Acest mod de operare este utilizat tot mai frecvent de infractorii specializați în fraude informatice, care exploatează încrederea cetățenilor în instituțiile financiare și folosesc tehnici complexe de manipulare psihologică pentru a obține acces la conturile bancare ale victimelor.
Poliția Română semnalează că, spre deosebire de atacurile informatice clasice, în cadrul cărora infractorii încearcă să compromită sisteme informatice prin exploatarea unor vulnerabilități tehnice, fraudele de tip 'vishing' au la bază ingineria socială.
Autorii urmăresc manipularea comportamentului uman și determinarea victimei să furnizeze, de bunăvoie, informații confidențiale sau să autorizeze operațiuni care permit compromiterea securității conturilor financiare.
Din acest motiv, factorul uman reprezintă una dintre principalele ținte ale criminalității informatice moderne, iar succesul acestor fraude este determinat în primul rând de capacitatea infractorilor de a crea aparența unei situații reale și urgente.
În majoritatea situațiilor identificate, persoanele vătămate sunt contactate telefonic de indivizi care pretind că sunt angajați ai unei instituții financiare, instituții bancare, departament de securitate, companii de procesare a plăților sau chiar ai unor autorități publice.
De regulă, convorbirile sunt purtate într-o manieră profesionistă, într-o limbă de circulație internațională, cel mai frecvent în limba engleză, însă există și situații în care acestea sunt desfășurate în limba română. Autorii utilizează un limbaj specific domeniului financiar, cunosc terminologia bancară și urmăresc să creeze impresia că desfășoară o verificare de rutină sau gestionează un incident de securitate.
Pentru a conferi credibilitate apelului, infractorii afirmă că au identificat tranzacții suspecte, tentative de autentificare din alte state, modificări neautorizate ale datelor contului, încercări de asociere a unui nou dispozitiv ori presupuse atacuri cibernetice asupra contului victimei.
În alte situații, aceștia susțin că instituția financiară a blocat temporar anumite operațiuni și că este necesară confirmarea identității titularului pentru evitarea pierderii fondurilor.
Polițiștii spun că toate aceste scenarii sunt construite astfel încât să inducă panică și să determine victima să reacționeze instinctiv, fără a verifica autenticitatea informațiilor primite.
Analiza modului de operare evidențiază faptul că autorii folosesc frecvent tehnologia de falsificare a identității apelantului (Caller ID Spoofing), prin intermediul căreia numărul afișat pe telefonul victimei poate părea unul legitim sau chiar unul asociat unei instituții financiare.
În numeroase situații sunt utilizate numere de telefon din România sau din alte state membre ale Uniunii Europene, aspect care reduce gradul de suspiciune al persoanei contactate. În realitate, identitatea apelantului este mascată, iar convorbirile pot fi inițiate din orice colț al lumii prin intermediul unor servicii de telefonie prin internet (VoIP) sau al unor platforme specializate utilizate în scop infracțional.
'Avertizăm faptul că falsificarea identității apelantului a devenit unul dintre principalele instrumente utilizate de grupările infracționale pentru desfășurarea fraudelor bazate pe inginerie socială, fiind responsabilă anual de pierderi financiare semnificative la nivel internațional. În numeroase cazuri, autorii nu acționează individual, ci în echipe, fiecare participant având un rol bine definit. Unul dintre aceștia induce starea de panică, insistând asupra gravității situației și a riscului iminent de pierdere a banilor, în timp ce un alt membru al grupării adoptă o atitudine calmă și se prezintă drept specialist în securitate sau consultant care poate 'rezolva problema'. Această alternanță între presiune și aparentă asistență urmărește diminuarea capacității victimei de a analiza critic informațiile și creșterea nivelului de încredere acordat interlocutorilor', explică polițiștii.
