- Oszustwa internetowe łączą inżynierię społeczną i technologię (sztuczną inteligencję, deepfake'i, podmianę kart SIM) w celu kradzieży pieniędzy i danych.
- Phishing, smishing, vishing, oszustwa inwestycyjne, fałszywe prezenty i podszywanie się pod inne osoby to obecnie najpopularniejsze taktyki.
- Silne hasła, uwierzytelnianie dwuskładnikowe, aktualizacje, kopie zapasowe i weryfikacja tożsamości znacznie zmniejszają ryzyko.
- Szybkie sporządzenie raportu, zebranie dowodów i powiadomienie banku oraz władz pomaga powstrzymać szkody i zapobiec ofiarom w przyszłości.
Cyfrowe życie przeniknęło niemal wszystko, co robimy: zakupy, kontakt z urzędami, bankowość, media społecznościowe… a wraz z tym wzrosła liczba najczęstszych cyberoszustw, których ofiarami padają osoby prywatne i firmy w Hiszpanii. Przestępcy stają się coraz bardziej przebiegli, wykorzystując technologie takie jak sztuczna inteligencja i wykorzystując każdą okazję do kradzieży pieniędzy lub danych osobowych.
Tylko w ciągu pierwszych dziewięciu miesięcy 2024 roku w Hiszpanii zgłoszono ponad 347 000 cyberprzestępstw , co stanowi prawie jedną piątą wszystkich cyberprzestępstw . Za tymi liczbami kryje się wszystko, od prostych oszustw SMS-owych, przez złożone schematy inwestowania w kryptowaluty, po wyrafinowane oszustwa związane z fakturami firmowymi. Zrozumienie, jak działają te oszustwa, nauczenie się ich wykrywania i wiedza o tym, co robić, gdy zostaniemy zaskoczeni, jest kluczem do poruszania się po internecie z większym spokojem ducha.
Kody QR, WhatsApp i media społecznościowe: nowe sposoby na stare oszustwa
W ostatnich latach wykorzystanie kodów QR gwałtownie wzrosło w wielu dziedzinach: w menu barowym, umawianiu wizyt, informacjach ulicznych… i, co nie dziwi, cyberprzestępcy uznali kody QR za idealny sposób na oszukanie swoich ofiar . Policja Krajowa ostrzega przed kampaniami wykorzystującymi fałszywe naklejki lub ogłoszenia z kodami, które prowadzą do złośliwych stron internetowych lub pobierają złośliwe oprogramowanie.
Aby zminimalizować ryzyko, eksperci zalecają aktualizowanie telefonu komórkowego , korzystanie z systemów bezpieczeństwa oraz, jeśli to możliwe, aplikacji umożliwiających podgląd adresu URL, do którego prowadzi kod QR, przed jego otwarciem. Ponadto Narodowy Instytut Cyberbezpieczeństwa (INCIBE) oferuje poradniki i zasoby, które pomogą Ci nauczyć się rozpoznawać podejrzane kody QR.
Kolejnym polem bitwy jest WhatsApp i, szerzej, komunikatory. Fałszywe procesy rekrutacyjne i nieistniejące oferty pracy są powszechne , począwszy od telefonu od osoby podającej się za pracownika działu kadr. Kolejnym krokiem jest prośba o dodanie numeru telefonu do WhatsApp, aby uzyskać więcej informacji na temat rzekomo bardzo atrakcyjnej oferty pracy.
Kiedy rozmowa się rozpoczyna, prawdziwym celem jest uzyskanie danych osobowych, informacji finansowych, a nawet „zaliczki” na szkolenie, rezerwację pracy, wysłanie materiałów lub jakikolwiek inny pretekst. Oferty te pojawiają się na portalach pracy, w mediach społecznościowych, e-mailach lub SMS-ach i często zawierają warunki, które wydają się zbyt piękne, aby mogły być prawdziwe.
Wykryto również szczególnie kłopotliwe oszustwo, które rozpoczyna się od wiadomości SMS zawierającej sześciocyfrowy kod. Przestępcy najpierw przechwytują konto WhatsApp jednego z kontaktów ofiary i podszywając się pod tę osobę, proszą o przekazanie otrzymanego kodu. Kod ten jest w rzeczywistości kodem weryfikacyjnym konta WhatsApp ofiary; jeśli go poda, straci kontrolę nad swoim kontem. Aby tego uniknąć, należy aktywować weryfikację dwuetapową i nigdy nikomu go nie udostępniać.
