„Atenţie – continuă campaniile de apeluri false (spoofed) în care atacatorii apelează potenţiale victime şi se prezintă drept angajaţi ai unor bănci din România. În ultimele zile este activă o campanie care se foloseşte de numele BRD Groupe Societe Generale, respectiv CEC Bank” avertizează reprezentanţii DNSC printr-o postare pe pagina de Facebook a instituţiei.
Aceştia precizează că atacul începe cu un apel de la o persoană care pretinde că este angajat al unei bănci din România (BRD, CEC Bank etc.). Ulterior, anunţă interlocutorul că i s-a aprobat creditul solicitat. Ca orice om care ştie că nu a întreprins o astfel de cerere, sau care nu are un cont la respectiva bancă, primul instinct este acela de a reacţiona impulsiv şi de a face rapid demersurile necesare pentru anularea acestei acţiuni.
„Ei bine, atacatorii exact acest lucru îl vizează încă de la început – activarea emoţiei (panică, furie, teamă etc.), pentru a evita ca interlocutorul să acţioneze cu calm la telefon şi să pună întrebările logice în acest caz, ori să facă verificări suplimentare, pe un alt canal de comunicare cu banca sau cu autorităţile. Din momentul în care persoana apelată anunţă interlocutorul că nu a efectuat vreo cerere pentru acordarea unui credit, atacatorii îl anunţă că în acel caz este cel mai probabil vorba despre o fraudă şi că vor avea nevoie de anumite date personale, date de autentificare, respectiv date financiare, pentru a face demersurile necesare raportării presupusei „fraude” şi să recupereze eventualele sume pierdute. Totul face parte din scenariul simplu şi eficient al unei capcane de tip vishing (phishing prin telefon) în care sunt folosite extrem de eficient tehnici de inginerie socială, iar atacatorii sunt foarte bine antrenaţi în a fi convingători şi amabili, astfel încât să nu dea de bănuit”, explică specialiştii în securitate cibernetică.
Potrivit acestora, potenţiala victimă poate fi contactată de pe un număr de telefon asociat băncii, dar, totodată, poate fi apelată de pe numere aleatorii care aparţin unor alte peroane care nu ştiu faptul că atacatorii le folosesc pentru a lansa apeluri false. În realitate, numărul afişat pe ecranul destinatarului nu este numărul real al apelantului.
„Pentru a atrage potenţiale victime în capcană, atacatorii folosesc o tehnică numită spoofing, în care atacatorul foloseşte tehnologia Voice over IP (VoiceIP) pentru a apela victima, preluarea informaţiilor de contact făcându-se fără acordul instituţiei sau al persoanei fizice. Este nevoie doar de cunoaşterea numărului de telefon, unele dintre acestea fiind disponibile public.
Există instrumente pe internet care oferă servicii de tip spoofing, de obicei cu o taxă pe minut de conversaţie. Cu toate acestea, atacatorii nu se bazează întotdeauna pe aceste servicii şi au resursele necesare pentru a crea un instrument similar”, subliniază reprezentanţii DNSC.
Aceştia menţionează că banca nu va apela niciodată utilizatorii pentru a le promite oportunitatea de recuperare a sumelor pierdute şi nu va cere niciodată utilizatorilor să furnizeze telefonic date cu caracter sensibil (date personale, de autentificare, sau de carduri bancare), în urma unor apeluri efectuate de companie.
