Rozmowa brzmi realistycznie. Dzwoniący zna Twoje imię i nazwisko, Twój bank, a nawet Twoje ostatnie transakcje. Twierdzi, że wystąpił problem z Twoim kontem i dzwoni, aby pomóc Ci go rozwiązać.

Zanim rozmowa dobiegnie końca, samodzielnie przelewasz pieniądze. Na konto należące do oszusta.

Czym jest inżynieria społeczna (socjotechnika)?

Inżynieria społeczna to manipulacja psychologiczna: oszust wciela się w zaufaną rolę, aby nakłonić Cię do samodzielnego przekazania dostępu, pieniędzy lub informacji.

Inżynieria społeczna działa poprzez wniknięcie do Twojej głowy, zanim oszust wejdzie na Twoje konto. Napastnik odgrywa rolę: śledczego ds. oszustw, agenta bezpieczeństwa banku, obsługi klienta u operatora sieci komórkowej. To wszystko, czego potrzebują, aby zacząć zadawać pytania. W bankowości ataki te przebiegają głównie za pośrednictwem połączeń telefonicznych, SMS-ów lub obu tych kanałów. Czasami wszystkich trzech, w odstępie kilku tygodni.

Sztuczna inteligencja sprawia, że ataki te są trudniejsze do wykrycia. Krótka próbka dźwiękowa wystarczy dziś, aby sklonować czyjś głos: poczta głosowa, kilka sekund z publicznego wideo. Deepfake'i w czasie rzeczywistym mogą nałożyć twarz na połączenie wideo w trakcie jego trwania. Informacje takie jak Twoje imię i nazwisko, Twój bank i niedawna transakcja są gromadzone automatycznie z profili publicznych i wyciekłych baz danych. Oszust nie musi znać Cię osobiście.

Jak przebiega atak

Zaczyna się od poczucia pilności. „Twoje konto jest atakowane”. „Zauważyliśmy podejrzaną aktywność i musimy natychmiast zabezpieczyć Twoje środki”. Oszuści potrzebują, abyś zaczął się martwić, zanim będziesz miał czas na przemyślenie sytuacji. Spanikowana osoba najpierw działa, a pytania zadaje później.

Następnie pojawia się autorytet. Dzwoniący twierdzi, że jest z zespołu ds. przeciwdziałania oszustwom Twojego banku, specjalistą przypisanym do Twojej sprawy. Podaje numer referencyjny, stanowisko, czasami prawdziwe nazwisko pracownika, które można sprawdzić na LinkedIn. Niektórzy dzwoniący przełączają Cię nawet między działami. Ma to sprawiać wrażenie prawdziwej organizacji zajmującej się rzeczywistym problemem.

Zanim poproszą Cię o przelanie środków lub pobranie czegoś, rozmawiasz już od piętnastu minut. Potwierdziłeś swoje dane. Usłyszałeś wiarygodną historię o tym, co poszło nie tak. Postępowałeś zgodnie z krokami, które wyglądały dokładnie jak prawdziwe dochodzenie w sprawie oszustwa. Wtedy po prostu się zgadzasz.

Nie każdy atak zaczyna się od telefonu. Niektóre rozpoczynają się tygodnie wcześniej od e-maila phishingowego lub podejrzanego SMS-a. Klikasz w link, wypełniasz formularz, a oszust ma już Twoje nazwisko, nazwę banku i wystarczająco dużo danych, by brzmieć wiarygodnie, gdy zadzwoni później. Zanim telefon zadzwoni, ma się wrażenie, że Cię zna, ponieważ ma już to, czego potrzebował.

Niektóre ataki łączą to wszystko etapami: najpierw SMS, potem e-mail, potem telefon, czasem w odstępie kilku dni lub tygodni. Każdy kolejny kontakt sprawia, że następny wydaje się bardziej wiarygodny. Phishing to często początek tego łańcucha. Wczesne wykrycie go może powstrzymać bieg wydarzeń, zanim dojdzie do rozmowy telefonicznej. Połączenia, w których oszuści podszywają się pod Twój bank, są szczegółowo opisane w sekcjach dotyczących fałszywych połączeń bankowych i vishingu.

