Kuszą atrakcyjnymi zarobkami. Nowe oszustwo "na Booking"

Autorzy nowego oszustwa SMS-owego, które wykorzystuje bezprawnie znane marki z branży turystycznej, takie jak m.in. Booking, Hilton, Four Seasons, Accor czy Marriott, próbują przyciągnąć użytkowników telefonów obietnicami takimi jak "Praca przez 30-50 minut dziennie", "Rekrutacja pracowników zdalnych do hoteli na całym świecie", "proste zadania", "relaks i szczęście", "dziennie 400-2500 zł". Eksperci ds. cyberbezpieczeństwa z firmy ESET prześledzili i zdemaskowali mechanizm tego oszustwa.

W treści oszukańczego SMS-a można przeczytać: "Nasza firma rekrutuje pracowników zdalnych do hoteli na całym świecie, dzięki czemu możesz elastycznie planować swoją pracę i zajmujesz tylko 30-50 minut dziennie. Treść pracy obejmuje głównie proste zadania związane z rezerwacją, zwiększanie przepływu klientów oraz bycie zrelaksowanym i szczęśliwym". To jest początek nowej odsłony oszustwa, które kusi prostą, nieskomplikowaną pracą i wysokimi zarobkami.

Cyberprzestępcy podszywają się pod markę Booking i bezprawnie wykorzystują marki oraz identyfikację graficzną znanych, światowych sieci hotelowych, takich jak Hilton, Four Seasons, Accor czy Marriott. Chociaż intryga jest nowa pod względem treści, jej mechanizm jest dobrze znany ekspertom ds. cyberbezpieczeństwa. Chodzi o phishing SMS (smishing), który polega na fałszywej rekrutacji, a jego głównym celem jest wyłudzenie środków finansowych.

Dalsza część artykułu pod materiałem wideo

Oszustwo polega na wysyłaniu SMS-ów z zachętą do kontaktu za pośrednictwem aplikacji WhatsApp. Po drugiej stronie znajdują się fałszywi rekruterzy, najprawdopodobniej boty, zaprogramowane tak, aby kontynuować rozmowę. Rzekoma praca wydaje się bardzo mało wymagająca i ma prawdopodobnie polegać na rezerwowaniu noclegów.

Bot, z którym rozmawiamy, zapewnia, że "jedynym wymaganiem, aby wykonywać tę pracę, jest posiadanie telefonu komórkowego lub komputera z dostępem do Internetu". Zainteresowany użytkownik zostaje przekierowany na stronę, na której miałby wykonywać swoje zadania. Tam znajdują się m.in. logotypy największych światowych sieci hotelowych, które mają wzbudzić jego zaufanie. Szybko okazuje się jednak, że warunkiem otrzymania wynagrodzenia w nowej "pracy" jest uiszczenie przez nowego "pracownika" opłaty.

– Oszustwo sprowadza się do wyłudzenia od ofiary płatności w kryptowalucie USDT (Tether). Po dłuższej konwersacji z botem pojawia się prośba o przelanie 40 USDT, co daje równowartość około 160 zł. Te pieniądze zostałyby bezpowrotnie stracone, a na dalszych etapach oszustwa prawdopodobnie pojawiłyby się żądania większych kwot, które należałoby przelać, aby móc rzekomo zarobić jeszcze więcej. Intryga jest od początku podejrzana i szyta grubymi nićmi.

Podejrzenia powinny wzbudzać wszelkie tego typu nierealne obietnice. Dodatkowo komunikaty bota zawierają błędy językowe. Z kolei fałszywa platforma zbudowana przez cyberprzestępców nie wygląda zbyt wiarygodnie, ale wykorzystuje identyfikację graficzną znanych marek hotelowych. Przed oszustwami chroni też aktualny pakiet antywirusowy ESET, który szybko zidentyfikował i zablokował stronę wykorzystywaną przez oszustów jako phishing – komentuje Kamil Sadkowski, analityk laboratorium antywirusowego ESET.

• Uważaj na wyjątkowo atrakcyjne oferty, np. pracy niewymagającej żadnego wysiłku. Jeśli coś jest zbyt piękne, żeby mogło być prawdziwe – najpewniej jest kłamstwem.
• Zwróć uwagę na niedopracowane szczegóły. Podejrzliwość powinny wzbudzić: błędy językowe na stronie internetowej i w komunikacji, niedopracowane elementy na stronach internetowych, grafiki o podejrzanie niskiej rozdzielczości itp.
• Pamiętaj, że jeśli "rekruterzy" posługują się znaną marką potencjalnego pracodawcy, możesz zweryfikować autentyczność takiej oferty, kontaktując się z nim przy użyciu danych dostępnych na oficjalnej stronie internetowej firmy.
• Uważaj na wszelkie prośby, wykraczające ponad standardową rekrutację. Nikt nie powinien prosić w ramach rekrutacji o dokumenty inne niż CV czy list motywacyjny, a już szczególnie np. o skan dowodu osobistego, dane do logowania do bankowości elektronicznej czy jakikolwiek przelew, np. opłatę za szkolenie wdrażające, "pakiet startowy" czy wpłatę "w celu weryfikacji danych osobowych".
• Pamiętaj o korzystaniu z aktualnego oprogramowania antywirusowego. Pomoże uchronić cię przed złośliwymi plikami oraz stronami phishingowymi.