Dzwoni "telefon z banku". Słyszysz te słowa w słuchawce? Od razu się rozłącz

Czy uwierzytelnianie dwuskładnikowe chroni nas przed wszystkimi zagrożeniami? Oczywiście, że nie. Szczególnie, jeżeli kod potwierdzający przesyłany jest na numer telefonu, który możemy znaleźć w sieci. Tuż obok innych wykradzionych danych.

Już od kilku miesięcy Polaków dotyka plaga oszustw telefonicznych. Przestępcy podszywają się pod pracowników banków i manipulują swoimi ofiarami, aby uzyskać dostęp do ich majątków. Ten rodzaj oszustwa był już wielokrotnie przez nas opisywany, ale przestępcy tworzą coraz to nowsze scenariusze.

Początkowo oszuści zwyczajnie podawali się za pracowników banku i informowali ofiary o rzekomym ataku hakerskim na ich konta bankowe. W ten sposób próbowali wkupić się w łaski nieświadomych ich prawdziwych zamiarów ludzi. Rozmówcy twierdzili, że potrzebują, aby ofiara zainstalowała na swoim komputerze specjalny program, który umożliwi ekspertom sprawdzenie, czy komputer został zhakowany lub doszło do przejęcia konta bankowego.

W rzeczywistości instalowany przez ofiary program służył właśnie do tego, przed czym oszuści rzekomo przestrzegali. Zanim ktokolwiek zdążył się zorientować, konto zostało wyczyszczone z pieniędzy. Innym wariantem oszustwa była zwyczajna próba wyłudzenia danych logowania, co mogło skończyć się w analogiczny sposób.

I teraz oszuści częściej korzystają z tej równie sprytnej metody. Jak zauważa zespół CERT Orange Polska, nawet zabezpieczenia dwuskładnikowe w postaci SMS-ów nie stanowią problemu dla "oszustów na pracownika banku". Dlaczego? Bowiem w wielu wyciekach danych do sieci trafiły informacje o Polakach. Przykładowo: oszuści mogą znać twój numer telefonu, adres e-mail, imię i nazwisko, a niekiedy może nawet adres zamieszkania.

Tyle im wystarczy, aby przekonać niejedną ofiarę, że dzwonią do nas z banku. Bo przecież skąd mieliby nasze dane? Co więcej, niekiedy mogą znać nawet nasze hasło. Niestety, ale część osób korzysta z takich samych haseł w przypadku logowania do banku jak i... Facebooka czy innych serwisów. Tłumaczą takie decyzje tym, że trudno im zapamiętać różne kombinacje.

Efekt jest taki: przestępca natrafi na taką ofiarę i może wmówić jej wszystko. Jak kawa na ławę wykłada jej hasło do konta, co sprawia, że człowiek zwyczajnie traci koncentrację. Przekazuje więc oszustowi kod SMS, o który ten poprosił. Ale to jeszcze nie wszystko.

Wyłudzenie kodu uwierzytelniającego może być paradoksalnie jeszcze łatwiejsze. Jeśli przestępcy znajdą dane logowania do przykładowo, serwisu PayPal, mogą jeszcze bardziej zmanipulować ofiarę. Jak zauważa CERT Orange Polska: "rozmówca, używając bardzo poważnie brzmiących słów mówi o nieautoryzowanej transakcji, czy próbie włamania na konto. Wy nawet przez chwilę pomyśleliście, że to może być oszustwo, ale przecież nikt Was nie prosi o login, czy hasło! Mówi tylko: dla zapewnienia bezpieczeństwa proszę o wpisanie sześciocyfrowego kodu z SMS/Twojej aplikacji mobilnej".

Wniosek? Jeśli ktokolwiek pyta cię o kod SMS potwierdzający jakąkolwiek operację, to zwyczajnie się rozłącz. Pracownicy banków i innych instytucji nigdy o taką informację nie poproszą. Niemniej, z uwierzytelniania dwuskładnikowego nadal warto korzystać. Może to was ochronić np. przed kradzieżą konta na Facebooku.