Od kilku miesięcy co jakiś czas do naszej redakcji zgłaszały się osoby, które twierdziły, że ktoś chce je oszukać. Bo dostały niespodziewany przelew BLIK-iem na swój numer telefonu a chwilę później odebrały SMS-a lub telefon z prośbą o zwrot tego przelewu. Za każdym razem okazywało się jednak, że to nie próba oszustwa, a zwykła pomyłka — nadawca zrobił “literówkę” w numerze telefonu.
Nikogo, kto przez chwilę się zastanowi nad tym rzekomym scenariuszem ataku, nie powinno dziwić, że to nie oszustwo. Bo ekonomicznie tego typu atak po prostu nie ma żadnego sensu:
- złodziejom niczego nie daje taki dodatkowy “hop” przez przypadkową osobę — po co ktoś miałby wysyłać pieniądze na Twój numer telefonu Ciebie, skoro może to od razu zrobić na numer docelowy? Organy ścigania i tak zawsze poznają zarówno pierwotne źródło i docelowy numer. Nawet jak kasa przejdzie przez 50 pośredników.
- a wręcz jest to dla nich dodatkowe ryzyko — bo możesz sobie te niespodziewane pieniądze przywłaszczyć, nie odeślesz ich.
Niektórzy spekulowali, że atak mógłby mieć na celu pozyskanie informacji (imię i nazwisko) “ofiary”, bo jeśli uda się ją przekonać do zwrotu, to nadawca może te informacje odczytać z opisu przelewu. Tylko i z tą teorią są dwa problemy:
- Jest wiele, zdecydowanie prostszych, szybszych i tańszych sposobów na ustalenia nazwiska użytkownika danego numeru telefonicznego (o wszystkich mówimy na naszych szkoleniach z OSINT-u)
- Sporo z “pomylonych” przelewów było na kwoty 1000+ i szczerze wątpimy, że z powodów, które wymieniliśmy wyżej, ktoś ryzykowałby stratę takich pieniędzy tylko po to, aby ustalić w taki sposób czyjeś nazwisko, zwłaszcza że jeśli obdarowany zgłosi niespodziewany przelew do swojego banku, to ten zwróci pieniądze nadawcy bez ujawniania danych odbiorcy.
Skąd się wzięła ta plotka
Ostrzeżenia przed “niespodziewanymi przelewami BLIK” co jakiś czas pojawiają się w mediach społecznościowych i niosą się viralem. Popatrzcie tylko, jak komentujący w tym wątku przekonują, że to scam. Co więcej, przed oszustwem na “niespodziewanego BLIK-a” ostrzegano nawet na jednej z konferencji dot. cyberbezpieczeństwa. Komunikaty opublikowało też kilka poważniejszych organizacji.
Zakładamy, że ostrzegający mieli dobre intencje, więc nie będziemy tu palcami nikogo wytykać. Wierzymy, że chcieli szczerze ostrzec innych przed zagrożeniem. Ale ostrzegają przed atakiem, którego nie ma.
Skąd się wzięła ta plotka Nie wiemy. Ale wydaje nam się, że jest to efekt jakiegoś “głuchego telefonu” i osoby mieszają tę, niegroźną dla odbiorcy pomylonego przelewu sytuację, z innymi oszustwami, w którym ktoś faktycznie robi za “słupa” lub pojawia się motyw zwrotu.
Rzeczywiste oszustwo “na słupa” wygląda tak
- Ty kupujesz coś na aukcji, z ogłoszenia lub w sklepie internetowym.
- Sprzedawca prosi o płatność (np. BLIK-iem na numer telefonu XXX ale może to być też przelew tradycyjny)
- Wykonujesz przelew tradycyjny albo na numer telefonu XXX
- Nie otrzymujesz rzeczy za którą płaciłeś
- Idziesz na policję
- Policja ustala, że XXX należy do Jana Kowalskiego
- Jan Kowalski potwierdza, że otrzymał od Ciebie pieniądze, ale wskazuje — zgodnie z prawdą — że była to opłata za zamówienie Adama Nowaka, które wysłał Nowakowi do paczkomatu i przedstawia na to dowody
- Wychodzi na jaw, że opłaciłeś oszustowi zamówienie w sklepie Jana Kowalskiego, a Adam Nowak w rzeczywistości nie istnieje, oszust podał fałszywe dane osobowe, a opłacony przez Ciebie przedmiot odebrał w paczkomacie.
- Jedyny ślad jaki ma policja to IP (z VPN-a), lewy adres e-mail oszusta oraz ID Paczkomatu.
Tylko, jak widzicie, nie ma tu żadnego pomylonego przelewu ani prośby o zwrot. Prośba o zwrot pojawia się za to w jednym z wariantów tzw. return scamu:
- Złodziej przejmuje konto ofiary w serwisie internetowym.
- W imieniu ofiary zwraca się o zwrot np. kredytów/salda
- Prosi o zwrot inną metodą płatności niż ofiara dokonała zakupu/wpłaty.
- Jeśli sklep przystanie na zwrot, przekaże środki na konto kontrolowane przez złodzieja
Tylko, jak widzicie, tu znów nie ma niespodziewanego przelewu, a prośba o zwrot kierowana jest do serwisu.
Jest też wariant “piramidowy”. Kiedy ktoś przystępuje do schematu piramidy, oszuści proszą aby dokonał wpłaty, ale pieniądze te trafią do innego uczestnika piramidy, który otrzymuje je jako “zysk”. W tym oszustwie jedne osoby nieświadomie finansują inne. Ale przelewy są spodziewane.
Dostałem niespodziewany przelew — co robić, jak żyć?
W przypadku otrzymania niespodziewanego przelewu, który faktycznie jest pomyłką, rekomendujemy aby nie zwracać go samodzielnie, bezpośrednio, a uruchomić w swoim banku procedurę zwrotu przez bank. Zalety takiego podejścia są dwie:
- Nadawca przelewu po odesłaniu środków nie będzie znał Twoich danych, bo przelew dostanie z bankowego rachunku technicznego
- Łatwiej będzie wytłumaczyć sprawę urzędowi skarbowemu, w przypadku (małoprawdopodobnej) kontroli w przyszłości
W temacie tego nieistniejącego oszustwa na zwrot pomyłkowego przelewu nagraliśmy krótką rolkę. Za publikację niniejszego artykułu nie otrzymaliśmy żadnego wynagrodzenia, ale za przygotowanie rolki BLIK przesłał nam BLIK-a, więc oficjalnie należy ją traktować jako materiał sponsorowany Choć tak naprawdę ta współpraca z Blikiem jedynie zmotywowała nas do publikacji, którą szykowaliśmy już od dawna.
