Představte si situaci: zvoní vám telefon a na druhé straně se ozve zdvořilý hlas bankovního úředníka. Tvrdí, že s vaší kartou je problém, a srozumitelně vás navádí, jak situaci zachránit. Než hovor skončí, máte na své jméno sjednanou nechtěnou půjčku a z účtu vám mizí peníze. Bezpečnostní experti ze společnosti Group-IB (group-ib.com) odhalili nový, mimořádně nebezpečný způsob bankovního podvodu, který se šíří napříč střední Evropou – včetně České republiky a Slovenska.
Dosavadní triky útočníků spoléhaly na to, že oběť přimějí k vyzrazení hesel nebo k manuálnímu převodu peněz. Nová metoda využívající škodlivý kód WindRelay v kombinaci s virem SpyNote jde ale mnohem dál. Útočníci při ní spojují živý manipulativní telefonát se vzdáleným přístupem do telefonu a technologií bezkontaktních plateb (NFC).
Podvod je mimořádně rychlý a obvykle zabere pouhých 13 minut. Falešný bankéř přiměje oběť stáhnout si aplikaci. Aby rozptýlil jakékoliv podezření, aplikace nese přímo jméno volaného. Člověk tak snadno uvěří, že jde o oficiální a bezpečný nástroj. Nainstalovaná aplikace (SpyNote) předá útočníkovi plnou kontrolu nad telefonem. Ten pak na pozadí a bez vědomí majitele sám nainstaluje druhý, specializovaný virus (WindRelay). Zatímco je oběť stále na drátě a pod psychologickým tlakem, podvodník přes ovládnuté mobilní bankovnictví sjedná na její jméno rychlou půjčku. Následně útočník vyzve oběť, aby „ověřila“ svou kartu přiložením k telefonu. V tu chvíli virus přečte čip karty a přes internet v reálném čase přenese její data podvodníkovi, který stojí u bankomatu nebo platebního terminálu o stovky kilometrů dál. Útočník tak okamžitě vybírá hotovost nebo platí v obchodě, jako by vaši kartu držel fyzicky v ruce.
Jak se chránit?
Stejně jako u dalších podobných podvodů stačí dodržovat pár jednoduchých zásad.
- Banka nevolá s požadavkem na instalaci. Pokud vás někdo po telefonu vyzývá ke stažení jakéhokoliv programu, hovor ihned zavěste.
- Karty k telefonu nepřikládejte na pokyn Fyzickou kartu přikládejte k telefonu výhradně při placení přes oficiální peněženky (Google Pay, Apple Pay). Nikdy ne na pokyn neznámého volajícího.
- Podezření ihned ověřte. V případě pochybností sami zavolejte na oficiální infolinku své banky.
