Dziś rano informowaliśmy Was o starcie nowej rządowej loterii - Loteria Narodowego Programu Szczepień, w której można wygrać nagrody o łącznej wartości 21 989 280 złotych. Jednak wczytując się w regulamin tej loterii nie trudno domyśleć się, że może być ona też niezłą pożywką dla cyberprzestępców.
Pod naszym wpisem o Loterii Narodowego Programu Szczepień napisał jeden z Czytelników komentarz, w którym zwraca on uwagę na zapisy w regulaminie loterii, które to prawdopodobnie wywołają kolejną falę ataków scamerów na numery telefony zaszczepionych osób, biorących udział w loterii.
Rzeczywiście, sprawdziłem ten regulamin i punkty, które nasz Czytelnik cytuje w swoim komentarzu mają następujące brzmienie:
2. Laureaci nagród I, II, III, IV, V i VI stopnia informowani są o wygranej przez TS (przyp. red. Totalizator sportowy) za pośrednictwem wiadomości SMS wysyłanej z numeru oznaczonego jako „Loteria” zgodnie z danymi wskazanymi przez Laureata podczas Rejestracji do Loterii (numer telefonu), z zastrzeżeniem § 12 ust. 8.
Wysyłanie przez cyberprzestępców SMS-ów, którymi wyłudzają dane od nieświadomych ofiar, a podszywające się pod inne instytucje z nazwy, na przykład banki czy firmy kurierskie nie jest żadną nowością, znanych jest już mnóstwo takich udanych ataków. Ale patrzmy dalej, bo kolejny punkt nie jest lepszy:
5. Do wiadomości SMS o której mowa w ust. 2 i ust. 4 dołączony jest link umożliwiający wypełnienie właściwego Oświadczenia w wersji elektronicznej.
Jaka piękna pożywka, wręcz na tacy podany gotowy scenariusz ataku phishingowego. Wystarczy, że przestępcy spreparują takiego SMS-a, który wyświetli się nam w telefonie jako „Loteria” i będzie zawierał informacje o wygranej, dajmy na to 50 tys. zł.
Aby je otrzymać należało będzie wypełnić jedno oświadczenie - i bach link do niego w wiadomości. Oczywiście dostaniemy link do fałszywego formularza, a prawdopodobnie znajdziemy w nim jeszcze konieczność potwierdzenia swojej tożsamości, poprzez zalogowanie się do bankowości elektronicznej, oczywiście na podstawionej i spreparowanej stronie banku.
6. Laureat zobowiązany jest do samodzielnego wypełnienia Oświadczenia i wysłania go do TS za pomocą przycisku „Wyślij”. Link do Oświadczenia jest możliwy do jednokrotnego użycia.
W tym momencie ofiara wysyła swoje dane do logowania do swojej bankowości przestępcom, ci się logują, a na podstawionej stronie banku proszą o hasło z SMS-a od banku czy autoryzację logowania w aplikacji mobilnej i atak udany.
Ludzie, którzy otrzymali informacje o takiej wysokiej nagrodzie, na którą przecież liczą i czekają zgłaszając się do loterii, reagują zupełnie inaczej niż zwykle. Nawet przesadnie czujne osoby dadzą się złapać w taką pułapkę, tutaj nie trzeba nawet jakiejś mocno wysublimowanej socjotechniki.
Jak bardzo udany może być taki atak? Aktualnie uprawnionych do udziału w tej loterii jest 11 mln zaszczepionych obywateli, w kolejce jest kolejnych 16 mln po jednej dawce. Wystarczy, że przestępcom w 10% z tych liczb uda się trafić na osoby biorące udział w loterii i mamy katastrofę.
To ogromna liczba potencjalnych ofiar, a wycieki danych Polaków z numerami telefonów w ostatnich latach, pozwalają przypuszczać, że ogromna ich liczba należy do biorących udział w loterii i jest aktualnie w posiadaniu cyberprzestępców.
Nie chcę tu wszczynać jakiejś paniki, ale niestety wiele takich ataków zostało już przeprowadzonych w niedalekiej historii i jest niemal pewne, że i tym razem cyberprzestępcy skorzystają z tej okazji. Tak więc uważajcie sami i ostrzegajcie znajomych i rodzinę, by ostrożnie podchodzili do SMS-ów z wygraną wysyłanych z numeru oznaczonego jako „Loteria”.
Stock Image from Depositphotos.
Hej, jesteśmy na Google News - Obserwuj to, co ważne w techu
