii BCR, o altă mare bancă din România, dacă s-au confruntat cu astfel de cazuri şi ne-au spus că „nu în ultima perioadă“, dar aceste lucruri se întâmplă şi nu există o statistică cu privire la numărul şi frecvenţa incidentelor.

De asemenea, reprezentanţii ING ne-au mai spus că derulează această campanie de informare în contextul în care, din acest an, operatorii de servicii esenţiale, printre care se regăsesc şi băncile, vor trebui să raporteze toate atacurile cibernetice pe care le primesc şi ele vor fi făcute publice. Noile reguli au fost adoptate de ţara noastră la începutul acestui an şi transpun o directivă europeană privind securitatea informaţiei.

Cum acţionează escrocii

Atacul debutează cu un apel telefonic. În cadrul acestuia, atacatorul pretinde că reprezintă o anumită companie sau autoritate. Pentru a da veridicitate apelului, atacatorii folosesc date despre victimă care sunt de obicei disponibile online (nume, prenume, adresă de e-mail etc.), explică Centrul Naţional de Răspuns la Incidente de Securitate Cibernetică (CERT-RO).

În momentul în care posibila victimă crede că acel apel este legitim, şansele de a oferi telefonic date sensibile (personale sau bancare) cresc exponenţial. Totodată,  atacatorii pot profita de credulitatea victimelor, pentru a îi convinge să instaleze software maliţios sau aplicaţii de control la distanţă pe dispozitivele utilizate.

Băncile din România şi CERT-RO descriu care sunt cele mai frecvente „scenarii“ inventate de escroci şi cum acţionează aceştia pentru a fura date şi bani.

Cont bancar blocat: Folosindu-se de o înregistrare automată, atacatorii cer date personale sau bancare. Ei pot spune că sună din partea băncii al cărei client sunteţi, pentru a vă notifica despre blocarea contului. Pentru deblocare vi se recomandă să apelaţi un alt număr. Este foarte probabil ca numărul apelat ulterior să fie unul cu suprataxă. Astfel, pe lângă culegerea de date personale şi financiare, scopul atacatorilor este ca să ţină victima un timp cât mai îndelungat la telefon. Mai târziu, la sosirea facturii telefonice, utilizatorii realizează că au fost păgubiţi.

O urgenţă a băncii: Escrocii vor invoca o nevoie rapidă de informaţiile dumneavoastră personale, punând asta pe seama unor proceduri bancare false.

Calculator virusat: Din cauza unor viruşi din calculatorul dumneavoastră, escrocii vă anunţă că a apărut o eroare în sistemul băncii şi e nevoie de datele personale pentru a remedia problema.

Metoda „Accidentul“: Cineva vă sună pentru a vă anunţa că o rudă a fost implicată într-un accident şi a fost rănită, aşa că trebuie să le trimiteţi bani pentru că acestea au nevoie urgentă de fonduri pentru spitalizare sau alte nevoi imediate.

Câştig neaşteptat: Cineva vă anunţă că aţi câştigat o sumă mare de bani, iar pentru a intra în posesia ei trebuie să oferiţi datele confidenţiale sau să plătiţi o taxă pentru transferul banilor. Un scenariu similar implică o moştenire neaşteptată sau o loterie la care nu aâi participat niciodată.

Maşina prea ieftină: Anunţ fals de vânzare a unei maşini la un preţ excepţional, prin care cei interesaţi sunt chemaţi să depună o sumă de bani prin Money Gram sau Western Union pe numele unei rude, drept garanţie, şi să trimită apoi formularul pe e-mail către vânzător. Banii sunt retraşi ulterior în baza unui act de identitate fals pe numele persoanei respective, folosind referinţa tranzacţiei.

Reprezentanţii băncilor avertizează că, dacă o ofertă este „prea frumoasă ca să fie adevărată“, atunci cel mai probabil că nici nu este reală.

Cum vă protejaţi de escroci

Principalul avertisment al băncilor pentru clienţi este să nu comunice informaţii cu privire la identitatea lor, conturile pe care le deţin, numărul de card, data expirării cardului, codul PIN sau alte produse şi servicii bancare deţinute.

De asemenea, ei sunt sfătuiţi să nu divulge date confidenţiale cu care accesează aplicaţiile de banking, precum numele de utilizator şi parola sau codul de activare.

Clienţii contactaţi telefonic trebuie să solicite cât mai multe detalii persoanei care îi sună (ex: nume, instituţia, număr de telefon, adresa sediului, etc.) şi să o informeze că vor reveni cu detalii, dar doar după ce verifică numărul de telefon sau adresa e-mail dintr-o sursă independentă (ex. telefon şi e-mail de pe website-ul instituţiei, etc.). Atacatorii vor încerca să îi convingă pe clienţi de urgenţa necesităţii primirii datelor, profitând de şocul emoţional al situaţiilor de tipul „accident al unei rude“ sau „câştigul neaşteptat“.

Clienţii sunt îndrumaţi să nu răspundă la apeluri din afara ţării, mai ales dacă nu cunosc persoane din ţările respective. De asemenea, ei sunt sfătuiţi să nu instaleze aplicaţii şi să nu acceseze site-uri la indicaţiile persoanelor care îi contactează telefonic.

„Nu presupune că persoanele care te contactează sunt de încredere doar pentru că ştiu cateva informaţii despre tine, pe care e foarte simplu să le afle de pe reţelele de socializare”, avertizează băncile.

Cei care au realizat că au devenit victima unui astfel de atac trebuie să noteze orice date îşi amintesc din apelul respectiv: numărul sau numerele de telefon cu care au luat contact în cadrul acestei scheme de vishing, data şi durata apelului, ce date au furnizat, ce software li s-a sugerat să instaleze, orice date furnizate de atacator şi mai ales ce acţiuni au făcut, la cererea interlocutorului. Ulterior, ei trebuie să meargă la cea mai apropiată secţie de poliţie pentru a depune o plângere şi să specifice aceste detalii. Sesizarea poliţiei este necesară la orice încercare de fraudă, chiar dacă nu au existat victime. În cazul în care clienţii au oferit detalii legate de contul lor, internet banking sau date de card, ei trebuie să contacteze cât mai curând banca pentru a bloca orice tranzacţie suspectă.