Dlaczego dają się nabrać nawet ostrożni ludzie

Technik w mundurze zostaje wpuszczony do budynku. Lekarz, który się przedstawia, zostaje wpuszczony do gabinetu zabiegowego. To nie naiwność. Tak po prostu działa zaufanie. Przez telefon stanowisko i numer referencyjny wystarczą, by wydać się wiarygodnym.

Pod presją czasu myślisz szybciej i zadajesz mniej pytań. Po piętnastu minutach współpracy i przełączania między działami, przerwanie rozmowy zaczyna rodzić poczucie, że to Ty stwarzasz problem.

Ataki te są zaprojektowane tak, aby działały na ostrożnych ludzi. Jeśli Ci się to przytrafiło, to nie Twoja wina.

Jak chroni Cię bunq

Najbardziej niezawodna zasada: nigdy nie podejmuj działań pod wpływem rozmowy telefonicznej bez uprzedniego sprawdzenia czatu w aplikacji.

bunq nigdy nie dzwoni. Każde połączenie rzekomo pochodzące z bunq to oszustwo. Otwórz aplikację: jeśli coś wymaga Twojej uwagi, znajdziesz tam prawdziwy alert.

Oszuści polegają na pośpiechu. Safety Shield (Tarcza Bezpieczeństwa) została zaprojektowana, aby temu przeciwdziałać. Gdy płatność wygląda nietypowo, zostaje wstrzymana na 24 godziny przed jej realizacją. Blokady tej nie możesz ominąć ani Ty, ani bunq. Jest to celowe działanie. Jeśli przelew był legalny, zostanie zrealizowany po upływie 24 godzin. Jeśli nie, masz czas na reakcję.

Oszuści często proszą o zainstalowanie oprogramowania do zdalnego dostępu, takiego jak AnyDesk lub TeamViewer. Ich wersja brzmi: „zespół ds. oszustw” musi rzucić okiem na sprawę zdalnie. Gdy to oprogramowanie zostanie uruchomione, napastnik widzi i kontroluje wszystko na Twoim ekranie, w tym aplikację bankową. bunq wykrywa, kiedy aktywna jest jakakolwiek aplikacja do udostępniania ekranu i automatycznie ogranicza płatności wychodzące.

Będąc Twoim bankiem, bunq widzi wszystko to, czego oszust nigdy nie zobaczy: pełną historię Twojego konta, Twoje nawyki, w czasie rzeczywistym. Jeśli zauważymy coś nietypowego, podejmujemy działania, zanim w ogóle o to poprosisz.

Przeczytaj więcej o tym, jak bunq chroni Twoje pieniądze, w tym o ochronie depozytów i wykrywaniu oszustw. Kroki, które możesz podjąć samodzielnie, opisuje artykuł o bezpiecznej bankowości internetowej od strony praktycznej.

Jeśli podejrzewasz, że jesteś teraz celem ataku

Odłóż słuchawkę.

Zamknij wszelkie zainstalowane oprogramowanie do zdalnego dostępu (AnyDesk, TeamViewer lub podobne). Zresetuj swój kod bezpieczeństwa w aplikacji, aby zablokować oszustowi dostęp do Twojego konta. Następnie skontaktuj się ze wsparciem SOS bunq, dostępnym w aplikacji w mniej niż 20 sekund, i zgłoś oszustwo za pomocą Przewodnika Antyfraudowego.

Infolinia SOS bunq jest dostępna w mniej niż 20 sekund wewnątrz aplikacji. Przewodnik Antyfraudowy przeprowadzi Cię przez każdy krok.

Jeśli przelew został już zrealizowany, zgłoś to. bunq rozpatruje przypadki oszustw pod kątem zwrotu środków w ramach gestu dobrej woli.

Podsumowanie

Inżynieria społeczna działa najlepiej na ludzi, którzy nie wiedzą, czym ona jest. Teraz już wiesz.

Niezależnie od tego, czy jest to SMS, e-mail czy telefon, pośpiech jest sygnałem ostrzegawczym, a nie powodem do działania. Najpierw otwórz aplikację. Jeśli coś naprawdę jest nie tak, informacja tam będzie.