Fałszywe leki, niewiarygodne prezenty i deepfake'i w mediach społecznościowych
Internet stał się również idealną platformą dla pseudoterapii, cudownych suplementów i metod leczenia, których skuteczność nie jest potwierdzona badaniami naukowymi . Bardzo powszechną praktyką jest klonowanie wizerunku renomowanego medium lub szpitala, aby zwiększyć wiarygodność produktu, a nawet wykorzystywanie nazwisk i zdjęć prawdziwych lekarzy bez ich zgody.
Wykryto strony internetowe podszywające się pod ogólnokrajowe gazety lub stacje telewizyjne, promujące na przykład krople odchudzające, które obiecują utratę 10 kilogramów w trzy tygodnie , lub rzekomo skuteczne metody leczenia cukrzycy czy zaburzeń erekcji. W rzeczywistości produkty te nie są zarejestrowane jako leki ani nie mają żadnego potwierdzenia naukowego i mogą stanowić bezpośrednie zagrożenie dla zdrowia.
Eksperci podkreślają, że w przypadku jakichkolwiek internetowych terapii obiecujących spektakularne rezultaty, zawsze warto skonsultować się z lekarzem lub lekarzem pierwszego kontaktu . Nikt nie oferuje darmowych, cudownych kuracji, a już na pewno nie za pośrednictwem agresywnej reklamy czy podejrzanie wyglądających stron internetowych.
Kolejnym klasycznym oszustwem, powtarzającym się co roku, jest masowa sprzedaż fałszywych prezentów i losowań od znanych marek, wykorzystujących święta takie jak Dzień Matki, Czarny Piątek czy Boże Narodzenie. SMS-y lub e-maile z logo El Corte Inglés, Carrefour, Leroy Merlin lub innych dużych sprzedawców detalicznych reklamują kuszące nagrody: karty podarunkowe o wartości 500 euro, designerską zastawę stołową, zestawy narzędzi, bony zakupowe…
Sposób działania jest niemal zawsze taki sam: ofiara jest proszona o kliknięcie linku, wypełnienie formularza z danymi osobowymi, a nawet opłacenie niewielkiej kwoty za wysyłkę lub obsługę. Prawdziwa marka nie ma nic wspólnego z promocją, a jej jedynym celem jest przechwycenie danych lub kradzież pieniędzy . Zanim uwierzysz w jakąkolwiek wiadomość tego typu, zaleca się sprawdzenie mediów społecznościowych lub oficjalnej strony internetowej firmy i, w razie jakichkolwiek wątpliwości, zignorowanie jej i usunięcie.
W ostatnich miesiącach nastąpił również gwałtowny wzrost liczby ultrarealistycznych manipulacji wideo, niesławnych deepfake'ów , które wykorzystują sztuczną inteligencję do przypisywania prezenterom lub osobom publicznym wiadomości, których w rzeczywistości nigdy nie wypowiedzieli . W Hiszpanii pojawiły się przykłady, w których prezenterzy wiadomości, urzędnicy państwowi i dyrektorzy dużych firm rzekomo dyskutowali o platformach inwestycyjnych kryptowalut.
Filmy te są udostępniane głównie w mediach społecznościowych i prowadzą do stron internetowych poświęconych inwestycjom, które nie są zarejestrowane w Hiszpańskiej Komisji Rynku Papierów Wartościowych (CNMV). CNMV ostrzega, że są to oszustwa finansowe, których celem jest przyciągnięcie oszczędności obietnicami szybkich zysków i braku ryzyka . Podstawowe zalecenie jest jasne: korzystaj wyłącznie z usług autoryzowanych dostawców i zachowaj ostrożność w przypadku ofert krążących w Internecie, nawet jeśli przedstawiają one znaną osobę.
Oszustwa inwestycyjne, podmiana kart SIM i oszustwa wymierzone w przedsiębiorstwa
Wiele działających obecnie sieci przestępczych łączy stare taktyki oszustw z narzędziami sztucznej inteligencji i kampaniami reklamowymi w mediach społecznościowych . Dobitnym przykładem są fałszywe platformy inwestycyjne kryptowalut, które przedstawiają się jako innowacyjne projekty „rekomendowane” przez celebrytów, ekspertów finansowych, a nawet instytucje – wszystko to sfabrykowane cyfrowo.
