Spoofingiem w dziennikarzy i posłów

Spoofing to metoda wyłudzania danych wrażliwych lub pieniędzy. Polega na wykorzystaniu oprogramowania do zmiany numeru telefonicznego lub nazwy dzwoniącego połączenia, które widzi na wyświetlaczu swojego telefonu je odbierający. To coraz popularniejsze oszustwo polegające na podszywaniu się dzwoniącego pod inne numery, by móc następnie dzwonić z nich do ofiar i udawać inną osobę.

We wtorek opisaliśmy sprawę Grażyny Bukowskiej, byłej dziennikarki "Wiadomości" TVP, od której scamerzy chcieli wyłudzić internetowe hasło dostępu do jej konta w PKO BP. Przyznała, że początkowo dała wiarę oszustom, bo mężczyzna, który przedstawił się jako pracownik banku, zadzwonił z prawdziwego numeru, który jest przypisany do infolinii Banku PKO BP.

Ale nie chodzi jedynie o próby dostania się do kont. Szymon Jadczak, dziennikarz śledczy Wirtualnej Polski, opisał w tekście „Operacja kompromitacja. Kto próbuje ośmieszyć polskie służby?” kilka przykładów działań „podszywaczy” stosujących spoofing. W ten sposób groźby otrzymał Szymona Hołowni, było też fałszywe zgłoszenia alarmu bombowego z telefonu żony Krzysztofa Brejzy, czy także fałszywe zgłoszenie alarmu bombowego podczas sylwestra TVP.

Jadczak opisał, że także on sam był ofiarą spoofingu: „Parę dni temu na wyświetlaczu telefonu zobaczyłem, że dzwoni do mnie koleżanka, też dziennikarka. Po odebraniu połączenia usłyszałem jak syntezator mowy kobiecym głosem grozi, że "zaj… mnie jak kur…". Gdy skontaktowałem się z właścicielką numeru, okazało się, że ona odebrała połączenie z mojego numeru z podobnym zestawem gróźb”.

Na początku tygodnia o takiej metodzie oszustwa informowali na Twitterze poseł koła Polskie Sprawy Paweł Szramka i posłanka Lewicy Paulina Matysiak. "Kilka minut temu odebrałem telefon z groźbami oraz obelgami. Nieznajomy głos, dzwoniący z numeru @PolaMatysiak zadzwonił dwa razy. Koleżanka Posłanka nic o tym nie wiedziała. Po chwili z mojego numeru wykonany został podobny manewr w Jej stronę" - przekazał Szramka. Matysiak poinformowała, że sprawę zgłoszono na policję i odpowiednim służbom.

Posłom odpowiedział Janusz Cieszyński, który ocenił, że to prawdopodobnie kolejny przypadek spoofingu.

„Cyberprzestępcy próbują wykorzystać spoofing do podsycania politycznych sporów. Słuchajmy głosu ekspertów i nie dajmy się rozegrać - każda poszkodowana osoba może liczyć na profesjonalne wsparcie państwowych instytucji" - podkreślił minister we wpisie na Twitterze.

Cyberprzestępcy próbują wykorzystać spoofing do podsycania politycznych sporów. Słuchajmy głosu ekspertów i nie dajmy się rozegrać - każda poszkodowana osoba może liczyć na profesjonalne wsparcie państwowych instytucji.

— Janusz Cieszyński (@jciesz) January 17, 2022

Cieszyński na początku roku sam relacjonował, że ktoś podszył się pod jego numer i dzwonił na Komendę Stołeczną Policji. Zapowiedział też prezentację założeń przepisów, które mają działać jako anty-phishing i anty-spoofing.

Dziennikarz WP zapytał Janusza Cieszyńskiego, pełnomocnika rządu do spraw cyberbezpieczeństwa, czy państwo zajmuje się problemem.

- Tak, propozycje rozwiązań w tym zakresie przedstawimy po zakończeniu konsultacji wewnętrznych jeszcze w styczniu - zapewnił WP Cieszyński.

