Podszycie się pod dowolny numer telefoniczny (Twój, Twoich znajomych, infolinii bankowych) – to cały czas jest możliwe!

✅ Od razu pierwsza rada – jeśli na telefonie wyświetla Ci się znany numer lub nawet wpis z książki kontaktów – to jeszcze nie oznacza, że dzwoni właśnie ta osoba (!)

✅ Żeby całość przeprowadzić – nie potrzebne jest żadne „hackowanie telefonu”

Kilka realnych przykładów użycia spoofingu poniżej.

1️⃣ Pewien czas temu Borys Budka opisywał podszycie się pod numer GSM jego żony. Tutaj dostępne jest nagranie.

2️⃣ Podszywanie można realizować również w przypadku SMSów (jeśli pisze do Ciebie np. TwojBank – to… ta informacja praktycznie nie ma żadnego znaczenia – przestępcy mogli ją sfałszować). Poniżej świeży przykład podszycia się pod NestBank (jak widać SMS „wpadł” nawet w ten sam wątek co oryginalny SMS z banku (kolor zielony):

3️⃣ Podszywanie się pod numer jest szczególnie niebezpieczne (wiarygodne dla ofiary) jeśli dodatkowo zostanie wykorzystane klonowanie głosu z wykorzystaniem AI (klonują np. głos dziecka). Poniżej opis realnej sytuacji naszego czytelnika:

Opowiem Wam historię o kolejnym „numerze” przez telefon. Niedawno moja znajoma otrzymała pewien telefon, a głos w słuchawce oznajmił, że jest prokuratorem. Po przedstawieniu się rozmówcy, pan prokurator przeszedł do rzeczy. Otóż ów Pan miał wstrząsającą wiadomość, poinformował znajomą o tym, że jej syn Adam jest rzekomo sprawcą tragicznego wypadku drogowego, do którego doszło w konkretnym miejscu (wskazany został nawet numer drogi), a w wyniku śmierć poniosła jedna niewinna osoba. Cała sytuacja nabrała jeszcze bardziej przerażającego obrotu oraz wiarygodności, gdy pan prokurator przekazał do telefonu syna. I w tym momencie matka usłyszała głos swojego syna Adama w słuchawce telefonu, który powiedział jej, że zabił człowieka i potrzebuje pieniędzy, aby jakoś rozwiązać tę dramatyczną sytuację… 

Matka była w szoku, jednak rzekomy prokurator swojego celu nie osiągnął. Siostra Pana Adama, towarzysząca akurat mamie, zareagowała prawidłowo. Zadzwoniła do swojego brata, a ten odebrał – był bardzo zaskoczony, ale nie znajdował się na wskazanej drodze, a w pracy, jak zazwyczaj. Do przekazania pieniędzy więc nie doszło, dzięki szybkiej reakcji rodziny. Tym razem przestępcom się nie udało, jednak coraz więcej słyszy się o podobnych sytuacjach, a wykorzystanie głosu członka rodziny daje atakującym ogromną przewagę.

4️⃣  Na takie akcje nie do końca odporne są (były?) też instytucje rządowe – poniżej informacja, którą jakiś czas temu kolportował ZUS:

5️⃣ Tutaj opisywaliśmy historię, kiedy ktoś zadzwonił na 112 podszywając się pod ofiarę. Nasz czytelnik relacjonuje co się stało później:

Po 15 minutach dzwoni do mnie tata, że do domu przyjechała policja. Poprosiłem siostrę żeby mnie odwiozła i pojechałem do domu gdzie czekali na mnie dzielnicowi.

Okazało się, że ktoś dzwonił z mojego numeru telefonu na 112 i powiedział coś w stylu „Zabiłem siekierą całą rodzinę, siedzę w domu, nie chce wracać do więzienia”.

6️⃣ Niektórzy otrzymali nawet pisma o przeszukaniu (bo rzekomo dzwonili i informowali np. o podłożeniu bomby)

7️⃣ Kilka niefajnych przykładów, które spotkały Krzysztofa Stanowskiego (liczne przypadku spoofingu GSM).

Czy da się przed tym ochronić?

Na razie nie. Może niedługo pełną ochronę wprowadzą sieci GSM (ale na razie nie wprowadziły). 

Czy da się w prosty sposób wykryć, że ktoś do nas dzwoni podszywając się pod inny numer? Również nie.

✅ Praktycznie główną metodą ochrony jest świadomość, że takie rzeczy są możliwe. Warto jednak pamiętać:

☑ Niektóre banki (np. mBank czy PKO BP) posiadają możliwość potwierdzenia tożsamości dzwoniącego konsultanta appką bankową – warto z tego korzystać

☑ Jeśli nie jesteś pewien, czy dzwoni do Ciebie bank (ew. inna instytucja), rozłącz się i sam zadzwoń pod prawidłowy numer (nie oddzwaniaj pod numer, który Ci się wyświetlił :)

Czy coś się dzieje w obszarze prawnym, jeśli chodzi o walkę z tego typu nadużyciami? Tak – szczegóły tutaj; przy czym nacisk kładziony jest głównie na podszywanie się pod instytucje publiczne.

PS
O tej oraz innych aktualnych technikach hackerskich oraz ochronie przed nimi opowiemy niebawem na praktycznym szkoleniu cyberawareness dla firm – zapraszamy :-)

~ms