Niebezpiecznik

Wyciek nawet pozornie niegroźnych danych może się skończyć stratą pieniędzy – piszemy o tym nie raz. Dowodem, że zagrożenie jest nie tylko teoretyczne, niech będzie oszustwo jakim padły osoby rezerwujące stolik w znanym luksusowym hotelu.

Wakacje nie mogą się obejść bez jakiejś historii hotelowej.

Jak donosi BBC londyński hotel Ritz najwyraźniej miał wyciek z systemu rezerwacyjnego. Piszemy “najwyraźniej” ponieważ nie wiadomo jak i kiedy Wyciek mógł nastąpić, natomiast z całą pewnością klienci Ritza padli ofiarą oszustwa, które takiego wycieku jest następstwem. BBC opisuje oszustwo jako “ekstremalnie przekonujące”. O co chodziło?

Fot Jim Lacy (lic. CC BY 2.0)

Dzwonię w sprawie rezerwacji…

Nieznani sprawcy w jakiś sposób zdobyli dane osób rezerwujących stoliki na kolację w Ritzu. Dzień przed kolacją dzwonili do ofiary podając się za personel hotelu. Informowali, że trzeba potwierdzić dane dotyczące karty płatniczej. Ofiary podawały dane kart, ale na tym się nie kończyło.

Jak zwykle oszuści przyjęli strategię “dojenia jelenia do końca”. Jeśli ofiara podała dane karty, oszust informował o odrzuceniu płatności i prosił o podanie danych innej karty jeśli to możliwe.

Mając dane kart oszuści próbowali zamówić kilka rzeczy w sklepie Argos. BBC pisze, że “bank zauważył podejrzane transakcje” i je zablokował, ale czy naprawdę tak było? O tym za chwilę, bo to jeszcze nie koniec oszustwa.

Oszuści ostrzegli przed oszustwem

Oszuści dzwonili do ofiar ponownie, ale podając się za personel banku. Informowali, że wykryte zostały podejrzane transakcje, które – na szczęście – zostały zablokowane. Następnie prosili o podanie kodu bezpieczeństwa wysłanego na telefon. Ofiara podawała kod umożliwiając oszustom autoryzowanie dokonanych wcześniej transakcji.

Tak opisany scenariusz oszustwa sugeruje, że nie tyle “bank wykrywał podejrzane transakcje” co raczej domagał się potwierdzenia transakcji kartowych kodem jednorazowym (dziś już nie jest to rzadkość). Oszuści jak widać znaleźli sposób na wyłudzenie tych kodów.

Wśród ofiar były zarówno osoby dokonujące rezerwacji online jak i takie, które dokonały jej telefonicznie. To sugeruje, że wyciek istotnie musiał nastąpić z jakiegoś systemu hotelowego. Sprawa została zgłoszona do ICO, czyli do brytyjskiego odpowiednika UODO. Śledztwo trwa. Nie wiadomo ile mogło być ofiar. W e-mailu do klientów dotkniętych problemem hotel ostrzegł, że nigdy nie dzwoni do klientów w sprawie dokonanych rezerwacji.

Czy to było “ekstremalnie przekonujące”?

Wiemy, że wielu naszych Czytelników słyszało o podobnych numerach, a część z was już teraz z miną eksperta orzekła, że “tylko idioci dali się nabrać”. My natomiast powiemy, że to oszustwo owszem, było proste i w pewien sposób przewidywalne. Niemniej było też przekonujące. Podsumujmy.

1. Oszuści znali szczegóły rezerwacji dokonanej w luksusowym 5-gwiazdkowym hotelu. Aura luksusu i wysokiej ceny zawsze sugeruje większą dbałość o szczegóły takie jak prywatność i ochrona danych. Kto by się spodziewał plebejskiego oszustwa w Ritzu?
   Oszuści wiedzieli kto dokonał rezerwacji, mieli numer ofiary, wiedzieli na kiedy i na co była dokonana rezerwacja. Wiedzieli też, że ofiara ma pieniądze skoro rezerwowała coś w Ritzu.
2.  Oszuści fałszowali numer połączenia przychodzącego (wykorzystywali tzw. spoofing caller ID). Innymi słowy ofiary odbierające połączenia widzieli, że przychodzą one z numeru hotelu lub banku. Wciąż wiele osób nie ma świadomości, że numer połączenia przychodzącego da się podrobić i w dodatku jest to proste.
3. “Dojenie jelenia do końca” tylko zwiększało wiarygodność ataku. To pozwala na utrzymanie ofiary w stanie ciągłego pobudzenia emocjonalnego. Problemy z pierwszą płatnością wprowadzały ofiarę w stan zdenerwowania (“ojej, problem z kartą, muszę to załatwić”). Późniejsze podszycie się pod bank tylko podnosiło poziom zamieszania i sprawiało, że ofiara zaczynała się zachowywać jeszcze bardziej nieostrożnie (por. Wyłudzał dane i “potęgował psychozę”. Co się stało z phisherem, przed którym ostrzegaliśmy).
4. Oszuści prawdopodobnie musieli wyłudzić kod CVC/CVV. Części z was wyda się, że podawanie tego kodu przez telefon jest głupotą. Prawda jest jednak taka, że kod CVV/CVC służy autoryzowaniu transakcji bez obecności karty co dotyczy transakcji online oraz… transakcji telefonicznych. W krajach, w których płacenie kartami jest bardziej popularne i mocniej zakorzenione w rynku podanie przez telefon kodu z rewersu karty nie jest rzeczą niespotykaną.
   Przy okazji przypominamy, że praktyką absolutnie niedopuszczalną jest spisywanie kodu CVC/CVV na kartach.

