Phishing přes sociální sítě

Jsou to například Facebook, Instagram, LinkedIn, Messenger, WhatsApp nebo seznamovací aplikace, a snaží se ji přimět k:

• poskytnutí přihlašovacích údajů,

• sdělení autorizačního kódu z SMS,

• zadání údajů o platební kartě,

• převodu finančních prostředků,

• stažení škodlivé aplikace,

• zapojení do podvodného investičního projektu,

• převzetí účtu a jeho dalšímu zneužití.

Často jde o kombinaci útoku s cílem finančního zisku a útoku s cílem infiltrovat další účty za účelem šíření podvodného schématu.

V čem spočívá nebezpečnost

Na rozdíl od e-mailového phishingu je tento typ útoku více personalizovaný a využívá prostředí, ve kterém uživatelé komunikují méně formálně a s vyšší mírou důvěry.

• Zneužití osobních vazeb – útok často přichází z účtu známé osoby.

• Rychlost šíření – kompromitovaný účet rozesílá podvodné zprávy dalším kontaktům, přičemž na zprávy na sociálních sítích reagujeme zpravidla rychleji.

• Snadná manipulace přes soukromé zprávy – komunikace probíhá v reálném čase.

• Obtížnější rozpoznání – zprávy často nepůsobí jako „oficiální podvod“.

• Sekundární útoky – po převzetí účtu může dojít k vydírání či dalším podvodům.

Z jakých účtů mohou pachatelé útočit

• Zcela náhodný účet – je dobré si uvědomit, že útočník si na sociální síti může založit účet dle libosti. Může si zvolit vzhled, pohlaví, věk, národnost apod. Navíc může být identita dnes plně vytvořena pomocí umělé inteligence. Platí, že na sociálních sítích si prakticky nikdy nemůžete být jisti, s kým si právě píšete nebo kdo vaši konverzaci v budoucnu uvidí.

• Účet, který se tváří jako účet vašeho přítele ze seznamu přátel – je to jednoduché. Útočník si z vašeho veřejného seznamu přátel vybere jeden kontakt a zduplikuje ho. To znamená, že využije jeho profilovou fotografii a jméno a bude spoléhat na vaši nižší ostražitost, že si ho přidáte do přátel. Navíc vás může kontaktovat i mimo tento seznam.

• Kompromitovaný zavedený účet – jedná se o nejnebezpečnější variantu. Komunikujete totiž s reálným účtem, takže nemusíte podvod ihned odhalit. Útočník si navíc může nastudovat vaši předchozí komunikaci a plynule na ni navázat, což je velmi nebezpečné.

Užívané manipulativní techniky v rámci phishingu přes sociální sítě

Phishing na sociálních sítích je postaven primárně na sociálním inženýrství, zejména na následujících principech:

• Zneužití důvěry – útočník se vydává za přítele z kontaktů nebo převezme účet známé osoby a osloví její kontakty. Například: „Prosím, hlasuj pro mě.“, „Pošlu ti odkaz, můžeš mi pomoci?“, „Mami, rozbil se mi telefon, potřebuji ihned peníze na nový!“, „Pošli mi prosím 40 Kč, zítra ti to vrátím.“, „Jak se vlastně jmenovala tvá máma za svobodna?“ Důvěra v konkrétní osobu snižuje ostražitost.

• Zvědavost – cílem je přimět oběť kliknout na odkaz bez rozmyslu. Například: „Jsi to ty na tomto videu?“, „Viděl jsi, co o tobě napsali?“

• Vidina výhry nebo zisku – například: „Vyhrál/a jste telefon.“, „Mám investiční příležitost jen pro tebe.“

• Zneužití autority – falešná podpora služby; útočník se vydává za technickou podporu platformy.

• Postupné budování vztahu – u některých útoků, zejména investičních nebo romantických podvodů, probíhá delší komunikace před samotným podvodem.

• Naléhavost – například: „Pošli mi kód hned, jinak přijdu o účet.“, „Platnost hlasování končí dnes.“

• Neopatrnost – do přátel si přidáváte osoby jen podle toho, že útočník použije stejné jméno a profilovou fotografii již přidaného přítele.

Scénáře útoku a legendy

Oslovení od domnělého přítele na sociální síti

Útočník tvrdí, že si potřebuje rychle půjčit peníze, a žádá jejich zaslání na určitý bankovní účet. Případně vás útočník, vydávající se za kamaráda nebo dokonce člena rodiny, odkáže na využití platební brány pro zaslání menší částky. Jedná se však o podvodnou platební bránu, prostřednictvím které z vás pachatel získá citlivé bankovní nebo karetní informace.

Podvodné mobilní platby

Osloví vás domnělý přítel na sociální síti s tím, že potřebuje vaše telefonní číslo. Následně se vás zeptá, zda si k vám může na telefon poslat nějaký kód. V případě, že mu tento kód vyzradíte, můžete přijít o peníze, což zjistíte až při vyúčtování mobilních služeb. Když vám operátor zároveň s kódem píše, že ho nemáte nikomu sdělovat, tak to nedělejte.

