Комплети за „пецање као услуга“ повећавају број крађа: прича једног власника предузећа

Банке су потрошиле огромне суме на сајбер безбедност и откривање превара, али шта се дешава када је криминална тактика довољно софистицирана да чак и превари запослене у банци? 

За Цоди Мулленаук-а, то је значило да је више од 120,000 долара пребачено са његовог Чејс текућег рачуна са мало наде да ће икада надокнадити своја украдена средства.

Сага о Мулленауку, 40-годишњем власнику малог предузећа из Калифорније, почела је 19. децембра. Док је куповао своју ћерку за Божић, примио је позив од особе која је тврдила да је из одељења за преваре Цхасе и тражила да потврди сумњива трансакција.

Број од 800 одговара корисничкој служби Цхасе-а, тако да Мулленаук није мислио да је сумњиво када га је особа замолила да се пријави на свој налог преко заштићене везе послате текстуалном поруком у сврху идентификације. Веза је изгледала легитимно, а веб локација која се отворила била је идентична његовој апликацији за банкарство Цхасе, па се пријавио. 

„Никад ми није пало на памет да не разговарам са легитимним представником Чејса“, рекао је Муленаук за ЦНБЦ.

Прошли су дани када је једина ствар на коју је потрошач морао да буде опрезан била сумњива е-порука или линк. Тактике сајбер-криминалаца су се претвориле у вишеструке шеме, са више криминалаца који делују као тим да би применили софистициране тактике које укључују готов софтвер који се продаје у комплетима који маскирају бројеве телефона и опонашају странице за пријаву у банку жртве. То је свеприсутна претња за коју стручњаци за сајбер безбедност кажу да изазива пораст активности. Предвиђају да ће бити само горе. Нажалост, за жртву ових шема, банка није увек обавезна да врати украдена средства.

Након што је пријављен, Мулленаук је рекао да је видео велике количине новца како се крећу између његових рачуна. Особа на телефону му је рекла да је неко на његовом рачуну и активно покушава да украде његов новац и да је једини начин да га сачува било да пошаље новац супервизору банке, где ће он бити привремено задржан док обезбеде његов рачун.

Уплашен да ће његова тешко зарађена уштеђевина бити украдена, Мулленаук је рекао да је остао на телефону скоро три сата, поштовао сва упутства која су му дали и одговорио на додатна безбедносна питања која су му постављена. 

ЦНБЦ је прегледао Мулленаукову мобилну евиденцију, информације о банковном рачуну, као и слике текстуалне поруке и линка који су му послали.

Оно што Мулленаук, који је проналазач и оснивач Акуапхант, технолошке компаније која претвара влагу из ваздуха у филтрирану воду, није знао јесте да је особа на телефону била део софистицираног тима сајбер криминалаца.

Док је Мулленаук разговарао са овим представником одељења за лажне преваре, други преварант се представљао као Мулленаук у другом телефонском разговору са Цхасеом да би одобрио банковне трансфере. Сви одговори на безбедносна питања која су Мулленаук-у поставили су затим предати другом преваранту. Ово је омогућило преварантима да дају тачне одговоре и убеде запосленог у Чејсу да разговарају са власником рачуна.

Превара је успела. Када се запослени у Цхасе-у уверио да је Мулленаук тај који је позвао да одобри три банковна трансфера, преко 120,000 долара је нестало са његовог банковног рачуна и упркос свим његовим напорима ништа од тога није наплаћено. 

У изјави за ЦНБЦ, а потера Портпарол је рекао: „Банке никада неће тражити од потрошача или предузећа да шаљу новац себи или било коме другом како би спречили превару, али преваранти хоће. Да бисте потврдили да заиста разговарате са Чејсом, позовите број на полеђини картице или посетите филијалу.

Мулленаук је рекао да се осећа фрустрирано и поражено због свог искуства у покушају да поврати своја украдена средства.

„Без обзира шта раде да би заштитили купце, преваранти су увек корак испред“, рекао је Мулленаук, додајући да би његов новац био сигурнији у кутији за ципеле него у великој банци на коју циљају сајбер криминалци.

Федерална трговинска комисија саветује да сваки клијент који мисли да је можда послао новац преварантима путем банковног трансфера треба одмах да контактира своју банку, пријави лажни трансфер и затражи да се поништи.

Време је кључно када покушавате да повратите средства послата лажним банковним трансфером, рекао је ФТЦ за ЦНБЦ. Агенција је саопштила да жртве такође треба да пријаве злочин агенцији, као и ФБИ-јевом центру за жалбе на интернет криминал, истог или следећег дана, ако је могуће. 

Мулленаук је рекао да је схватио да нешто није у реду следећег јутра када његова средства нису враћена на његов рачун.

Одмах се одвезао до своје локалне филијале банке Чејс где му је речено да је вероватно био жртва преваре. Мулленаук је рекао да се овим питањем није позабавило са било каквим осећајем хитности, а покушај обрнутих банковних трансфера, за који ФТЦ сугерише да клијенти траже, није понуђен као опција.

Уместо тога, Мулленаук је рекао да му је запосленик филијале рекао да ће примити пакет поштом у року од 10 дана који може да попуни како би поднео захтев. Мулленаук је одмах затражио пакет. Попунио га је и предао истог дана.

Та тврдња, заједно са другом коју је Мулленаук поднео извршној власти, одбијена је. Запослени који истражују случај рекли су да је Мулленаук позвао да одобри банковне трансфере.

