Metod stosowanych obecnie w sieci do oszukiwania internautów zainteresowanych informacjami o koronawirusie jest co najmniej kilka. 10 marca br. CERT Polska - zespół ds. reagowania na zagrożenia cyberbezpieczeństwa działający w ramach Naukowej i Akademickiej Sieci Komputerowej (NASK) Państwowego Instytutu Badawczego - na swojej stronie na Facebooku ostrzegał internautów przed fałszywymi stronami wykorzystującymi nazwę wirusa: koronawirusnews[.]com.pl, e-koronawirusnews[.]pl, koronawirusnews[.]net.pl, i koronawirusnews[.]pl.

Do wejścia na taką witrynę zachęca sensacyjna, budząca emocje, ale nieprawdziwa informacja. Zwykle zawiera ona nagranie, którego obejrzenie wymaga podania danych logowania do Facebooka na stronie przypominającej ten serwis społecznościowy, ale stworzonej przez oszustów.

Oszustwo "na media"

Powstają też fałszywe strony internetowe podszywające się pod portale informacyjne znanych mediów.

W poniedziałek, 16 marca na swoich profilach w mediach społecznościowych CERT informował o stronie podszywającej się pod portal radia RMF FM. Zamieszczono na niej artykuł o rzekomym zamknięciu granic województw w Polsce. "Strony przedstawiają fałszywe informacje dotyczące aktualnej sytuacji spowodowanej koronawirusem i nakłaniają do wprowadzenia swoich danych logowania do Facebooka" – ostrzegał CERT. Jak zauważył jeden z komentujących, myląca była też zielona kłódka przy fałszywej domenie.

Ten fake news mógł być powiązany z innymi nieprawdziwymi doniesieniami o zamykaniu granic Warszawy, które krążyły w sieci w miniony weekend i zostały od razu zdementowane m.in. przez kancelarię premiera oraz prezydenta Warszawy.

We wtorek, 17 marca CERT donosił o kolejnej witrynie stworzonej w celu wyłudzenia haseł. Tym razem oszuści podszyli się pod portal dziennika "Fakt" i zamieścili na fałszywej stronie artykuł pt. "Porwanie dziecka ze szpitala zakaźnego [WIDEO]". Na oszustwo wskazywał adres strony, w którym zamiast "Fakt24.pl" było "warszawa-info24.pl". "Cyberprzestępcy chcą ukraść wasze hasła do #Facebook" – alarmowali eksperci od cyberbezpieczeństwa.

Najpierw login i hasło, potem "na BLIKA"

Przejęte konto w mediach społecznościowych może posłużyć przestępcom do kolejnych wyłudzeń, np. poprzez wysyłanie do znajomych prośby o pomoc finansową przez przekazanie kodów BLIK.

Jak działa taki mechanizm wyłudzania, tłumaczy Konkret24 Przemysław Jaroszewski z CERT Polska. - Po kliknięciu w link z artykułem pojawia się informacja, że dane treści są dostępne tylko dla osób dorosłych. Żeby zweryfikować swój wiek, należy zalogować się na Facebooku – tłumaczy ekspert. Kto to zrobi, wprowadza więc swoje dane: login i hasło.

- Jeśli internauta nie ma ustawionego dwustopniowego systemu weryfikacji przy logowaniu, oszuści już w tym momencie mają wszystkie potrzebne informacje i mogą zalogować się na jego konto. Podwójna weryfikacja nie obroni nas przed ukradzeniem danych, ale przed ich wykorzystaniem już tak – mówi Przemysław Jaroszewski.

To jednak tylko pierwszy etap większych oszustw finansowych. Oszuści wykorzystują prywatne facebookowe konta do uwiarygodniania swoich działań. - Z naszych informacji wynika, że wyłudzone dane i facebookowe konto często są dalej wykorzystywane w tak zwanych oszustwach "na BLIKA" – wyjaśnia Jaroszewski. - Czyli rzekomo my z naszego konta rozsyłamy naszym znajomym informację, że jesteśmy w kłopocie i prosimy o wsparcie finansowe. Jednocześnie zapewniamy, że w przyszłości oddamy te pieniądze. I tak się to kręci – dodaje.

Schemat ten można było zaobserwować przy próbie wyłudzenia, o której CERT ostrzegał 10 marca. Wtedy również oszuści podszyli się pod portal dziennika "Fakt" i na swojej stronie zamieścili tekst pt. "Nowe fakty na temat koronawirusa [WIDEO]". Dane przytoczone w leadzie, m.in. o liczbie polskich zarażonych czy kontrolach sanitarnych na granicach, były prawdziwe, ale po nich zamieszczono wideo opisane jako "wypowiedź doktora jednego z warszawskich szpitali na temat namnażającej się liczby zarażonych w Polsce".

Na zrzutach ekranu opublikowanych przez CERT widać, że przy próbie włączenia nagrania użytkownik otrzymywał informację: "ze względu na wytyczne Ministerstwa Zdrowia materiał dostępny dla osób powyżej 18 roku życia. Zweryfikuj swój wiek przez facebooka".

"Ostrzegamy przed atakiem mającym na celu pozyskanie dostępu do konta #Facebook i wyłudzaniem kodów @BLIKmobile" – alarmował CERT.

W takiej sytuacji można było samemu zweryfikować zdjęcie, którego użyto przy wideo z rzekomą wypowiedzą doktora. Po zastosowaniu odwróconego wyszukiwania obrazem w Google okazuje się, że zdjęcie pochodzi z facebookowego profilu Wojewódzkiego Szpitala Zespolonego w Kaliszu. Zostało opublikowane 4 marca jako jedna z fotografii obrazująca "kolejne praktyczne ćwiczenia związane z ryzykiem wystąpienia koronawirusa".

Oszustwa w czasach wirusa

Intensywność kampanii wyłudzeń w czasie wysypu informacji o koronawirusie rośnie. - Z doświadczenia wiemy, że ludzie są mniej czujni, gdy widzą newsy przemawiające bezpośrednio do nich albo których temat jest im bliski – mówi Przemysław Jaroszewski z CERT Polska. - Pewnie usypia to czujność wielu osób, ponieważ nie są one w stanie powiązać tego z jakimiś wcześniejszymi kampaniami, o których mówiliśmy i przed którymi ostrzegaliśmy. A jeżeli do tego użyje się jeszcze nazwy dużego portalu informacyjnego gazety, telewizji czy radia, wielu nie sprawdzi, czy to autentyczna strona – dodaje.

Ekspert radzi więc: - Patrzmy, na jakiej stronie jesteśmy. Czy w adresie nie ma delikatnych zmian, zamienionych pojedynczych liter. Szczególnie, gdy gdzieś trzeba wpisać dane do logowania. Starajmy się też nie powielać sensacyjnych informacji bez sprawdzenia, czy pojawiają się one w jakimkolwiek innym źródle.