Podczas zorganizowanego w środę spotkania, Janusz Cieszyński poinformował dziennikarzy o przygotowaniach do prawnego i technologicznego zwalczania m.in. spoofingu oraz phishingu. "Pracujemy z rynkiem telekomunikacyjnym nad tym, aby wprowadzić rozwiązania, które pozwolą jednoznacznie zidentyfikować, że dane połączenie pochodzi z zaufanego źródła" - powiedział.

Cieszyński wyjaśniał, że walka ze spoofingiem w Polsce zmierza do tego, aby odbiorca został uprzedzony o ataku, czyli aby otrzymał informację, że połączenie (bądź SMS) pochodzi nie z tego numeru, który mu się wyświetla na telefonie. "Chcemy zaproponować proste oznaczenie, na przykład takie, w którym przychodzące połączenie byłoby poprzedzone gwiazdką, co pozwoliłoby jednoznacznie ustalić, że coś jest nie tak; ponieważ dodanie takiego dodatkowego znaku oznacza, że dane połączenie nie wyświetli nam się tak, jak mamy je zapisane w naszej książce telefonicznej (w telefonie)" - tłumaczył.

Czytaj także: Atak telefoniczny na córkę byłego szefa CBA: ofiary mogą liczyć na wsparcie państwa

Może to wymagać zmian w umowach

Portal Wirtualnemedia.pl zapytał, co o tych planach sądzą eksperci. - Niestety, odpowiednie oprogramowanie pozwala każdemu zmienić numer, z którego się dzwoni (tzw. CallerID) na dowolny, np. taki należący do posła. Osoba, do której wykonywane jest połączenie, samodzielnie nie jest w stanie rozpoznać czy numer został sfałszowany - mówi Piotr Konieczny portalowi Wirtualnemedia.pl, założyciel serwisu Niebezpiecznik.pl.

- To może wykryć i zablokować operator, ale nawet dla operatorów jest to trudne i kosztowne, dlatego tego nie robią. Czy rządowi uda się ich do tego zmusić? Czas pokaże. Technicznie może to wymagać zmian w wielu umowach zawartych przez operatorów, a to zawsze trwa. Dlatego warto zapamiętać, że numerowi, który pojawia się na naszym ekranie podczas rozmowy przychodzącej, nie można ufać i nigdy nie powinna to być jedyna metoda identyfikacji rozmówcy - zaznacza Piotr Konieczny.

- Na szczęście, coraz więcej osób komunikuje się między sobą korzystając z komunikatorów, gdzie problem spoofingu z racji innych mechanizmów uwierzytelniających rozmówców, nie występuje, a dodatkowo cała komunikacja jest - w przeciwieństwie do rozmowy telefonicznej - szyfrowana - podkreśla.

Zwraca uwagę, że ze spoofingu od ponad roku korzystają przestępcy, którzy podszywają się pod numery infolinii polskich banków i okradają Polaków. - Bardzo to smutne, że rząd zainteresował się tym tematem dopiero kiedy problem dotknął polityków - kończy Konieczny.

Z kolei Grzegorz Małecki, były szef Agencji Wywiadu, dziś ekspert Fundacja im. Kazimierza Pułaskiego, ma nadzieję, że po prezentacji założeń szybko wejdą one w życie. – Na razie słyszymy tylko słowa, do wdrożenia rozwiązań daleka droga - zaznacza w rozmowie z portalem Wirtualnemedia.pl Małecki.

Czytaj także: System Pegasus zaczął łowy od Bartłomieja Misiewicza

Podkreśla, że spoofing, czyli podszywanie się pod numery telefonów, jest metodą oszustwa, która może grozić utratą danych do rachunków bankowych czy poczty e-mail. - W przypadku posłów to nadużycie ewidentnie wskazujące na cele polityczne, to chęć wywołania jakiegoś zamieszania. Mam wrażenie, że to są działania wręcz nękające - mówi.