ЦНБЦ је Чејсу доставио Мулленаукове записе мобилног телефона који показују да никада није упутио никакве одлазне телефонске позиве Чејсу тог дана. Записи такође сугеришу, када се упореде са евиденцијом електронских трансфера, да Мулленаук није могао бити тај који је позвао Чејса да одобри банковне трансфере јер су сва тројица била овлашћена и прошла док је Мулленаук још увек био на телефону са преварантима.

Међутим, то није променило одлуку банке и, опет, Мулленауков захтев је одбијен пошто је своје приватне податке поделио са криминалцима.

Без обзира да ли су преваранти схватили да то раде или не, они су успешно искористили две рупе у закону о заштити потрошача које су резултирале тиме да Цхасе није био у обавези да замени Мулленаукова украдена средства. Законски, банке не морају да надокнаде украдена средства када је клијент преварен да пошаље новац сајбер криминалцу.

Међутим, према Закону о електронском трансферу средстава, који покрива већину врста електронских трансакција као што су пеер-то-пеер плаћања и онлајн плаћања или трансфери, банке су дужне да отплате клијентима када су средства украдена, а да клијент то није овластио. Нажалост, електронски трансфери, који укључују трансфер новца из једне банке у другу, нису обухваћени овим законом, који такође искључује превару која укључује папирне чекове и припејд картице.

Сајбер-криминалци су такође пребацили средства са Мулленаук-ових личних текућих и штедних рачуна на његов пословни рачун пре него што су покренули банковне трансфере. Уредба Е, која је дизајнирана да помогне потрошачима да поврате свој новац од неовлашћене трансакције, штити само појединце, а не пословне рачуне.

Представник Чејса рекао је да је истрага у току док банка покушава да поврати украдена средства.

То је нешто за шта Мулленаук каже да се моли. „Молим се да се ова трагедија некако помири, да менаџмент [банке] види шта ми се десило и да ми новац буде враћен.

Мулленаук је такође поднео извештаје локалној полицији и ФБИ-јевом Центру за жалбе против интернет криминала, али га ниједан од њих није контактирао у вези са његовим случајем.

Нису само клијенти Цхасе-а на мети сајбер-криминалаца са овим софистицираним шемама. Прошлог лета, ИронНет је открио платформа „пхисхинг-ас-а-сервице”. која продаје готове комплете за крађу идентитета сајбер криминалцима који циљају компаније са седиштем у САД, укључујући банке. Прилагодљиви комплети могу коштати само 50 долара месечно и укључују код, графику и конфигурационе датотеке да личе на странице за пријаву у банку.

Јоеи Фитзпатрицк, менаџер за анализу претњи у ИронНет-у, рекао је да, иако не може са сигурношћу рећи да је Мулленаук преварен на овај начин, „напад на њега носи сва обележја нападача који користе исту врсту мултимодалних алата као и пхисхинг -а-услужне платформе пружају."

Он очекује да ће понуде типа „као услуга“ само наставити да добијају на снази јер комплети не само да снижавају летвицу за сајбер криминалце нижег и средњег нивоа да креирају пхисхинг кампање, већ и омогућавају криминалцима вишег нивоа да се фокусирају на једној области и развијају софистицираније тактике и малвер.

„Само у јануару 10. видели смо повећање од 2023% у примени комплета за крађу идентитета“, рекао је Фицпатрик.

Компанија је у 2022. години забележила пораст од 45% у упозорењима и откривањима о крађи идентитета.

Али нису само пхисхинг шеме у порасту, то су све сајбер напади. Подаци из Чек Поинта показали су да је у 2022. години забележен пораст недељних сајбер напада на финансијски/банкарски сектор од 52 одсто у поређењу са нападима 2021.

„Софистицираност сајбер напада и шема преваре значајно је порасла током прошле године“, рекао је Сергеј Шикевич, менаџер групе претњи у Цхецк Поинту. „Сада, у многим случајевима сајбер криминалци се не ослањају само на слање пхисхинг/злонамерних е-порука и чекање да људи кликну на њих, већ комбинују то са телефонским позивима, МФА [вишефакторском аутентификацијом] нападима од умора и још много тога.“

Оба стручњака за сајбер безбедност кажу да банке могу учинити више на едукацији клијената. 

Шикевич је рекао да би банке требало да инвестирају у боље обавештајне податке о претњама које могу да открију и блокирају методе које користе сајбер криминалци. Пример који је дао је упоређивање пријаве са дигиталним „отиском прста“ особе, који се заснива на подацима као што су претраживач који налог користи, резолуција екрана или језик тастатуре.

Постојала је једна ствар око које су се Чејс, савезне агенције и стручњаци за сајбер безбедност сложили: ако клијент прими телефонски позив из своје банке и особа почне да тражи информације, спусти слушалицу и назови банку поново.

„Ако потрошач добије позив, текстуалну поруку или е-пошту из ведра неба од било кога ко тврди да је из њихове банке, упозоравајући га на проблем, потрошач треба да спусти слушалицу (или да избрише текст/е-поруку и не кликне на везе) и покушајте да позовете њихову банку на број телефона за који знају да је прави“, рекао је портпарол ФТЦ-а.

Сајбер криминалци имају могућност лажирања ИД-а позиваоца и могу користити украдене личне податке да преваре жртву да преда новац.

Молимо пошаљите савете на [емаил заштићен]