Scopul final al acestor demersuri îl reprezintă obținerea unor elemente de securitate care permit accesarea conturilor financiare ale victimei. În funcție de scenariul utilizat, infractorii pot solicita comunicarea codurilor unice de autentificare primite prin SMS (OTP), a codurilor generate de aplicațiile de autentificare, a parolelor de acces, a codurilor PIN, a datelor cardurilor bancare, inclusiv a codului CVV/CVC, ori pot solicita aprobarea unor notificări primite în aplicațiile bancare.
În alte situații, aceștia conving victima să instaleze aplicații de acces la distanță pe telefonul mobil sau pe calculator, obținând astfel posibilitatea de a controla dispozitivul și de a efectua operațiuni financiare în numele acesteia.
În ultimul timp se observă și utilizarea unor metode din ce în ce mai sofisticate de legitimare a apelului. Unele victime primesc anterior un mesaj text care pare transmis de instituția financiară, fiind informate că vor fi contactate de un reprezentant al serviciului de securitate.
În alte situații, infractorii cunosc deja anumite date personale ale persoanei vizate, precum numele, adresa de e-mail, numărul de telefon sau informații obținute în urma unor breșe de securitate ori din surse publice. Comunicarea acestor date în timpul apelului urmărește consolidarea aparenței de legitimitate și determinarea victimei să creadă că discută cu un reprezentant autentic al instituției financiare.
'Astfel, atragem atenția că nicio instituție financiară legitimă nu solicită telefonic parole, coduri OTP, coduri PIN, date complete ale cardului bancar sau aprobarea unor tranzacții pentru 'protejarea' contului. De asemenea, reprezentanții legitimi ai instituțiilor financiare nu solicită instalarea unor aplicații de control la distanță și nu cer clienților să transfere fondurile în așa-zise 'conturi sigure', acestea reprezentând indicii clare ale unei tentative de fraudă', informează Poliția.
În context, polițiștii oferă o serie de recomandări oamenilor, pentru a nu cădea victime infractorilor informatici:
* nu comunicați niciodată prin telefon parole, coduri PIN, coduri OTP, coduri primite prin SMS sau alte date de autentificare;
* nu transmiteți datele complete ale cardului bancar și codul CVV/CVC;
* nu aprobați tranzacții sau notificări în aplicația bancară dacă nu le-ați inițiat personal;
* nu instalați aplicații de control la distanță la solicitarea unei persoane care vă contactează telefonic;
* întrerupeți apelul dacă interlocutorul exercită presiuni, solicită acțiuni urgente sau încearcă să vă împiedice să verificați informațiile;
* verificați întotdeauna autenticitatea solicitării contactând instituția financiară prin canalele oficiale de comunicare;
* activați notificările pentru tranzacții și mecanismele suplimentare de securitate disponibile în aplicațiile financiare;
* informați membrii familiei, în special persoanele vârstnice, cu privire la aceste metode de fraudă
SRI avertizează asupra unei noi metode de fraudă prin telefon
SRI avertizează asupra unei tentative de fraudă în care este falsificat numărul de telefon folosit de instituție pentru relația cu publicul și transmite ca cetățenii să nu ofere date personale și să nu facă transferuri de bani.
Serviciul Român de Informații (SRI) transmite într-un comunicat că au fost semnalate tentative de fraudă în cadrul cărora persoane necunoscute utilizează tehnici de falsificare a identității apelantului (spoofing) astfel încât pe ecranul telefonului apelatului să fie afișat numărul instituției dedicat relației cu publicul.
Mai departe, SRI explică faptul că în cadrul acestor apeluri frauduloase pot fi solicitate date cu caracter personal, informații bancare, coduri de autentificare, parole sau efectuarea unor transferuri de bani. De asemenea, subliniază că instituția nu solicită telefonic următoarele:
- date cu caracter personal sau privind cardurile ori conturile bancare;
- parole, coduri PIN, de autentificare ori primite prin SMS;
- efectuarea de plăți sau transferuri de bani.
