„Vishing”, noua metodă prin care escrocii golesc conturile bancare. Avertismentul Poliției Române

Poliția Română avertizează asupra creșterii tentativelor de fraudă informatică prin metoda „vishing”, în care infractorii sună victimele și pretind că sunt reprezentanți ai unor bănci, instituții financiare, companii de procesare a plăților sau autorități. Prin tehnici de manipulare psihologică și, în unele cazuri, prin falsificarea numărului de telefon afișat, atacatorii încearcă să obțină parole, coduri de autentificare, date ale cardurilor sau acces la dispozitivele victimelor.

Poliția Română avertizează asupra fraudelor de tip vishing. Foto arhivă

Direcția de Investigații Criminale din cadrul Inspectoratului General al Poliției Române a implementat un set de măsuri pentru limitarea fraudelor de tip „vishing”, pe fondul creșterii numărului de tentative realizate prin apeluri telefonice.

Termenul „vishing” vine de la „voice phishing” și desemnează fraudele în care atacatorii folosesc apelurile telefonice pentru a obține informații confidențiale sau pentru a determina victima să autorizeze operațiuni financiare.

Spre deosebire de atacurile informatice în care infractorii încearcă să exploateze vulnerabilități tehnice ale unor sisteme, în cazul vishingului principala metodă este manipularea victimei. Infractorii încearcă să creeze o situație credibilă și urgentă, astfel încât persoana contactată să furnizeze singură informațiile necesare accesării contului.

Victimele sunt sunate de presupusi angajați ai băncilor

În scenariile identificate de polițiști, atacatorii se prezintă drept angajați ai unor instituții financiare, bănci, departamente de securitate, companii de procesare a plăților sau chiar autorități publice.

Convorbirile sunt purtate într-o manieră profesională și, în multe cazuri, în limba engleză. Există însă și apeluri desfășurate în limba română.

Infractorii folosesc termeni specifici domeniului financiar și bancar pentru a crea impresia că victima discută cu un reprezentant autentic al instituției.

Unul dintre cele mai folosite scenarii este cel al unei presupuse tranzacții suspecte. Victimei i se poate spune că au fost detectate operațiuni dintr-o altă țară, tentative de autentificare, modificări neautorizate ale datelor contului sau încercări de asociere a unui nou dispozitiv.

În alte situații, apelantul susține că banca a blocat temporar anumite operațiuni și că este necesară confirmarea identității titularului pentru ca banii să nu fie pierduți.

Scenariile urmăresc același rezultat: inducerea unei stări de panică și determinarea victimei să acționeze rapid, fără să verifice informațiile primite.

Numărul de telefon afișat poate fi falsificat

Un element folosit pentru a face apelul mai credibil este falsificarea identității apelantului, cunoscută sub denumirea de „Caller ID Spoofing”.

Prin această metodă, pe telefonul victimei poate apărea un număr care pare legitim sau care poate fi asociat unei instituții financiare.

În unele cazuri sunt folosite numere din România sau din alte state membre ale Uniunii Europene, pentru a reduce suspiciunile persoanei contactate.

În realitate, numărul afișat nu indică neapărat identitatea reală a celui care efectuează apelul. Convorbirile pot fi inițiate din alte țări prin servicii de telefonie prin internet, cunoscute sub denumirea de VoIP, sau prin platforme specializate.

Poliția avertizează că falsificarea identității apelantului este utilizată de grupările infracționale în fraude bazate pe inginerie socială și poate contribui la producerea unor pierderi financiare importante.

Infractorii pot lucra în echipă

În unele cazuri, atacatorii nu acționează individual.

Poliția descrie situații în care membrii unei grupări au roluri diferite în timpul apelului. Unul dintre infractori poate induce panică, insistând asupra gravității situației și asupra riscului ca banii victimei să fie pierduți.

Un alt membru al grupării poate interveni ulterior și se poate prezenta drept specialist în securitate sau consultant care ar putea „rezolva problema”.

Alternarea dintre presiune și aparenta oferire de ajutor urmărește să reducă vigilența victimei și să îi crească încrederea în interlocutor.

Ce date încearcă să obțină atacatorii

În funcție de scenariul folosit, infractorii pot solicita coduri unice de autentificare primite prin SMS, cunoscute sub denumirea de OTP, coduri generate de aplicațiile de autentificare, parole sau coduri PIN.

