Telefonát začne presne tak, aby človeka prinútil prestať premýšľať. Na účte je vraj podozrivá transakcia, peniaze sú v ohrození a treba konať hneď. Na ostrove Jersey tento scenár za štyri týždne skončil stratou približne 180 000 libier.
Ešte výraznejšie je druhé číslo. Podľa miestnej polície súviselo počas sledovaných štyroch týždňov až 75 percent všetkých evidovaných hlásení o podvodoch s účtami Revolut. Na prípad upozornil aj bezpečnostný blog Bitdefender a píšem o ňom, pretože vo veľmi podobnej forme sa môže objaviť aj u nás. Respektíve, preto, že o takýchto veciach je v dnešnej dobe dobré vedieť.
Nejde pritom o informáciu, že by niekto prelomil samotnú banku alebo našiel dieru v jej aplikácii. Väčšina prípadov mala oveľa obyčajnejší mechanizmus: útočník presvedčil človeka na druhej strane telefónu, aby mu sám otvoril dvere.
Najprv vás vystrašia. Potom vám ponúknu „riešenie“
Podľa polície obetiam volal človek, ktorý sa vydával za pracovníka bankového oddelenia pre podvody, bezpečnostného tímu alebo podpory Revolutu. Tvrdil, že na účte zachytili podozrivú transakciu alebo že niekto získal prístup k peniazom.
A potom prišla tá dôležitá časť. Obeť mala prezradiť bezpečnostné údaje, schváliť transakciu, previesť peniaze alebo umožniť prístup k účtu. Polícia zaznamenala aj prípady kompromitovaných účtov, pri ktorých žiadny telefonát neprebehol, no práve falošné hovory tvorili hlavný opakujúci sa scenár.
Tento typ útoku sa označuje ako vishing – v podstate phishing cez hlasový hovor. Podvodník nepotrebuje prelomiť bankové šifrovanie. Potrebuje vytvoriť dostatočný stres, aby používateľ urobil operáciu, ktorú by za normálnych okolností neurobil.
Ani číslo na displeji nie je dôkaz
Na podvodnom hovore je nepríjemné aj to, že môže na prvý pohľad vyzerať úplne dôveryhodne. Technika nazývaná Caller ID spoofing umožňuje sfalšovať meno alebo telefónne číslo, ktoré sa zobrazí na displeji. Samotný údaj o volajúcom preto nestačí na overenie, že skutočne volá banka.
Rovnako nič nedokazuje ani to, že volajúci pozná vaše meno, adresu či inú informáciu. Časť osobných údajov môže pochádzať zo starších únikov dát, verejných zdrojov alebo predchádzajúceho phishingu. Presne tieto drobnosti potom robia telefonát oveľa presvedčivejším.
Pri Revolute sa dá hovor overiť priamo v aplikácii
Pre používateľov Revolutu je tu jeden veľmi praktický rozdiel. Samotná služba vo svojom slovenskom Centre pomoci uvádza, že používateľa nebude nečakane telefonicky žiadať o platbu, overovací alebo bezpečnostný kód. Telefonát má byť vopred dohodnutý a potvrdený.
Ak počas hovoru otvoríte aplikáciu Revolut, môžete si navyše skontrolovať informáciu o prebiehajúcom hovore a overiť, či skutočne pochádza od podpory. Ak takýto hovor neočakávate, najbezpečnejší postup je stále ten najmenej technologický: zložiť telefón a kontaktovať banku samostatne cez jej oficiálnu aplikáciu.
A veta o „bezpečnom účte“ by mala hovor ukončiť prakticky okamžite. Banka nepotrebuje, aby ste svoje peniaze zachránili tým, že ich pošlete na účet nadiktovaný neznámym človekom. Ak niekto tvrdí opak, peniaze sa nechystá chrániť.
Ak ste už kód prezradili alebo prevod schválili, nečakajte
Ak ste podvodníkovi poskytli bezpečnostné údaje alebo ste už schválili podozrivú operáciu, rozhodujú prvé minúty. Ukončite ďalšiu komunikáciu a kontaktujte Revolut priamo cez aplikáciu. Ak mohli uniknúť údaje karty, kartu je možné dočasne zablokovať. Pri podozrení, že niekto získal prístup k účtu, Revolut odporúča zmeniť aj prístupový kód.
Podozrivú transakciu treba nahlásiť čo najskôr banke a podľa okolností aj polícii. Či sa peniaze podarí získať späť, závisí okrem iného od toho, čo sa presne stalo a či išlo o transakciu vykonanú bez súhlasu majiteľa alebo o prevod, ktorý obeť po manipulácii sama schválila. Tejto téme sa podrobnejšie venujeme v článku o tom, kedy môže banka po podvode peniaze vrátiť a kedy je situácia komplikovanejšia.
Čísla z Jersey na Slovensko preniesť nemožno. Trik áno
Zo 75-percentného podielu na Jersey sa nedá usudzovať, že rovnaká situácia existuje na Slovensku alebo medzi používateľmi Revolutu všeobecne. Ide o údaje miestnej polície z jedného malého územia a konkrétneho štvortýždňového obdobia.
Opatrne treba hovoriť aj o susednom Guernsey. Tamojšia polícia v rovnakom čase nezaznamenala porovnateľný nárast oficiálnych hlásení, neznamená to však, že sa ostrovu podvodné hovory úplne vyhli. Objavili sa aj tam pokusy získať prístup k účtom.
Pre slovenského používateľa je preto podstatnejší samotný scenár než štatistika z Normanských ostrovov. Nečakaný telefonát, údajný problém s účtom, tlak na okamžité rozhodnutie a žiadosť o kód, potvrdenie operácie alebo presun peňazí fungujú bez ohľadu na krajinu či banku. Rovnaký princíp využívajú aj phishingové kampane zneužívajúce známe značky.
A obrana zostáva až podozrivo jednoduchá. Keď vám niekto volá s tým, že vaše peniaze sú práve teraz v nebezpečenstve, nemusíte problém vyriešiť počas jeho hovoru. Zložte. Otvorte si bankovú aplikáciu sami a overte si, či vôbec nejaký problém existuje. Práve tých pár sekúnd navyše je to, čo podvodník nechce, aby ste si dopriali.
