Fałszywe CAPTCHA wymuszają drogie SMS-y. Nowa metoda oszustw IRSF

Badacze bezpieczeństwa z Infoblox Threat Intel zidentyfikowali kampanię cyberprzestępczą, która przekształca rutynowy test CAPTCHA w maszynkę do zarabiania pieniędzy. Użytkownicy smartfonów, którzy chcą potwierdzić, że nie są botami, nieświadomie wysyłają drogie wiadomości SMS na zagraniczne numery. Każda taka wiadomość może kosztować od kilku do kilkunastu złotych, a oszuści otrzymują prowizję za każdy impuls w modelu International Revenue Share Fraud (IRSF).

Jak działa oszustwo z fałszywą CAPTCHA

Standardowy mechanizm CAPTCHA wymaga przepisania zniekształconych wyrazów lub zaznaczenia odpowiednich elementów graficznych. Cyberprzestępcy podszywają się pod legalne serwisy i prezentują użytkownikom pozornie zwykłe zadanie weryfikacyjne. Różnica polega na dodatkowym kroku: zamiast prostego kliknięcia w checkbox pojawia się opcja „Send SMS to confirm you are human”.

Po zaznaczeniu tego pola następuje przekierowanie do systemowej aplikacji SMS z uprzednio przygotowaną treścią oraz gotową listą adresatów. Wiadomość trafia na kilkanaście zagranicznych kontaktów z krajów znanych z wysokich stawek zakończenia połączenia, takich jak Azerbejdżan, Egipt czy Birma. Badacze zidentyfikowali około 37 numerów telefonów z 17 państw.

Oszuści stosują również technikę back button hijacking, która przejmuje przycisk wstecz w przeglądarce. Użytkownik, który zorientuje się, że trafił na phishingową stronę i spróbuje wrócić do poprzedniej witryny, ponownie zobaczy złośliwą treść zamiast bezpiecznej strony.

Model biznesowy oparty na prowizjach telekomunikacyjnych

Mechanizm IRSF wykorzystuje specyfikę rozliczeń międzynarodowych w telekomunikacji. Dzwoniąc do innego kraju, polski operator musi zapłacić operatorowi docelowemu za zakończenie połączenia. W niektórych regionach stawki te są bardzo wysokie i mogą wynosić kilka dolarów za minutę.

„Oszuści mają układ z międzynarodowymi operatorami i otrzymują prowizję za każdy impuls (sekundę połączenia lub wysłany SMS)” — wyjaśniają badacze z Infoblox.

Cyberprzestępcy podpisują umowy z operatorami w krajach o wysokich stawkach i otrzymują określony procent od zysku za każde wygenerowane połączenie lub wiadomość. Pojedyncze obciążenie rachunku ofiary wynosi około 120 złotych, ale skala operacji obejmuje miliony potencjalnych celów na całym świecie.

Rozproszenie działań na wiele państw czyni wykrycie pełnej skali procederu przez pojedynczego operatora praktycznie niemożliwym. Każdy telekom widzi jedynie wycinek aktywności, co pozwala atakującym skutecznie operować pod radarem systemów antyfraudowych.

Zaawansowana infrastruktura dystrybucji ruchu

Cała operacja sterowana jest przez systemy dystrybucji ruchu (TDS), odpowiedzialne za filtrację użytkowników. Dzięki temu cyberprzestępcy precyzyjnie dobierają cele ataków, serwując złośliwą stronę CAPTCHA tylko rzeczywistym posiadaczom smartfonów. Badacze bezpieczeństwa i automatyczne skanery trafiają na niegroźną treść.

Infrastruktura może pozostać aktywna i niewykrywalna przez długie miesiące, a nawet lata. Cyberprzestępcy stosują tę metodę od 2020 roku, co potwierdza jej skuteczność i rentowność. Kampania ewoluowała przez lata, dostosowując się do zmieniających się mechanizmów ochronnych.

Jak rozpoznać fałszywą CAPTCHA

Kluczowa zasada brzmi: żaden legalny serwis internetowy nie wymaga wysyłania wiadomości SMS ani nawiązywania połączenia telefonicznego, aby udowodnić, że użytkownik jest człowiekiem. Standardowe mechanizmy CAPTCHA ograniczają się do zadań wizualnych lub logicznych wykonywanych bezpośrednio w przeglądarce.

Jeśli strona wymaga weryfikacji przez SMS, należy natychmiast przerwać aktywność i zamknąć kartę przeglądarki. Warto również zwrócić uwagę na adres URL — oszuści często używają domen podobnych do znanych serwisów, ale z drobnymi różnicami w pisowni.

Blokada SMS-ów typu premium nie chroni przed tym atakiem. Cyberprzestępcy nie korzystają z tradycyjnych numerów o podwyższonej opłacie, lecz z międzynarodowych numerów o wysokim koszcie zakończenia połączenia. Standardowe zabezpieczenia operatorów komórkowych nie wykrywają tego typu transakcji jako podejrzanych.

Co zrobić po wysłaniu wiadomości

Użytkownik, który zorientował się, że wysłał SMS-y na wskazane numery, powinien niezwłocznie skontaktować się z operatorem komórkowym i zgłosić incydent. Niektórzy operatorzy mogą anulować lub zmniejszyć naliczone opłaty, jeśli zgłoszenie nastąpi szybko.

Warto również sprawdzić szczegółowy wykaz połączeń i wiadomości w panelu klienta operatora, aby ocenić rzeczywistą skalę obciążenia rachunku. W przypadku znacznych strat finansowych można rozważyć zgłoszenie sprawy na policję lub do Urzędu Ochrony Konkurencji i Konsumentów.

Kampania IRSF z wykorzystaniem fałszywych mechanizmów CAPTCHA pokazuje, jak chwila nieuwagi może skutkować realnymi stratami finansowymi. Pośpiech i presja czasu to złe doradcy, zwłaszcza w kwestii bezpieczeństwa. Zawsze należy czytać prezentowane treści i weryfikować, czy żądania strony internetowej mają sens dla standardowych procedur bezpieczeństwa.