Niedawna duża operacja policyjna rozbiła sieć, która wykorzystując ten schemat, oszukała setki ofiar na dziesiątki milionów euro. Ofiary wierzyły, że inwestują w kryptowaluty . Reklamy wykorzystywały filmy generowane przez sztuczną inteligencję i dopracowane strony internetowe, ale w rzeczywistości wszystkie pieniądze trafiały na konta kontrolowane przez przestępców.
Kolejnym, coraz popularniejszym oszustwem jest podmiana kart SIM , polegająca na kopiowaniu karty SIM ofiary. Aby to zrobić, oszuści najpierw gromadzą dane osobowe poprzez wycieki, media społecznościowe lub wcześniejsze oszustwa i wykorzystują je, aby podszywać się pod posiadacza karty u operatora komórkowego. Po uzyskaniu kopii karty SIM mogą otrzymywać SMS-y weryfikacyjne z banku, otwierać i opróżniać konta, a także uzyskiwać dostęp do poczty e-mail lub mediów społecznościowych.
Jest to szczególnie niebezpieczny atak, ponieważ użytkownik może nagle stracić zasięg sieci komórkowej, nie rozumiejąc przyczyny. Środki zapobiegawcze obejmują ograniczenie ilości publicznie udostępnianych danych osobowych, aktywację silnego kodu PIN na karcie SIM, częste przeglądanie wyciągów bankowych , a także zwracanie uwagi na wszelkie wiadomości od operatora dotyczące zmian karty SIM lub niechcianych przeniesień numerów.
W świecie biznesu coraz powszechniejszą techniką jest manipulacja fakturami lub wiadomościami e-mail między dostawcami a klientami . Cyberprzestępcy przechwytują komunikację, zazwyczaj włamując się do jednego z kont e-mail , i modyfikują numer konta bankowego na pozornie legalnej fakturze. Firma płaci jak zwykle, ale pieniądze trafiają do miejsca przeznaczenia kontrolowanego przez organizację przestępczą.
Ten rodzaj oszustwa, podobny do ataków typu „man-in-the-middle” w świecie korporacyjnym, spowodował straty rzędu dziesiątek tysięcy euro dla hiszpańskich MŚP. Aby ograniczyć ryzyko, konieczne jest telefoniczne lub alternatywne potwierdzenie wszelkich zmian w danych bankowych dostawcy przed dokonaniem znaczącej płatności, a także wdrożenie wewnętrznych mechanizmów podwójnej weryfikacji.
Phishing, smishing, vishing i pharming: te same stare oszustwa, ale z pewną różnicą
W kontekście cyberoszustw niemal zawsze pojawia się to samo słowo: phishing , czyli klasyczne oszustwo wykorzystujące e-maile lub wiadomości podszywające się pod banki, firmy płatnicze, firmy kurierskie lub agencje rządowe . Celem jest nakłonienie użytkownika do kliknięcia linku lub otwarcia załącznika w celu podania danych osobowych lub bankowych.
Wiadomości te stwarzają poczucie pilności: rzekome problemy z rozliczeniami, podejrzana aktywność na koncie, nieuregulowane faktury, możliwości zwrotu pieniędzy lub karty podarunkowe. Pod tym pozorem kryją się linki prowadzące do stron bardzo podobnych do oryginałów, ale mających na celu kradzież danych uwierzytelniających lub instalację złośliwego oprogramowania. Wiadomości e-mail często zawierają skopiowane logo i starannie sformułowany język, chociaż drobne błędy w adresach nadawcy, domenach lub tekście można wykryć.
Smishing to odmiana SMS-ów , wykorzystująca krótkie wiadomości przekierowujące do złośliwej strony internetowej lub żądające podania poufnych danych. Oszuści wykorzystują alerty, powiadomienia bankowe lub fałszywe umawianie spotkań z agencjami rządowymi. Vishing z kolei przenosi oszustwo na telefon : osoba podająca się za pracownika banku, przedstawiciela firmy ubezpieczeniowej lub policjanta prosi o podanie danych logowania lub kodów weryfikacyjnych, często naciskając na dzwoniącego z pilnym problemem.
Na bardziej technicznym poziomie mamy do czynienia z pharmingiem, gdzie użytkownik jest przekierowywany z legalnej strony internetowej na fałszywą, nie zdając sobie z tego sprawy . Odbywa się to poprzez manipulację systemem nazw domen (DNS) lub instalację złośliwego oprogramowania na urządzeniu. W przeciwieństwie do klasycznego phishingu, w tym przypadku ofiara nie musi klikać w fałszywy link: wystarczy wpisać poprawny adres i trafić na fałszywą kopię strony.
