Spoofing

Prostym językiem

Spoofing oznacza udawanie kogoś lub czegoś, komu odbiorca ufa. Oszust może sprawić, że na telefonie wyświetli się numer banku, w skrzynce pojawi się e-mail wyglądający jak od znanej firmy, SMS będzie miał nazwę znanego nadawcy, a link poprowadzi do strony podobnej do prawdziwego serwisu. Celem jest przekonanie użytkownika, że kontakt jest bezpieczny. Potem przestępca próbuje wyłudzić login, hasło, dane karty, kod BLIK, kod SMS, przelew, instalację aplikacji zdalnego pulpitu albo zatwierdzenie operacji w bankowości elektronicznej. Najważniejsza zasada: wygląd numeru, logo, nazwy nadawcy lub strony nie wystarcza do potwierdzenia autentyczności.

Dla dziecka

Wyobraź sobie, że ktoś zakłada strój kuriera i mówi, że przyniósł paczkę, ale tak naprawdę chce wejść do domu. W internecie i przez telefon oszuści robią podobnie: udają bank, sklep, urząd, policję albo znajomego. Mogą nawet sprawić, że na ekranie telefonu pojawi się znajomy numer. Dlatego nie wolno ufać tylko temu, co widać na ekranie. Trzeba sprawdzić sprawę inną drogą, na przykład samodzielnie dzwoniąc na oficjalny numer albo prosząc dorosłego o pomóc.

Dla zaawansowanych

Spoofing jest kategorią technik polegających na fałszowaniu tożsamości nadawcy, źródła komunikacji lub identyfikatora technicznego w celu uzyskania zaufania, obejścia kontroli lub przeprowadzenia ataku socjotechnicznego. W praktyce obejmuje między innymi CLI spoofing, czyli podmianę prezentowanego numeru telefonu, e-mail spoofing przez manipulację polami nagłówków i domeną nadawcy, website spoofing z użyciem podobnych domen oraz certyfikatów TLS, SMS sender spoofing, QR spoofing, DNS spoofing, ARP spoofing i podszywanie się w komunikatorach. W finansach detalicznych pełni często rolę wzmacniacza phishingu, smishingu i vishingu: ofiara widzi znany numer, markę, adres albo kontekst, więc łatwiej zatwierdza przelew, podaje kod BLIK, dane karty, kod jednorazowy, instaluje zdalny pulpit albo akceptuje nowego odbiorcę. Ochrona wymaga podejścia warstwowego: edukacji użytkownika, SPF/DKIM/DMARC w poczcie, filtracji wiadomości, blokowania nadużyć telekomunikacyjnych, monitoringu anomalii transakcyjnych, limitów płatności, silnego uwierzytelniania, potwierdzania dyspozycji innym kanałem i szybkiej reakcji incydentowej.

Przykład z życia

Piotr odbiera telefon. Na ekranie widzi numer infolinii swojego banku, więc początkowo ufa rozmówcy. Osoba po drugiej stronie mówi, że ktoś próbuje ukraść jego pieniądze i trzeba natychmiast przenieść środki na bezpieczne konto. Prosi też o potwierdzenie operacji w aplikacji. Piotr zauważa czerwone flagi: presję czasu, tajemnicę i prośbę o przelew. Przerywa rozmowę, nie używa numeru z historii połączeń, tylko samodzielnie wpisuje oficjalny numer banku ze strony internetowej i dzwoni ponownie. Konsultant potwierdza, że bank nie prowadził takiej rozmowy. Dzięki temu Piotr nie zatwierdza przelewu przygotowanego przez oszusta.

