Podróbka mObywatela atakuje SMS-em. Na czym polega nowe oszustwo i jak się chronić?

Oszuści nieustannie udoskonalają metody wyłudzania danych, a najnowsza kampania wymierzona w użytkowników aplikacji mObywatel pokazuje, jak precyzyjnie potrafią podszyć się pod instytucję państwową. Redakcja Sekurak opisuje mechanizm ataku, w którym fałszywa wiadomość SMS pojawia się w tym samym wątku, co autentyczne wiadomości z aplikacji rządowej. To powoduje, że nawet uważny użytkownik może dać się nabrać.

Jak działa oszustwo na mObywatela?

Atak rozpoczyna się od SMS-a, którego nadawca widnieje jako „mObywatel”. To kluczowy element – oszuści fałszują nazwę nadawcy, co w wielu telefonach powoduje, że wiadomość trafia do istniejącego już wątku z prawdziwymi SMS-ami z tej aplikacji. W treści znajduje się informacja o rzekomym mandacie i link do strony, na której można go podobno sprawdzić i opłacić.

Po kliknięciu w link użytkownik trafia na fałszywą witrynę. Wpisanie dowolnej tablicy rejestracyjnej skutkuje komunikatem, że mandat istnieje i czeka do zapłaty. Kolejny krok to formularz, w którym ofiara ma podać dane swojej karty płatniczej. Wszystkie te czynności odbywają się na stronie kontrolowanej przez przestępców – jej adres widoczny jest w SMS-ie, ale łatwo go przeoczyć, zwłaszcza gdy telefon automatycznie wyświetli podgląd strony.

Dlaczego to zagrożenie jest szczególnie groźne?

Skuteczność kampanii opiera się na dwóch elementach. Po pierwsze, fałszowanie nazwy nadawcy SMS-a jest technicznie proste i możliwe praktycznie dla każdego, kto ma dostęp do odpowiedniego oprogramowania lub usług. Operatorzy komórkowi wciąż nie filtrują takich nadużyć wystarczająco. Po drugie, telefon łączy fałszywe wiadomości z prawdziwymi w tym samym wątku. Dla użytkownika wygląda to tak, jakby urząd skarbowy lub ministerstwo wysłało kolejny komunikat – nie ma żadnej wizualnej różnicy między autentyczną a sfałszowaną wiadomością.

Ofiara, która poda dane karty, pozwala przestępcom na natychmiastowe wyczyszczenie konta. Jak podkreślają autorzy wpisu – celem jest właśnie wyłudzenie danych płatniczych, a nie samo zalogowanie się do banku.

Jak się bronić przed tym atakiem?

Podstawowa zasada bezpieczeństwa to nigdy nie klikać w linki z SMS-ów dotyczących płatności czy mandatów, zwłaszcza gdy wiadomość przyszła niespodziewanie. Do sprawdzenia mandatu należy używać wyłącznie oficjalnej aplikacji mObywatel lub strony rządowej, którą samodzielnie wpiszemy w przeglądarkę. Nie można ufać temu, że telefon połączył wiadomości w jeden wątek – to tylko cecha działania systemu, a nie dowód autentyczności.

Należy też pamiętać, że w Polsce urzędy nie wysyłają SMS-ów z linkami do płatności ani nie proszą o podanie danych karty po kliknięciu w link. Każda taka prośba powinna natychmiast wzbudzić czujność. Bezpieczniej jest samodzielnie zalogować się do banku lub sprawdzić e-Urząd Skarbowy, niż ufać wiadomości – nawet jeśli wygląda wiarygodnie.

Co robić w przypadku podejrzenia oszustwa?

Jeśli ktoś otrzymał podobnego SMS-a, najlepiej go usunąć i zablokować nadawcę. Można również zgłosić incydent do CERT Polska – zespołu reagującego na zagrożenia w sieci. W przypadku podania danych karty należy niezwłocznie skontaktować się z bankiem i zablokować możliwość transakcji. Szybka reakcja minimalizuje straty.

Dobrze jest również włączyć w telefonie opcję wyświetlania podglądu linków przed kliknięciem (jeśli to możliwe) i regularnie sprawdzać, jakie aplikacje mają dostęp do naszych wiadomości. Edukacja własna i bliskich – zwłaszcza osób starszych – to najskuteczniejsza ochrona przed tego typu atakami.