Aby poruszać się po tym wszystkim bez paranoi, ale ze zdrowym rozsądkiem, pomocne są pewne podstawowe zasady: uważaj na linki otrzymywane e-mailem, SMS-em lub za pośrednictwem komunikatorów; ręcznie wpisuj adresy banków lub organizacji; i nigdy nie podawaj danych osobowych, jeśli nie masz absolutnej pewności co do osoby, z którą się komunikujesz . Co więcej, wiele usług umożliwia teraz aktywację uwierzytelniania dwuskładnikowego (2FA) , które dodaje dodatkową warstwę bezpieczeństwa.
Sztuczna inteligencja nie służy tylko do tworzenia fałszywych filmów; służy również do generowania syntetycznych głosów, niemal nieodróżnialnych od prawdziwych, co prowadzi do oszustw znanych jako „scamsy z głębokim głosem” . Przestępca może sklonować głos dyrektora, członka rodziny lub współpracownika z publicznie dostępnych nagrań audio i wykorzystać go do żądania przelewów lub poufnych danych.
Ten rodzaj oszustwa łączy się z klasycznymi technikami socjotechnicznymi, które polegają na manipulowaniu ofiarą poprzez odwoływanie się do zaufania, strachu lub poczucia pilności . W rodzinach coraz powszechniejsze staje się tzw. „oszustwo na dziecko w potrzebie”: ktoś podszywa się za syna lub wnuka za pośrednictwem WhatsApp lub telefonu, twierdzi, że miał wypadek lub poważny problem i prosi o natychmiastowe pieniądze, aby wyjść z kłopotów, czasami wzmacniane przez drugiego rzekomego „prawnika”.
Osoby starsze są głównym celem tych oszustw, choć każdy może paść ich ofiarą, jeśli zostanie przyłapany w trudnej sytuacji. Dlatego w przypadku otrzymania wiadomości lub połączenia tego typu kluczowe jest zweryfikowanie tożsamości osoby proszącej o pomoc innym kanałem : zadzwoń bezpośrednio do członka rodziny, użyj innego, znanego numeru lub zadaj pytanie, na które zna odpowiedź tylko ta osoba.
Tymczasem ransomware stało się jednym z najbardziej destrukcyjnych zagrożeń dla osób prywatnych i firm . Ten rodzaj złośliwego oprogramowania szyfruje pliki na urządzeniu (a nawet w całej sieci korporacyjnej) i żąda okupu w zamian za klucz deszyfrujący. Często przedostaje się do systemów za pośrednictwem wiadomości e-mail z zainfekowanymi załącznikami, pirackich plików do pobrania lub niezałatanych luk w zabezpieczeniach.
Najlepszą obroną przed ransomware nie jest płacenie, ale bycie przygotowanym: regularne tworzenie kopii zapasowych , aktualizowanie systemów i oprogramowania antywirusowego oraz nieotwieranie załączników ani linków z podejrzanych źródeł . Dzięki dobrym kopiom zapasowym szkody są znacznie mniejsze, ponieważ można odzyskać dane bez ulegania szantażowi.
Najlepsze praktyki ograniczania ryzyka bez wydawania fortuny
Ochrona przed cyberoszustwami nie wymaga bycia guru komputerowym ani wydawania dużych sum pieniędzy. Zazwyczaj wystarczy połączyć rozsądne nawyki z podstawowymi, dostępnymi dla każdego środkami technicznymi.
Kluczowym pierwszym krokiem jest ochrona haseł: używaj długich, unikalnych haseł do każdej usługi i, jeśli to możliwe, zarządzaj nimi za pomocą menedżera haseł . Zapobiega to użyciu tej samej nazwy użytkownika i hasła do wszystkich kont w przypadku naruszenia bezpieczeństwa jednej witryny. Włączenie uwierzytelniania dwuskładnikowego (2FA) zawsze, gdy jest ono dostępne, dodaje kolejną warstwę ochrony: nawet jeśli ktoś ukradnie Twoje hasło, będzie potrzebował dodatkowego kodu do zalogowania.
Z technicznego punktu widzenia, aktualizowanie systemu operacyjnego, aplikacji i oprogramowania antywirusowego jest bardzo pomocne. Aktualizacje łatają luki w zabezpieczeniach , które przestępcy stale wykorzystują . To samo dotyczy urządzenia mobilnego: włączenie automatycznych aktualizacji i sprawdzanie uprawnień aplikacji to prosty sposób na ograniczenie ryzyka.
