S-au înmulțit țepele telefonice. Metoda 'vishing' s-a perfecționat

Poliţia Română a anunţat duminică amplificarea în ultima perioadă a tentativelor de înșelătorie prin telefon, metodă cunoscută sub denumirea de "vishing" (voice phishing), tehnicile fiind din ce în ce mai sofisticate, conform Agerpres.

Acest mod de operare este utilizat tot mai frecvent de infractorii specializaţi în manipularea psihologică pentru a obţine acces la conturile bancare ale victimelor.

Spre deosebire de atacurile informatice clasice, fraudele de tip "vishing" au la bază ingineria socială. Autorii urmăresc manipularea comportamentului uman şi determină victima să furnizeze, de bunăvoie, informaţii confidenţiale sau să autorizeze operaţiuni care permit compromiterea securităţii conturilor financiare.

Din acest motiv, factorul uman reprezintă una dintre principalele ţinte ale infractorilor, iar succesul acestor fraude este determinat în primul rând de capacitatea infractorilor de a crea aparenţa unei situaţii reale şi urgente.

Cum funcționează schema

În majoritatea situaţiilor identificate, persoanele vătămate sunt contactate telefonic de indivizi care pretind că sunt angajaţi ai unei instituţii financiare, instituţii bancare, departament de securitate, companii de procesare a plăţilor sau chiar ai unor autorităţi publice.

De regulă, convorbirile sunt purtate într-o manieră profesionistă, într-o limbă de circulaţie internaţională, cel mai frecvent în limba engleză, însă există şi situaţii în care acestea sunt desfăşurate în limba română.

Autorii utilizează un limbaj specific domeniului financiar, cunosc terminologia bancară şi urmăresc să creeze impresia că desfăşoară o verificare de rutină sau gestionează un incident de securitate.

Pretextele la care apelează infractorii

Pentru a conferi credibilitate apelului, infractorii afirmă că au identificat tranzacţii suspecte, tentative de autentificare din alte state, modificări neautorizate ale datelor contului, încercări de asociere a unui nou dispozitiv ori presupuse atacuri cibernetice asupra contului victimei.

În alte situaţii, aceştia susţin că instituţia financiară a blocat temporar anumite operaţiuni şi că este necesară confirmarea identităţii titularului pentru evitarea pierderii fondurilor.

Poliţiştii spun că toate aceste scenarii sunt construite astfel încât să inducă panică şi să determine victima să reacţioneze instinctiv, fără a verifica autenticitatea informaţiilor primite.

Identitatea apelantului este mascată

Analiza modului de operare evidenţiază faptul că autorii folosesc frecvent tehnologia de falsificare a identităţii apelantului (Caller ID Spoofing), prin intermediul căreia numărul afişat pe telefonul victimei poate părea unul legitim sau chiar unul asociat unei instituţii financiare.

În numeroase situaţii sunt utilizate numere de telefon din România sau din alte state membre ale Uniunii Europene, aspect care reduce gradul de suspiciune al persoanei contactate. În realitate, identitatea apelantului este mascată, iar convorbirile pot fi iniţiate din orice colţ al lumii prin intermediul unor servicii de telefonie prin internet (VoIP) sau al unor platforme specializate utilizate în scop infracţional.

Infractorii acționează în echipe

"Avertizăm faptul că falsificarea identităţii apelantului a devenit unul dintre principalele instrumente utilizate de grupările infracţionale pentru desfăşurarea fraudelor bazate pe inginerie socială, fiind responsabilă anual de pierderi financiare semnificative la nivel internaţional. În numeroase cazuri, autorii nu acţionează individual, ci în echipe, fiecare participant având un rol bine definit. Unul dintre aceştia induce starea de panică, insistând asupra gravităţii situaţiei şi a riscului iminent de pierdere a banilor, în timp ce un alt membru al grupării adoptă o atitudine calmă şi se prezintă drept specialist în securitate sau consultant care poate 'rezolva problema'. Această alternanţă între presiune şi aparentă asistenţă urmăreşte diminuarea capacităţii victimei de a analiza critic informaţiile şi creşterea nivelului de încredere acordat interlocutorilor", explică poliţiştii.

Nu instalați aplicații pe telefon

Scopul final al acestor demersuri îl reprezintă obţinerea unor elemente de securitate care permit accesarea conturilor financiare ale victimei.

În funcţie de scenariul utilizat, infractorii pot solicita comunicarea codurilor unice de autentificare primite prin SMS (OTP), a codurilor generate de aplicaţiile de autentificare, a parolelor de acces, a codurilor PIN, a datelor cardurilor bancare, inclusiv a codului CVV/CVC, ori pot solicita aprobarea unor notificări primite în aplicaţiile bancare.

În alte situaţii, aceştia conving victima să instaleze aplicaţii de acces la distanţă pe telefonul mobil sau pe calculator, obţinând astfel posibilitatea de a controla dispozitivul şi de a efectua operaţiuni financiare în numele acesteia.

Metodele s-au sofisticat

În ultimul timp se observă şi utilizarea unor metode din ce în ce mai sofisticate de legitimare a apelului. Unele victime primesc anterior un mesaj text care pare transmis de instituţia financiară, fiind informate că vor fi contactate de un reprezentant al serviciului de securitate.

În alte situaţii, infractorii cunosc deja anumite date personale ale persoanei vizate, precum numele, adresa de e-mail, numărul de telefon sau informaţii obţinute în urma unor breşe de securitate ori din surse publice. Comunicarea acestor date în timpul apelului urmăreşte consolidarea aparenţei de legitimitate şi determinarea victimei să creadă că discută cu un reprezentant autentic al instituţiei financiare.

"Astfel, atragem atenţia că nicio instituţie financiară legitimă nu solicită telefonic parole, coduri OTP, coduri PIN, date complete ale cardului bancar sau aprobarea unor tranzacţii pentru 'protejarea' contului. De asemenea, reprezentanţii legitimi ai instituţiilor financiare nu solicită instalarea unor aplicaţii de control la distanţă şi nu cer clienţilor să transfere fondurile în aşa-zise 'conturi sigure', acestea reprezentând indicii clare ale unei tentative de fraudă", informează Poliţia.

Recomandări de urmat

În context, poliţiştii oferă o serie de recomandări oamenilor, pentru a nu cădea victime infractorilor informatici:

* nu comunicaţi niciodată prin telefon parole, coduri PIN, coduri OTP, coduri primite prin SMS sau alte date de autentificare;

* nu transmiteţi datele complete ale cardului bancar şi codul CVV/CVC;

* nu aprobaţi tranzacţii sau notificări în aplicaţia bancară dacă nu le-aţi iniţiat personal;

* nu instalaţi aplicaţii de control la distanţă la solicitarea unei persoane care vă contactează telefonic;

* întrerupeţi apelul dacă interlocutorul exercită presiuni, solicită acţiuni urgente sau încearcă să vă împiedice să verificaţi informaţiile;

* verificaţi întotdeauna autenticitatea solicitării contactând instituţia financiară prin canalele oficiale de comunicare;

* activaţi notificările pentru tranzacţii şi mecanismele suplimentare de securitate disponibile în aplicaţiile financiare;

* informaţi membrii familiei, în special persoanele vârstnice, cu privire la aceste metode de fraudă.