Instituția recomandă cetățenilor ca în cazul în care primesc astfel de apeluri, să nu furnizeze nicio informație solicitată și să întrerupă convorbirea. În plus, precizează că pentru orice apel în care doriți să vă asigurați de confidențialitatea discuției si să confirmați fără dubiu identitatea interlocutorului, aplicați următorii pași:
- ÎNTRERUPEȚI APELUL IMEDIAT – Nu furnizați informații și nu continuați conversația dacă aveți cea mai mică suspiciune sau dacă vi se solicită date sensibile.
- REAPELAȚI MANUAL INTERLOCUTORUL – Tastați numărul de telefon cifră cu cifră (din agendă, de pe documente oficiale sau site-uri sigure).
“Deoarece platformele online de spoofing pot doar să imite un număr la inițierea apelului. În momentul în care dumneavoastră închideți și sunați înapoi în rețeaua clasică de telecomunicații, este imposibil să mai ajungeți la interlocutorul ilegitim. Apelul dumneavoastră va fi direcționat strict către posesorul real și legitim al acelui număr de telefon”, mai explică SRI.
Atacul de tip spoofing reprezintă o tehnică prin care atacatorii folosesc platforme software online pentru a imita numere reale de telefon. Astfel, pe ecranul telefonului poate apărea orice număr ales de aceștia, inclusiv al unei instituții, al unei companii sau al unei persoane.
Cele mai frecvente tipuri de fraudă
Metoda WhatsApp „Telefonul stricat” - presupune trimiterea unui mesaj de pe un număr necunoscut de către cineva care pretinde că este un membru al familiei și că și-a stricat telefonul. Victima este rugată să salveze noul număr și, sub presiunea urgenței, să trimită bani pe contul unui „prieten”, deoarece ruda respectivă nu mai are acces nici la propriul cont bancar. Totul se desfășoară prin mesaje scrise, fără apel vocal, tocmai pentru a evita recunoașterea vocii.
Metoda Vishing - oportunitate de investiții Hidroelectrica începe, de cele mai multe ori, după ce o persoană își introduce datele într-un formular online care promite câștiguri rapide. Ulterior, aceasta este contactată telefonic de așa-ziși „consultanți” care o conving să transfere bani pentru investiții fictive, iar sumele ajung direct în conturile atacatorilor.
Metoda BNR - începe cu un apel telefonic al cărui număr pare să provină chiar de la banca victimei, în care aceasta este anunțată că un credit a fost solicitat fraudulos în numele ei. Victima este transferată succesiv către un „ofițer bancar”, un „polițist” și un „reprezentant BNR”, fiecare confirmat de un număr de telefon falsificat prin spoofing. Sub presiunea urgenței, persoana vizată este convinsă să își mute economiile într-un cont pretins „sigur”, însă sumele ajung direct la escroci.
Metoda Creditul - schema complexă cu autorități este o variantă extinsă a spoofingului, în care victima este contactată simultan de reprezentanți falși ai băncii, poliției și BNR, care o conving că identitatea sa este folosită într-o fraudă activă. Escrocii trimit documente false de legitimație și acorduri de confidențialitate prin WhatsApp pentru a părea credibili, apoi îi cer victimei să contracteze ea însăși un credit și să depună suma la un bancomat de criptomonede, folosind coduri QR furnizate de ei. Conversația este ștearsă imediat după transferul banilor.
Metoda „Accidentul” - vocea clonată cu Inteligența Artificială presupune un apel telefonic în care escrocii folosesc inteligența artificială pentru a imita vocea unui membru al familiei, anunțând că a fost implicat într-un accident grav sau că se află în pericol legal iminent. Victima aude vocea familiară a copilului sau nepotului și, sub presiunea emoțională intensă, nu mai verifică identitatea apelantului.
Metoda „Nepotul la ananghie” - vocea clonată cu Inteligența Artificială funcționează identic cu metoda accidentul, dar vizează în special persoanele în vârstă, mizând pe relația bunici-nepoți. Escrocul, folosind o voce generată de AI, pretinde că a fost jefuit și că are nevoie urgentă de bani pentru a ajunge acasă. La fel ca și în cazul metodei clasice „Accidentul”, cel vizat nu mai verifică identitatea reală a celui care sună.
