Internetoví útočníci neustále hľadajú nové spôsoby, ako speňažiť nepozornosť používateľov. Zatiaľ čo väčšina z nás je zvyknutá na klikanie na obrázky semaforov alebo prepisovanie skomolených znakov, nová forma podvodu zneužíva niečo oveľa nákladnejšie. Bezpečnostní analytici zo spoločnosti Infoblox odhalili sofistikovanú kampaň, ktorá pod zámienkou „overenia“ toho, že ste človek, núti obete odosielať drahé medzinárodné SMS správy, informuje portál TechRadar Pro.
Tento typ kybernetického útoku nie je žiadnou novinkou – podľa zistení odborníkov prebieha minimálne od júna 2020. Celý proces začína presmerovaním používateľa na podvodnú stránku prostredníctvom takzvaných TDS systémov (Traffic Distribution Systems). Ide o nástroje, ktoré triedia internetovú premávku a cielene posielajú obete na nebezpečné domény.
Hneď ako sa obeť ocitne na stránke, útočníci využijú psychologický nátlak a technické triky:
- Zneužitie tlačidla „Späť“: Stránka je navrhnutá tak, aby sa z nej bežným spôsobom nedalo odísť, čo v používateľovi vyvoláva pocit frustrácie a potrebu rýchlo vyriešiť „problém“ na obrazovke.
- Falošná verifikácia: Stránka vyžaduje, aby používateľ potvrdil, že nie je robot. Namiesto bežného kliknutia ho však vyzve na odoslanie vopred pripravenej SMS správy.
Ak používateľ na mobilnom zariadení klikne na tlačidlo overenia, web automaticky otvorí predvolenú SMS aplikáciu. V nej je už predvyplnené telefónne číslo aj text správy. Podvod je však nastavený tak, aby obeť prešla viacerými krokmi. Každé ďalšie „potvrdenie“ znamená odoslanie novej správy na iné medzinárodné číslo.
Výskumníci David Brunsdon a Darby Wise vo svojej správe upozorňujú, že jedna obeť môže počas jedného sedenia odoslať až 60 SMS správ do desiatok rôznych destinácií. Hoci sa suma v prepočte okolo 25 eur za jeden takýto incident nemusí zdať likvidačná, pri tisíckach oklamaných používateľov však už ide pre útočníkov o mimoriadne výnosný biznis.
Prečo si to obete nevšimnú hneď?
Hlavným spojencom útočníkov je časový odstup. Na rozdiel od okamžitého ukradnutia peňazí z karty sa poplatky za medzinárodné SMS objavia až v mesačnom vyúčtovaní od operátora. Po dvoch či troch týždňoch si málokto spomenie na zvláštnu stránku s CAPTCHA kódom, čo sťažuje identifikáciu zdroja problému.
Zisky útočníkov plynú z tzv. zdieľania výnosov (revenue sharing) s telekomunikačnými partnermi v zahraničí, ktorí spravujú prémiové linky. Stratoví sú tak nielen používatelia, ale aj samotní operátori, ktorí musia následne riešiť tisíce reklamácií a vratiek.
Ako sa chrániť?
Obrana je v tomto prípade až banálne jednoduchá, no vyžaduje si obozretnosť. Bezpečnostní experti zdôrazňujú jedno základné pravidlo: Žiadna legitímna služba na svete od vás nebude vyžadovať odoslanie SMS správy len preto, aby ste dokázali, že nie ste robot. Ak od vás webová stránka pýta interakciu s vašou SMS aplikáciou, okamžite kartu prehliadača zatvorte.