Najczęstsze błędy

1. Ufanie połączeniu tylko dlatego, że na ekranie widać numer banku, urzędu, policji albo znajomego.
2. Oddzwanianie na numer z podejrzanego połączenia zamiast samodzielnego wybrania oficjalnego numeru instytucji.
3. Podawanie loginu, hasła, kodu SMS, kodu BLIK, danych karty lub danych osobowych osobie, która sama zadzwoniła lub napisała.
4. Zatwierdzanie operacji w aplikacji bankowej bez dokładnego przeczytania kwoty, odbiorcy i celu autoryzacji.
5. Instalowanie aplikacji do zdalnego pulpitu na prośbę rzekomego pracownika banku, brokera, policjanta albo konsultanta technicznego.
6. Uznawanie logo, nazwy nadawcy, stopki e-maila lub podobnej domeny za dowód prawdziwości wiadomości.
7. Klikanie w link z e-maila albo SMS-a i logowanie się na stronie podobnej do prawdziwej.
8. Działanie pod presją słów: „natychmiast”, „ostatnia szansa”, „konto jest zagrożone” albo „proszę nikomu nie mówić”.
9. Przekazywanie kodu BLIK osobie piszącej z konta znajomego bez potwierdzenia innym kanałem.
10. Brak limitów przelewów, płatności kartą i transakcji mobilnych.
11. Korzystanie z tego samego hasła w wielu usługach, co ułatwia przejęcie kolejnych kont.
12. Zbyt późny kontakt z bankiem po rozmowie, kliknięciu linku, podaniu danych lub zatwierdzeniu podejrzanej operacji.
13. Brak zgłoszenia incydentu, przez co oszuści mogą dalej wykorzystywać ten sam numer, domenę lub scenariusz.
14. Zakładanie, że problem dotyczy tylko osób starszych lub mniej technicznych.
15. W firmie: akceptowanie zmiany numeru rachunku kontrahenta bez niezależnego potwierdzenia innym kanałem.

Najważniejsze wnioski

Spoofing polega na podszywaniu się pod zaufaną tożsamość, dlatego sam wyświetlany numer, nazwa nadawcy, logo, certyfikat lub wygląd strony nie wystarczają do potwierdzenia bezpieczeństwa.
W finansach często łączy się z phishingiem, smishingiem i vishingiem.
Najbezpieczniej przerwać podejrzany kontakt i samodzielnie skontaktować się z instytucją przez oficjalny numer, aplikację lub adres wpisany ręcznie.
Nigdy nie należy podawać haseł, kodów BLIK, kodów SMS ani instalować zdalnego pulpitu na prośbę osoby dzwoniącej.
W firmach potrzebne są procedury potwierdzania zmian rachunku i dyspozycji płatniczych drugim kanałem.
Po podejrzeniu oszustwa trzeba szybko skontaktować się z bankiem, zablokować kartę lub rachunek, zmienić hasła, sprawdzić historię operacji i zgłosić incydent.

Pytania i odpowiedzi

P: Co to jest spoofing?
O: To podszywanie się pod inną osobę, firmę, instytucję, numer telefonu, adres e-mail, stronę lub techniczny identyfikator w celu wzbudzenia zaufania i przeprowadzenia oszustwa.

P: Czy oszust może zadzwonić z numeru mojego banku?
O: Może sprawić, że taki numer wyświetli się na ekranie telefonu. Dlatego numer widoczny przy połączeniu nie jest wystarczającym dowodem, że naprawdę dzwoni bank.

P: Czym spoofing różni się od phishingu?
O: Phishing to wyłudzanie danych lub pieniędzy przez fałszywą komunikację. Spoofing jest techniką podszycia się, która często pomaga taki atak uwiarygodnić.

P: Czym jest spoofing telefoniczny?
O: To podmiana numeru wyświetlanego przy połączeniu. Oszust może udawać infolinię banku, policję, urząd, członka rodziny albo znaną firmę.

P: Czy e-mail od znanej firmy może być sfałszowany?
O: Tak. Nazwa nadawcy, logo i stopka mogą być podrobione. Warto sprawdzać domenę, linki, załączniki, treść żądania i nietypowe elementy wiadomości.

P: Co zrobić, gdy dzwoni ktoś z banku i mówi, że pieniądze są zagrożone?
O: Nie podawaj danych i nie zatwierdzaj operacji. Rozłącz się, odczekaj chwilę i zadzwoń samodzielnie na oficjalny numer banku albo użyj bezpiecznego kontaktu w aplikacji bankowej.

P: Czy policja albo bank proszą o przelew na bezpieczne konto?
O: Taki scenariusz jest typowy dla oszustw. Nie należy przelewać pieniędzy na wskazane konto ani instalować aplikacji do zdalnego pulpitu na prośbę rozmówcy.

P: Co zrobić po podaniu kodu BLIK lub zatwierdzeniu przelewu?
O: Natychmiast skontaktuj się z bankiem, spróbuj zablokować transakcję, zabezpiecz konto, zmień hasła, zachowaj dowody i zgłoś sprawę odpowiednim służbom.