Zaleca się również unikanie publicznych sieci Wi-Fi w przypadku transakcji poufnych, takich jak bankowość internetowa czy zakupy . Jeśli nie masz innej opcji, najlepiej skorzystać z niezawodnej sieci VPN szyfrującej ruch. Co więcej, tworzenie kopii zapasowych danych w chmurze lub na dyskach zewnętrznych – i okresowe sprawdzanie ich działania – to najlepsza ochrona przed utratą danych lub atakami ransomware.
Wreszcie, istnieje pewien element nastawienia, który trudno zautomatyzować: zachowanie zdrowego cyfrowego sceptycyzmu i ciągłe weryfikowanie tożsamości każdego, kto prosi o poufne informacje lub pilne płatności . Pośpiech, targi i dramatyczne historie tworzą idealne warunki do udanego oszustwa; poświęcenie kilku minut na sprawdzenie informacji robi ogromną różnicę.
Reakcja policji, skarga i kroki, które należy podjąć, jeśli padłeś ofiarą oszustwa
Chociaż sieci przestępcze ewoluują dynamicznie i wykorzystują coraz bardziej zaawansowane narzędzia, państwowe siły bezpieczeństwa specjalizują się również w cyberprzestępczości i oszustwach finansowych . Istnieją jednostki zajmujące się badaniem cyberprzestępczości, śledzeniem przepływów pieniężnych i rozbijaniem międzynarodowych sieci.
Żadna strategia policyjna nie jest skuteczna bez współpracy obywateli. Jak najszybsze zgłoszenie cyberprzestępstwa zwiększa szanse na powstrzymanie szkód i pomoc innym potencjalnym ofiarom . W przypadku oszustwa finansowego pierwszym krokiem powinno być skontaktowanie się z bankiem w celu zablokowania kart, kont lub przelewów, a następnie udanie się na policję lub do Gwardii Cywilnej ze wszystkimi dostępnymi informacjami.
Bardzo pomocne jest zebranie zrzutów ekranu z wiadomości e-mail, SMS-ów, stron internetowych, rozmów na WhatsAppie, potwierdzeń przelewów bankowych i innych dowodów oszustwa . Jeśli doszło do wycieku poufnych informacji (takich jak numer dowodu osobistego, pełne dane bankowe lub dane logowania), warto skonsultować się ze specjalistą ds. ochrony przed kradzieżą tożsamości lub skorzystać z usług pomocy prawnej.
Jeśli podejrzewasz, że pobrałeś złośliwe oprogramowanie, klikając link lub otwierając załącznik, powinieneś zaktualizować oprogramowanie zabezpieczające, przeskanować urządzenie i usunąć wszelkie wykryte zagrożenia . W niektórych przypadkach może być konieczne przywrócenie kopii zapasowych, a nawet sformatowanie komputera, aby upewnić się, że nie pozostały żadne ślady ataku.
Edukacja cyfrowa, kampanie uświadamiające i upowszechnianie przykładów z życia wziętych pomagają większej liczbie osób rozpoznawać sygnały ostrzegawcze. Im bardziej przyzwyczajamy się do podejrzliwości wobec dziwnych wiadomości, podejrzanych połączeń telefonicznych czy ofert, które wydają się zbyt piękne, aby mogły być prawdziwe, tym trudniej będzie cyberprzestępcom . Ostatecznie bezpieczeństwo w sieci budujemy dzień po dniu, wszyscy, poprzez drobne działania i decyzje, które mogą zapobiec wielu problemom.
W środowisku, w którym przestępstwa cyfrowe stanowią już znaczną część ogólnej przestępczości, zrozumienie typowych cyberoszustw, ich taktyk i sposobów reagowania ma ogromne znaczenie . Od kradzieży tożsamości za pośrednictwem poczty e-mail lub SMS-ów, przez deepfake'i finansowe, podmianę kart SIM, ransomware, po emocjonalne oszustwa na WhatsAppie, wszystkie te oszustwa mają coś wspólnego: wykorzystują zaufanie i pośpiech. Poświęcenie chwili na przejrzenie, zadanie pytań, zweryfikowanie informacji i, w razie potrzeby, zgłoszenie ich, to najlepszy sposób, aby nadal cieszyć się internetem, nie stając się kolejną ofiarą.