- Zjawisko spoofingu już od dłuższego czasu wzbudza społeczne oburzenie, jednak trzeba pamiętać, że rząd nie pierwszy raz mówi, że coś trzeba uregulować. Ale słów, nawet założeń, do czynów jest daleko. Tym bardziej, że same przepisy nie załatwią tej sprawy, trzeba jeszcze zadbać o stworzenie systemu, odpowiedniego środowiska. Nie jestem przekonany, że nasza władza ma serce do takich technologicznych spraw. Pokazuje to chociażby przykład podejścia do 5G. Także nie wydaje mi się, że teraz spoofing znajdzie się na szczycie listy jej priorytetów - uważa Małecki.

Policja ostrzega

Kilka miesięcy przed spoofingiem ostrzegało też biuro do walki z cyberprzestępczością Komendy Głównej Policji. Bo oszustwu metodą spoofingu coraz częściej było powodem strat oszczędności całego życia. Policjanci apelowali, aby weryfikować tożsamość dzwoniących do nas osób. Oszuści coraz umiejętniej manipulują rozmową tak, by uzyskać jak najwięcej informacji.

Policja zwracała uwagę, że technicznie spoofing jest dziś możliwy głównie dzięki nowym rozwiązaniom technologicznym. „Przy ich wykorzystaniu dzwoniący może w niemal dowolnej usłudze ręcznie wprowadzić numer, który ma się wyświetlić adresatowi połączenia jako numer dzwoniącego. Policjanci nie mają możliwości technicznego zablokowania spoofingu, gdyż telefon przestępcy nie jest podłączony do sieci komórkowej, lecz komputerów” – twierdzili policjanci.

W ten sposób coraz częściej oszuści podszywają się pod konsultantów banków, przedstawicieli urzędów czy nawet samych policjantów. Sprawcy wykorzystują różne triki socjotechniczne po to, by zmanipulować rozmówcę i uzyskać dostęp do jego smartfona lub komputera, a w konsekwencji do rachunku bankowego. Ofiara spoofingu, sugerując się numerem, który wyświetlił się na telefonie jest przekonana, że prowadzi rozmowę np. z infolinią banku. W większości rozmów pojawiają się jednak dwa elementy: presja czasu i poczucie zagrożenia. Według policji scenariusz ataków wykorzystujących spoofing telefoniczny jest zwykle taki sam, a przynajmniej zbliżony. Oszust stara się wystraszyć rozmówcę, by działał pod wpływem emocji, najczęściej informując go o rzekomym włamaniu na konto bankowe i konieczności podjęcia szybkich działań, by zablokować możliwości włamywaczy.

Na e-zagrożenia przygotowanych jest ok. 28 proc. osób powyżej 65 roku życia

Co można zrobić, gdy znajdziemy się w takiej sytuacji? Każdą telefoniczną prośbę o przesłanie pieniędzy lub podanie danych konta bankowego powinno się traktować jako próbę oszustwa. Najlepiej wówczas samodzielnie wpisać numer banku, zadzwonić, poinformować o otrzymanym połączeniu i zweryfikować przekazane informacje.

W tym tygodniu także PKO BP rozesłało do klientów wiadomości ostrzegając o oszustach. „Uważaj na internetowych oszustów, którzy w wiadomościach e-mail lub SMS mogą zachęcać Cię np. do: pobrania aplikacji IKO, pilnego zalogowania lub podania danych logowania, zrobienia nagłej dopłaty do przesyłki, której nie kojarzysz, podania kodu BLIK, zainstalowania dodatkowego oprogramowania typu TeamViewer lub QuickSupport” – napisano w mailu. Zastrzeżono, że tylko własna czujność może w pełni uchronić klienta przed utratą pieniędzy czy zawirusowaniem urządzenia.

W grudniu ub.r. 49-latka mieszkanka Koszalina została oszukana na prawie 60 tys. zł metodą na tzw. spoofing telefoniczny. Sprawcy wykorzystali m.in. numery telefonów banku i policji, aby przekonać ją do wypłaty środków z konta i ich wpłaty na rachunki przestępców.