Atak rozpoczyna się od wiadomości wyglądającej jak wysłana przez przewoźnika — z nadpisem "InPost". CERT Orange zwraca uwagę, że taki SMS potrafi trafić do istniejącej konwersacji z prawdziwymi komunikatami od firmy, co dla wielu osób staje się dodatkowym "potwierdzeniem", że wszystko jest w porządku. W treści znajduje się jednak odnośnik kierujący na podstawioną stronę, a nie do oficjalnego serwisu InPost.
Po kliknięciu linku użytkownik widzi komunikat o oczekującej przesyłce i prośbę o wskazanie paczkomatu do odbioru. To istotna różnica względem wcześniejszych kampanii podszywających się pod InPost, w których oszuści często próbowali wyciągnąć dane karty lub dane logowania do bankowości. W opisywanym wariancie nie pojawia się żądanie płatności, co ma uśpić czujność.
Fałszywa witryna prezentuje elementy, które mają wyglądać wiarygodnie: numer przesyłki, historię doręczenia, informacje o nadawcy czy termin odbioru. CERT Orange opisuje to jako klasyczną socjotechnikę — celem jest wywołanie presji i zachęcenie odbiorcy do szybkiego działania. Dodatkowym sygnałem ostrzegawczym jest to, że przy kolejnym wejściu na stronę potrafią wyświetlać się inne, przypadkowe dane przesyłki.
WIDEOSpotify usuwa podcasty z reklamami aptek?
Najważniejszy etap pojawia się przy rzekomej autoryzacji wyboru paczkomatu. Strona prosi o podanie numeru telefonu, a następnie o wpisanie kodu otrzymanego w komunikatorze. W praktyce nie jest to potwierdzenie żadnej przesyłki — chodzi o próbę podpięcia konta WhatsApp na urządzeniu kontrolowanym przez przestępcę.
Jeżeli ofiara przepisze kod, napastnik może uzyskać dostęp do rozmów i wiadomości w ramach tego samego konta. CERT Orange podaje, że takie przejęcia są później wykorzystywane m.in. w oszustwach na OLX: przestępca kontaktuje się z kolejnymi osobami z prawdziwego profilu poszkodowanego, a następnie może usuwać ślady konwersacji, by utrudnić wykrycie nadużycia.
Specjaliści zalecają, by nie klikać w linki z SMS-ów rzekomo wysyłanych przez kurierów i zamiast tego samodzielnie wpisać adres przewoźnika w przeglądarce. Dobrą praktyką jest też weryfikacja numeru przesyłki bezpośrednio w serwisie firmy. Jeśli paczka nie istnieje albo strona domaga się kodu do WhatsApp, to wyraźny znak, że mamy do czynienia z próbą oszustwa.
Redaktor Prowadzący dobreprogramy.pl, dziennikarz obszaru Technologie w Wirtualnej Polsce. Śledzi tematykę cyberbezpieczeństwa, systemów operacyjnych, aplikacji "dla każdego" oraz technologii w świecie motoryzacji i smart home. W branży od 2014 roku.
