Oszustwa „na fałszywą dostawę” coraz powszechniejsze

Handel elektroniczny nigdy nie był łatwiejszy. Wystarczy kilka kliknięć na ekranie komputera, tabletu czy smartfona, aby przedmioty z całego świata zostały dostarczone wprost do naszych rąk. Niestety coraz większa liczba transakcji tworzy idealną sytuację dla internetowych oszustów, którym znacznie łatwiej wykorzystać nieuwagę zakupowiczów. W końcu nie każdy pamięta wszystkie szczegóły każdej dokonanej w sieci transakcji i związanej z nią usługi dostarczenia zamówionych towarów. Ta okoliczność tworzy szerokie pole do działania dla cyberprzestępców, którzy wysyłają phishingowe maile i SMS-y podszywające się pod firmy kurierskie. Zazwyczaj treść tych wiadomości dotyczy nieścisłości związanych z przesyłką. Oszuści starają się w ten sposób zmusić użytkownika do kliknięcia w zainfekowany link lub uzupełnienia fałszywego formularza na spreparowanej stronie i przekazanie w ten sposób danych. 

Według najnowszej edycji raportu ESET Threat Report w okresie od maja do sierpnia 2022 roku odnotowano sześciokrotny wzrost oszustw phishingowych związanych z dostawą paczek, w porównaniu do okresu styczeń - kwiecień br. Fałszywe e-maile, pochodzące rzekomo od firm kurierskich, zawierały przeważnie żądania weryfikacji adresów wysyłkowych lub dopłaty do przesyłki. Zgodnie z ostatnim raportem firma ESET zablokowała o prawie 30% więcej phishingowych adresów URL niż w pierwszych czterech miesiącach roku, czyli niemal 4,7 miliona. Natomiast kategoria stron phishingowych zawierających sfałszowaną identyfikację graficzną oraz logo firm kurierskich i logistycznych znalazła się na trzecim miejscu, tuż za mediami społecznościowymi i stronami bankowymi, w rankingu obejmującym główne cele phisherów.  

Jaki jest cel oszustw? 

Co się stanie, gdy ofiara ataku zdecyduje się kliknąć w zawarte w wiadomościach złośliwe linki? Zwykle zostanie ona przeniesiona na fałszywą witrynę, która będzie żądać podania dodatkowych informacji w celu potwierdzenia tożsamości lub uiszczenia opłaty. W niektórych przypadkach już samo kliknięcie w link może okazać się niebezpieczne – w ten sposób ofiara może pobrać złośliwe oprogramowanie na swoje urządzenie. 

Należy pamiętać, że oszuści mogą wyłudzać hasła do internetowych kont swoich ofiar lub innych informacji osobistych i finansowych, takich jak loginy bankowe lub dane karty kredytowej, w celu przeprowadzenia dalszego oszustwa. Wszystko to mogą osiągnąć również za pomocą złośliwego oprogramowania wykradającego tego typu dane. 

Jak wyglądają oszustwa związane z dostawą?

Użytkownicy sklepów online przyzwyczaili się do tego, że w ich skrzynkach mailowych lub na telefonie pojawiają się wiadomości od firm kurierskich, które informują m.in. o planowanych terminach dostaw. W niektórych przypadkach musimy odpowiedzieć na wiadomość firmy kurierskiej. To właśnie te wiadomości oszuści najczęściej próbują naśladować. Czego one dotyczą?

Wiadomości nierzadko dotyczą dopłaty niezbędnej do zrealizowania dostawy lub wezwania do zapłaty z powodu nieprawidłowego adresu dostawy. W niektórych przypadkach oszuści proszą o weryfikację adresu e-mail poprzez podanie hasła w celu śledzenia rzekomej przesyłki. Ofiary oszustw otrzymują również wiadomości informujące o niepowodzeniu doręczenia przesyłki z prośbą o podanie imienia i nazwiska, pełnego adresu i numeru telefonu.

Gdy maile zawodzą, oszuści korzystają z SMS-ów

Oszuści wykorzystują fakt, że wiele firm kurierskich informuje swoich klientów za pośrednictwem wiadomości SMS. Dlatego też wśród preferowanych metod działania znajduje się smishing. Atakujący używają podobnych technik jak w przypadku phishingu – stwarzają poczucie pilności, które ma skłonić potencjalną ofiarę do podjęcia nieprzemyślanej decyzji. Użytkownicy mogą być bardziej skłonni do kliknięcia w złośliwy link zawarty w fałszywej wiadomości SMS.

Ofiary smishingu nie mają możliwości sprawdzenia fałszywej domeny nadawcy, a jedynie numer telefonu, który można łatwo sfałszować. Dodatkowo w wiadomości SMS jest zwykle mniej słów, a zatem mniej okazji do wykrycia błędów gramatycznych i językowych.

Jak chronić się przed oszustami?

W okresie wzmożonej aktywności zakupowej - kiedy sami nabywamy produkty lub oczekujemy dostawy takich, które ktoś zamówił dla nas - warto zastosować podstawowe zasady cyberbezpieczeństwa, pozwalające uniknąć ewentualnych nieprzyjemności. 

• Nie klikaj linków w podejrzanych wiadomościach e-mail lub SMS.
• Pod żadnym pozorem nie wprowadzaj swoich danych osobowych, w tym danych logowania i informacji finansowych na stronach, do których przeniósł Cię link zawarty w e-mailu lub SMS-ie. 
• Zwróć uwagę na charakterystyczne oznaki oszustwa phishingowego: wymuszenie poczucia pilności, nieoczekiwane prośby o informacje finansowe, fałszywe adresy URL, błędy ortograficzne i gramatyczne oraz prośby o pieniądze w zamian za dostarczenie przesyłki.
• Jeśli otrzymasz wiadomość mailową, która wygląda podejrzanie, skontaktuj się bezpośrednio z firmą kurierską podaną w treści wiadomości i zweryfikuj otrzymane informacje. 
• Pobierz na wszystkie swoje urządzenia renomowane, skuteczne oprogramowanie zabezpieczające z funkcjami antyphishingowymi oraz ochroną bankowości internetowej i transakcji płatniczych.

Kamil Sadkowski, starszy specjalista ds. cyberbezpieczeństwa ESET