Jak chcieli mnie zrobić na kasę i oczyścić moje konto.
Ku przestrodze.
Wczoraj dobrze zorganizowana grupa przestępcza chciała mnie przekręcić na pieniądze podszywając się pod dział cybersecurity mBanku.
Ale po kolei. W okolicach godziny 15 odebrałem telefon, gdzie rozmówca przedstawił się jako pracownik banku ING, który dzwoni do mnie w celu potwierdzenia złożenia przeze mnie wniosku na pożyczkę/kredyt w kwocie 6700 zł. Przedstawił się tak jak to zazwyczaj podczas rozmów z bankiem bywa – stanowiskiem, informacją o nagrywaniu rozmowy, itd. Zapytał, czy potwierdzam złożenie takiego wniosku kredytowego. Powiedziałem, że nic takiego nie składałem. Poinformował mnie, że ktoś musiał wejść w posiadanie moich danych osobowych i sprawę trzeba zgłosić do odpowiednich służb, a także poinformować inne banki, w których mam konta w celu uniknięcia potencjalnych dalszych prób wyłudzenia. Jako że byłem nieco zarobiony i skoncentrowany na innych zadaniach, nie wnikałem w dalsze szczegóły (tu mój błąd) i poinformowałem rozmówcę w jakim bankach mam jeszcze rachunki. Bez żadnych konkretów. Za chwilę przyszedł SMS identyfikujący się jako ING informujący o anulowaniu rzekomego wniosku kredytowego.
Zakończyliśmy rozmowę i dosłownie minutę później odbieram kolejny telefon. Tym razem odzywa się rozmówca, który przedstawia się jako przedstawiciel departamentu cyberbezpieczeństwa mBanku. W tym momencie zapaliła mi się pierwsza, ale jeszcze lekko tląca się lampka, że reakcja innego banku nastąpiła tak szybko.
Rozmówca rozpoczyna przeprowadzanie ze mną wywiadu, tłumacząc, że dostał zgłoszenie z ING o potencjalnym przejęciu moich danych, itd. Pyta o to czy zauważyłem jakieś niepokojące operacje na moich kontach, czy łączyłem się do publicznych sieci WiFi, uruchamiałem podejrzane pliki czy wchodziłem na podejrzane strony. W jaki sposób dokonuję płatności w Internecie, czy Blik (tu polecił to jako najbezpieczniejszą formę) czy też mam podpięty numer karty np. do serwisów streamingowych. Czy ktoś mógł mieć dostęp do mojego telefonu i komputera, itd. Generalnie raczej sensowne pytania teoretycznie mogące występować w takich sytuacjach. Na koniec padło pytanie czy ostatnio byłem w Krakowie i logowałem się na rachunek z tego miasta. Odpowiedziałem, że nie, a wtedy „pracownik” banku poinformował mnie, że na moim rachunku jest ślad takiego zdarzenia i w związku z tym przekazuje sprawę do swojego przełożonego, szefa jednostki bliżej badającej te sprawy i zajmującej się rozwiązywaniu takich problemów.
Przełączył mnie do tej osoby (kilka sekund czekałem na linii) i odezwał się kolejny osobnik. Ten po raz kolejny przeprowadził ze mną podobny wywiad dotyczący bezpieczeństwa i stwierdził, że moje konto musiało zostać „złamane”, a moje środki są w niebezpieczeństwie. Omówił całą procedurę wdrożenia planu zabezpieczenia środków (dość zawiły wywód), ale finalnie chodziło o to, że moje konto zostanie natychmiast zablokowane, podobnie jak karta kredytowa i dostęp do aplikacji. Po nową kartę mam się zgłosić do wybranej placówki, natomiast abym miał dostęp do swoich środków zostanie otwarte dla mnie konto tymczasowe Platinium, gdzie w procesie specjalnej procedury w 10 transzach zostaną przetransferowane środki z mojego „niebiezpiecznego” konta. Dlatego w 10 transzach, bo w czasie tej procedury bank może śledzić ścieżkę tych funduszy i gdyby ktoś chciał przechwycić moje fundusze, bo będą mogli zlokalizować intruza. Jako, że jestem mocno wyczulony na kwestie bezpieczeństwa, tutaj już mi się zapaliła lampka, że dość dziwnie to wszystko wygląda. W międzyczasie przyszły sms-y identyfikowane jako mBank o tym, że aplikacja mobilna działa w ograniczonym trybie i przyszedł rachunek rzeczonego nowego konta.
