Kupujesz na Allegro? Zwróć uwagę na "anulowane zamówienie"

CERT Orange Polska zwraca uwagę na trwającą kampanię phishingową realizowaną za pośrednictwem SMS-ów, w której na celowniku są osoby zamawiające produkty na Allegro. Krótka treść wiadomości sugeruje, że "twoje zamówienie zostało anulowane" i konieczne jest podjęcie działań, by otrzymać zwrot pieniędzy. Ma to umożliwiać link zawarty na końcu wiadomości.

Jest to oczywiście fałszywe łącze, które prowadzi na spreparowaną stronę internetową. W tym przypadku za pośrednictwem nieszyfrowanego połączenia, użytkownik trafia na stronę o adresie 24-7.online-web-verification[.]cfd, gdzie zobaczy witrynę wizualnie podobną do Allegro, ale oczywiście niemającą żadnego związku z autentycznym serwisem. W kolejnych krokach zobaczy różne formularze.

W ten sposób atakujący wyłudzają kolejno kompletne dane karty płatniczej (pod pretekstem zwrotu pieniędzy za rzekome zamówienie), a następnie kod weryfikacyjny z SMS-a - chodzi o zabezpieczenie 3D-Secure stosowane przez banki do zatwierdzania transakcji.

Oczywiście po podaniu wszystkich danych, których oczekują atakujący, żadnego zwrotu nie będzie, a przpeisanie 6-cyfrowego kodu zabezpieczającego przypieczętowało jakąś transakcję, którą na konto karty ofiary wykonali w tym momencie oszuści.

Jak zawsze w takich sytuacjach przypominamy, aby:

• nie wierzyć machinalnie we wszystkie komunikaty e-mail i SMS, zwłaszcza gdy zawierają informacje o konieczności podjęcia jakichś działań w związku z zamówieniami, paczkami czy nieopłaconymi rachunkami,
• nie klikać nieznanych linków, zwłaszcza skróconych i kodów QR (to de facto taki sam mechanizm przekierowania),
• samodzielnie weryfikować swoje zamówienia po zalogowaniu w oficjalnej aplikacji lub przez przeglądarkę, ale po świadomym wybraniu adresu strony serwisu (tutaj Allegro), a nie po skorzystaniu z linka z nieznanej wiadomości,
• uważać na inne formy ataku, na przykład przez WhatsAppa, gdzie ktoś może próbować wyłudzić opłatę za zamówienie lub dostawę, omijając oficjalną drogę sprzedaży,
• weryfikować odwiedzane strony, choćby poprzez rzut oka na adres WWW - najczęściej to pierwsza wskazówka, że coś jest nie tak.