Pod pewnymi względami oszustwo w Ritzu przypomina opisywany niegdyś u nas scam związany z wyciekiem danych o rezerwacjach na wycieczki. Jednak pod jednym względem to oszustwo było bardziej przekonujące. Zostało dokonane przez telefon, a ta droga kontaktu zwiększa nacisk na natychmiastowe działanie ofiary.

Co robić? Jak żyć?

Przede wszystkim pamiętajmy, że nasze dane wyciekają. Nie tak dawno informowaliśmy o incydencie ochrony danych w znanej wypożyczalni aut.  Nawiasem mówiąc wiemy, że wypożyczalnia bardzo uważnie przygląda się sytuacji i poinformowała swoich klientów o możliwym wycieku. To bardzo ważne i godne pochwały.

Bądźmy wyczuleni na wszelkie niespodziewane telefony, w których rozmówca żąda podania danych osobowych albo nawet fragmentów tych danych. W takim wypadku dobrym pomysłem będzie powiedzenie konsultantowi, że sami oddzwonicie do firmy by wyjaśnić sprawę. Uwaga. Oszust w tej sytuacji się nie podda i prawdopodobnie będzie straszył poważnymi konsekwencjami braku współpracy. Miejcie to gdzieś.

Przed podawaniem fragmentów danych ostrzegamy, bo niektórzy oszuści potrafią zbierać dane “na raty” np. prosić tylko o 4 ostatnie cyfry PESEL-u, by po pewnym czasie zadzwonić i poprosić o inne cyfry.

Właściwie trudno nam wyobrazić sobie sytuację, w której warunkiem załatwienia jakiejś sprawy telefonicznie jest podanie danych natychmiast i w rozmowie, która nie została przez nas zamówiona. No chyba, że będzie to rozmowa o charakterze marketingowym, w której ktoś proponuje nam zmianę lub zawarcie nowej umowy. W takich sytuacjach również radzimy grzecznie odmawiać i ewentualnie prosić o telefon w innym terminie, dając sobie czas na sprawdzenie marketera i jednocześnie przemyślenie propozycji.

Wiemy, że niektórzy prawdziwi przedstawiciele banków potrafią dzwonić i z miejsca pytać o dane osobowe. Ubolewamy nad tym, że takie praktyki się zdarzają.

Aktualizacja

Już po publikacji tego tekstu napisał do nas Czytelnik, który mieszka na stałe w UK i potwierdza to o czym pisaliśmy – podawanie w tym kraju danych karty przez telefon (z kodem CVV włącznie) nie jest niczym nadzwyczajnym. Co gorsza – trudno tego uniknąć.

Witam

Krótki komentarz do Waszego artykułu o Ritz. Mieszkam w UK od jakiegoś czasu i wiem jak tu się to dzieje. Podawanie numerów kart przez telefon wraz z numerami CVV to tu całkiem normalne zachowanie sklepów, urzędów itd. Niestety BARDZO wielu obywateli UK nie ma wiedzy o tym co się dzieje i jak trzeba zachowywać się w podobnych sytuacjach. Co ciekawe nie ma w wielu przypadkach możliwości zrezygnowania z takich firm, bo trzeba by w ogóle rezygnować z wielu usług (leczenie, opłaty parkingowe itd), szczególnie w chwili obecnej w trakcie COVID. Mało tego czytając Wasz artykuł powiem że PRAWDOPODOBNIE sam bym się mógł “naciąć” na fragment z hotelem (dzwonienie “z banku” już by u mnie nie przeszło).

Mam z kobietą po kilka kart bankomatowych polskich oraz angielskich. I oboje byliśmy ofiarami kradzieży numerów kart angielskich (jak się domyślamy numery “wypłynęły” poprzez jakieś strony www), a więc wyobrażam sobie jaka jest skala kradzieży. Jeden jedyny plus, że w UK nikt z banku nie dyskutuje z nami o tym czy nam oddać pieniądze, lub czy nie i nie jest uzależniane oddanie od tego w jaki sposób te pieniądze zostały ukradzione, po prostu oddają. Jedyne pytanie jakie dostałem ze swojego banku podczas zgłaszania takiej kradzieży, to było czy mam program antywirusowy oraz czy dawałem numer karty znajomym.

W Polsce po kradzieży pieniądze też powinny być oddane, tak wyraźnie stanowi prawo, ale w praktyce jest inaczej (zob. Ukradli mi pieniądze z konta i co dalej? Prawo swoje a banki swoje)