De asemenea, pot cere datele cardului bancar, inclusiv codul CVV sau CVC.

O altă metodă este solicitarea aprobării unor notificări primite în aplicația bancară. Victimei i se poate spune că trebuie să confirme o operațiune pentru anularea unei presupuse tranzacții sau pentru securizarea contului.

În realitate, aprobarea poate autoriza chiar tranzacția inițiată de infractori.

În alte cazuri, victimele sunt convinse să instaleze aplicații de acces la distanță pe telefon sau calculator. Prin intermediul acestora, atacatorii pot obține controlul asupra dispozitivului și pot efectua operațiuni financiare în numele victimei.

Mesajele trimise înaintea apelului și datele personale cresc credibilitatea fraudei

Poliția avertizează și asupra unor metode prin care infractorii pregătesc telefonic victima.

În unele situații, persoana primește mai întâi un mesaj text care pare transmis de instituția financiară și prin care este anunțată că urmează să fie contactată de un reprezentant al serviciului de securitate.

În alte cazuri, atacatorii cunosc deja anumite informații despre victimă, cum ar fi numele, adresa de e-mail sau numărul de telefon.

Aceste date pot proveni din breșe de securitate sau din surse publice.

Faptul că interlocutorul cunoaște informații reale despre persoana contactată poate crea impresia că acesta este într-adevăr angajatul unei bănci sau al unei instituții financiare.

Băncile nu cer telefonic parole sau coduri de securitate

Poliția Română atrage atenția că instituțiile financiare legitime nu solicită telefonic parole, coduri OTP, coduri PIN, datele complete ale cardului bancar sau aprobarea unor tranzacții pentru „protejarea” contului.

De asemenea, reprezentanții legitimi ai instituțiilor financiare nu solicită instalarea unor aplicații de control la distanță și nu cer transferarea banilor într-un presupus „cont sigur”.

Astfel de solicitări reprezintă indicii ale unei posibile tentative de fraudă.

Ce recomandă Poliția Română

În cazul unui apel telefonic nesolicitat referitor la conturi bancare sau aplicații financiare, polițiștii recomandă să nu fie furnizate informații confidențiale.

Nu trebuie comunicate prin telefon parole, coduri PIN, coduri OTP, coduri primite prin SMS sau alte date de autentificare.

Nu trebuie transmise datele complete ale cardului și codul CVV sau CVC.

De asemenea, nu trebuie aprobate tranzacții sau notificări în aplicația bancară dacă operațiunea nu a fost inițiată personal.

Poliția recomandă și evitarea instalării aplicațiilor de control la distanță la solicitarea unei persoane care contactează utilizatorul prin telefon.

Dacă interlocutorul exercită presiuni, insistă asupra urgenței situației sau încearcă să împiedice verificarea informațiilor, apelul trebuie întrerupt.

Solicitarea trebuie verificată ulterior prin contactarea instituției financiare folosind datele și canalele oficiale de comunicare, nu numărul de telefon furnizat de persoana care a sunat.

Poliția recomandă, de asemenea, activarea notificărilor pentru tranzacții și a mecanismelor suplimentare de securitate disponibile în aplicațiile financiare.

Membrii familiei, în special persoanele vârstnice, ar trebui informați despre aceste metode de fraudă și despre modul în care pot fi recunoscute.

Cum poate fi recunoscut un apel de tip vishing

Un apel trebuie tratat cu suspiciune atunci când interlocutorul susține că există o problemă urgentă cu un cont bancar și solicită imediat date sau acțiuni din partea clientului.

Semnele de alarmă includ solicitarea unor coduri de autentificare, parole sau PIN-uri, cererea de aprobare a unei tranzacții pe care clientul nu a inițiat-o, solicitarea instalării unei aplicații de control la distanță sau cererea transferării banilor într-un presupus „cont sigur”.

Faptul că numărul de telefon afișat pe ecran pare să aparțină unei bănci sau unei instituții cunoscute nu este o garanție că apelul este legitim, deoarece numărul poate fi falsificat.

În cazul unui apel suspect, verificarea trebuie făcută separat, prin canalele oficiale ale instituției.

Poliția Română avertizează că fraudele de tip vishing se bazează în primul rând pe manipularea victimei. Înțelegerea modului de operare, verificarea informațiilor prin surse oficiale și refuzul de a divulga date confidențiale prin telefon sunt principalele măsuri recomandate pentru prevenirea pierderilor financiare.