Rozmówca oświadczył, że przełączy mnie na automatyczną linię, gdzie zdefiniuję sobie w sposób bezpieczny pin do nowego rachunku, a dodatkowo będę musiał zmienić logowanie do swojego maila, bo tam podeślą dane do autoryzacji nowego rachunku.
To już dla mnie było na tyle podejrzane, że zapytałem o nazwisko i imię rozmówcy i poprosiłem go o autoryzację za pośrednictwem aplikacji mobilnej. Oświadczył, że te autoryzacje odbywają się u nich sms-owo, bo przecież nie każdy korzysta z aplikacji mobilnej. Wskazał na stronę mBank, gdzie znajduje się lista uprawnionych pracowników w pliku PDF i tam mogę sprawdzić, czy jest jego nazwisko. Przyznam, że ktoś, kto jest w toku takiej dyskusji może się na to zrobić. Sprawdzi nazwisko i faktycznie tam będzie, a nie wpadnie na to, że przecież nie wie z kim rozmawia. Niezły trik psychologiczny.
Natomiast ja się na to nie zgodziłem i poinformowałem rozmówcę, że w takim razie zadzwonię do mBanku sprawdzić czy faktycznie tam pracuje i czy ze strony banku zainicjowany był kontakt. Wprost powiedziałem, że nie wiem z kim rozmawiam i nie mam pewności czy to nie jakiś przekręt. Wtedy powiedział, że oczywiście mogę zadzwonić, lecz infolinia nie ma takich informacji i skieruje moją prośbę o odpowiedź na to pytanie dalej, co sprawi, że mój wniosek trafi na koniec kolejki do wykonania tej procedury bezpieczeństwa i w tym czasie włamywacz może oczyścić moje konto. Podkreślił, że przerwanie tego procesu teraz będzie oznaczało, że moje środki nie będą ubezpieczone i potencjalnie mogę je stracić. Odpowiedziałem, że to bzdura i że dzwonie do banku w celu weryfikacji.
Tak też się stało i z rozmowy z pracownikiem banku dowiedziałem się, że takie przypadki są masowe. Zweryfikowaliśmy, że nie przekazałem żadnych istotnych wrażliwych danych i zakończyliśmy temat.
Powiem Wam, że całość była całkiem sprawnie przeprowadzona. Kilka elementów zapaliło jednak moje lampki (stopniowo od lekkiego żarzenia do finału):
-Szybkość z jaką fałszywy „mBank” zareagował na rzekome zgłoszenie naruszenia moich danych przekazane przez ING
-SMS-y, a właściwie ich pisownia. Jako były dziennikarz z 10-letnim stażem i prowadzący agencję komunikacji mam wyczulenie na precyzję pisowni.Jeden SMS przyszedł z identyfikacją mBank, drugi mbank. To nie powinno się zdarzyć. Każde korpo ma fioła na punkcie „właściwej” pisowni. Pierdoła, ale od razu to zobaczyłem.
-Kolejna rzeczy to już ta sama procedura z przelewaniem mojej kasy i definiowaniem telekodu. To już był grubszy alert.
-Następnie opowieść o tym, że gdy się rozłączę i nie zgodzę na procedurę mogę stracić pieniądze i bank nie będzie za nie odpowiadał. Takie rzeczy się nie dzieją.
Poza tym całkiem sprawna akcja, myślę, że dla wielu osób na tyle wiarygodna, że szczególnie w wirze codziennych zadań można się na nią złapać.
Ostrzegam Was przed podobnymi sytuacjami. Lepiej być 2x za bardzo wyczulonym niż dać się przekręcić.