P: Czy można całkowicie rozpoznać oszusta po numerze telefonu?
O: Nie. Numer może być podmieniony, dlatego ważniejsza jest treść rozmowy, żądania rozmówcy i samodzielna weryfikacja oficjalnym kanałem.

P: Co to jest e-mail spoofing?
O: To sfałszowanie nadawcy lub domeny w wiadomości e-mail tak, aby wyglądała jak wysłana przez zaufaną firmę, urząd, bank albo kontrahenta.

P: Co to jest website spoofing?
O: To przygotowanie strony podobnej do prawdziwego serwisu, często z podobną domeną, logo i formularzem logowania, aby przejąć dane użytkownika.

P: Jak chronić firmę przed takim podszywaniem się?
O: Pomagają procedury potwierdzania płatności, zasada dwóch osób przy zmianie numeru rachunku, szkolenia pracowników, ochrona poczty, limity przelewów i oddzielny kanał weryfikacji dyspozycji.

P: Gdzie zgłosić podejrzaną wiadomość lub stronę?
O: Podejrzane wiadomości i strony można zgłaszać do CERT Polska, banku, operatora usługi, a w przypadku strat finansowych także policji.

P: Czy nowe przepisy i rozwiązania operatorów usuwają problem?
O: Mogą ograniczać część nadużyć, zwłaszcza w telekomunikacji, ale nie zastępują ostrożności użytkownika. Oszuści nadal mogą używać innych kanałów i scenariuszy.

P: Jak sprawdzić, czy kontakt jest prawdziwy?
O: Nie korzystaj z linku ani numeru podanego w podejrzanej wiadomości. Samodzielnie otwórz aplikację, wpisz adres strony ręcznie albo użyj numeru z oficjalnej strony lub karty płatniczej.

Źródła

Źródło: Gov.pl, Czym jest spoofing? Jak go rozpoznać i nie dać się nabrać — https://www.gov.pl/web/baza-wiedzy/czym-jest-spoofing-jak-go-rozpoznac-i-nie-dac-się-nabrac
Źródło: Gov.pl, komunikat w sprawie zwalczania CLI spoofing — https://www.gov.pl/web/baza-wiedzy/komunikat-w-sprawie-zwalczania-cli-spoofing
Źródło: UKE, Ustawa o zwalczaniu nadużyć w komunikacji elektronicznej — https://cik.uke.gov.pl/news/ustawa-o-zwalczaniu-naduzyc-w-komunikacji-elektronicznej,358.html
Źródło: BIP UKE, rekomendacje Prezesa UKE dotyczące CLI spoofing — https://bip.uke.gov.pl/bezpieczeństwo/rekomendacje-prezesa-uke-dotyczace-cli-spoofing,23.html
Źródło: CERT Polska, ustawa o zwalczaniu nadużyć w komunikacji elektronicznej — https://cert.pl/posts/2023/09/uznke/
Źródło: CERT Polska, fałszywi konsultanci — https://cert.pl/baza-wiedzy/falszywi-konsultanci/
Źródło: CERT Polska, ataki socjotechniczne i fałszowanie numeru telefonu — https://cert.pl/posts/2023/02/scam-anydesk/
Źródło: KNF, Vishing, schemat oszustwa z wykorzystaniem podszywania się — https://www.knf.gov.pl/dla_konsumenta/kampanie_informacyjne/cyberoszustwa_inwestycyjne/schematy_oszustw/vishing
Źródło: KNF/CEBRF, Voice phishing, pełny schemat oszustwa — https://cebrf.knf.gov.pl/voice-phishing
Źródło: Centralne Biuro Zwalczania Cyberprzestępczości, spoofing czyli podszywanie się pod inny numer telefonu — https://cbzc.policja.gov.pl/bzc/aktualnosci/242,Spoofing-czyli-podszywanie-się-pod-inny-numer-telefonu-Jak-się-bronic.html
Źródło: Internetowy System Aktów Prawnych, ustawa o zwalczaniu nadużyć w komunikacji elektronicznej — https://isap.sejm.gov.pl/isap.nsf/DocDetails.xsp?id=WDU20230001703