- ESET objevil nový phishingový útok využívaný v bankovních podvodech, cílem byli klienti českých bank.
- Útočníci se zaměřili na chytré mobilní telefony s platformou Android a iPhony.
Po České republice se pomocí SMS zpráv šíří nebezpečný podvod, který cílí na banky a jejich koncové zákazníky. Nepozorní uživatelé nevědomky odesílají přihlašovací údaje do internetového bankovnictví, vystavují se tak hrozbě vykradení účtu.
Nepřehlédněte: Konec drahé elektřiny? Průhledné solární panely tenčí než vlas lze vytisknout na jakýkoli povrch
Podvodníci vám mohou vybílit účet
Bezpečnostní specialisté společnosti ESET varují před neobvyklým typem phishingové kampaně, která je zaměřena na klienty českých bank. Oproti jiným podvodům se vyznačuje tím, že útočníci dokáží přimět oběti k instalaci škodlivých aplikací z webové stránky třetí strany, aniž by se oběť dozvěděla, že se jedná o aplikaci z neoficiálního zdroje.
„V případě obou platforem, Android i iOS, byly phishingové aplikace do značné míry nerozeznatelné od skutečných bankovních aplikací, které napodobují. PWA aplikace jsou v podstatě webové stránky zabalené do zdánlivě samostatné aplikace, přičemž zdání její opravdovosti je podpořeno také využitím tzv. nativních systémových výzev – notifikací telefonu.
PWA aplikace jsou, stejně jako webové stránky, dostupné pro různé operační systémy, což vysvětluje, jak mohou tyto phishingové kampaně cílit na uživatele platformy iOS i Android. Pro uživatele chytrých telefonů iPhone může taková kampaň nabourat zažité předpoklady o bezpečnosti ‚uzavřeného ekosystému‘ platformy iOS,“ vysvětluje Jakub Osmani ze společnosti ESET.
Můžete přijít o peníze
Ke stažení podvodné aplikace lákal telefonní hovor, SMS i reklama na sociálních sítích. Například hlasový hovor byl realizován prostřednictvím automatizovaného hovoru, ve kterém útočníci „varovali“ uživatele před zastaralou bankovní aplikací a podněcovali je tak k okamžité aktualizaci. Uživatelé byli následně vyzváni, aby vybrali následující krok na číselné klávesnici. Po stisknutí správného tlačítka jim byla prostřednictvím SMS zprávy odeslána phishingová URL adresa.
„Rozesílání falešných URL adres probíhalo podle našich zjištění na náhodná česká telefonní čísla. Zpráva obsahovala phishingový odkaz a text, kterým chtěli útočníci zmanipulovat oběť tak, aby na odkaz klikla,“ dodává Osmani.
V případě platformy Android se po kliknutí na škodlivou URL adresu objevovaly dvě další, rozdílné varianty tohoto phishingového útoku – buď vysoce kvalitní phishingová stránka napodobující oficiální stránku obchodu Google Play s bankovní aplikací ke stažení, nebo napodobenina webové stránky opět zobrazující možnost stažení bankovní aplikace. V dalším kroku pak byly oběti vyzvány k tomu, aby „novou verzi“ bankovní aplikace ihned nainstalovaly.
Podle expertů se většina z analyzovaných případů odehrála v České republice, pouze dvě phishingové aplikace se objevily mimo český region, a to konkrétně v Maďarsku a Gruzii.
Zdroj náhledové fotografie: katemangostar / Freepik, zdroj: ESET
Nejlepší obranou je vůbec internetové bankovnictví nevyužívat, natož “platit mobilem” a pod. Nejlepší je hotovost, max zaplatit dobírku plastovou fyzickou kartou. Nic víc. Všechny platby dělám v bance převodním příkazem, Bohu žel toto banky omezují. Fuj.