Romantický podvod

Kontaktuje vás atraktivní osoba, často například vojenský lékař na misi, a postupně s vámi buduje vztah. Když vycítí citové pouto, přicházejí různé žádosti o peníze, například na vyplacení u OSN nebo na zaplacení nákladů na zaslání balíku. Více viz romantické podvody.

Falešně odkázané peníze

Osloví vás údajně umírající osoba s tím, že vám chce odkázat všechny své peníze. Více viz podvody se slibovanou zásilkou.

Investiční podvod (shazhu pan)

Z policejní praxe platí: seznamka + investice = podvod. Jedná se o nastupující trend, který spočívá v tom, že s vámi někdo, koho jste nikdy neviděli, postupně buduje důvěru. Jakmile ji získá, začne vám podsouvat, že by nebylo špatné investovat. Máme tendenci věřit doporučení od osob, kterým důvěřujeme. Takto vás na seznamce nebo přes sociální síť může oslovit například krásná Japonka nebo šarmantní Američan. Více viz podvody s legendou výhodné investice a romantické podvody.

Lákavá reklama na investiční příležitost

Sociální sítě jsou bohužel plné podvodných reklam, které lákají důvěřivé osoby ke kliknutí na odkaz a vyplnění zobrazeného formuláře. Následuje velké množství velmi manipulativních telefonátů ze strany podvodných investičních poradců. Reklamy jsou navíc doprovázeny deepfake videi známých osobností, falešnými reportážemi, fiktivními články důvěryhodných médií nebo záštitou prosperujících společností. Vše je pouze fikce s cílem vylákat z obětí maximum finančních prostředků. Více viz podvody s legendou výhodné investice.

Fiktivní článek s tragickou událostí a následná výzva k přihlášení

Často jde v tomto případě o schéma klasického phishingu, kdy se vás útočník snaží nalákat na obsah, který je podmíněn údajným opětovným přihlášením do profilu. Jenže jde o přihlášení do podvodné stránky a výsledkem je, že oběť vyzradí své přístupové údaje. Totéž platí například u různých soutěží nebo hlasování v anketách.

Jak nenaletět a co dělat v případě útoku

• Vždy je potřeba sledovat, zda komunikujete s reálným profilem svého přítele na sociální síti, a uvědomit si, že i když jde o oficiální reálný účet, nikdy zcela nevíte, kdo je právě na druhé straně nebo kdo si komunikaci případně v budoucnu přečte.

• Přes sociální sítě nesdílejte žádné citlivé informace, případně využijte alespoň mizející zprávy, pokud to platforma umožňuje.

• Vždy jednejte uváženě a s rozmyslem. Neukvapujte se a nenechte se ovládat případnou časovou tísní, zastrašováním nebo zvědavostí.

• Když si nejste jisti, s kým si píšete, nebo pozorujete nesrovnalosti, komunikaci raději ověřte jiným kanálem. Zároveň tak můžete varovat jiného uživatele, že má napadený účet.

• Nikdy nikomu nepřeposílejte jakékoliv kódy, které mohou vést k ovládnutí vašeho profilu.

• V případě, že zjistíte infiltraci svého účtu, přesvědčte se v nastavení a v sekci týkající se zabezpečení, zda není přidáno další pochybné zařízení. Případně ho odpojte a následně změňte přístupové údaje. Současně varujte své kontakty, že mohlo dojít k napadení vašeho účtu.

• Jakmile se na sociálních sítích setkáte s evidentně podvodným účtem nebo například podvodnou reklamou, proveďte nahlášení přímo prostřednictvím konkrétní platformy. Můžete tak ochránit další osoby.

• Dávejte si pozor na propagační soutěže, které vás tlačí k akci a slibují například zařazení do slosování. Takto můžete nevědomky propagovat podvodnou aktivitu, která zneužívá vaši důvěru mezi přáteli. Společnost například vůbec nemusí existovat a propagace hodnotné výhry od společnosti, která neexistuje, nedává smysl.

• Stejně jako u phishingu přes e-mailovou komunikaci sledujte, kam ve skutečnosti směřují odkazy, a případně na ně vůbec nereagujte.

• V případě, že to platforma umožňuje, omezte sdílení nadbytečných informací. Velmi nebezpečné je například sdílet seznam vašich přátel. Je to ideální zdroj informací pro přípravu útoku nebo argument v rámci případného vydírání. Například: „V případě, že nepošleš peníze, tak tvé nahé fotky nasdílím všem tvým přátelům.“

• V případě, že je to možné, zvolte pro každou sociální síť individuální silné heslo a nastavte vícefaktorové ověření. V případě vyzrazení přístupových údajů se může jednat o poslední záchranu.

• Jakmile zjistíte, že někdo vytvořil kopii vašeho profilu, okamžitě to platformě nahlaste, protože to může být příprava na potenciální útok. Pro větší účinek mohou totéž nahlásit i vaši přátelé.

• Pokud někdo infiltroval váš zabezpečený účet, může se jednat o protiprávní jednání, a věc proto nahlaste Policii České republiky. Nemažte žádné důkazy. Naopak se je pokuste zaznamenat.

• Pokud vyzradíte citlivé bankovní informace nebo dojde k převodu finančních prostředků, okamžitě kontaktujte svou banku. Následně kontaktujte Policii České republiky, a to bez mazání případných důkazů.