Włamał się do kamer CCTV nielegalnego call center scamującego ludzi. Demaskuje sposoby działania scammerów

Pierwsza część dość ciekawej dokumentalnej serii dostępna jest tutaj:

Jeśli z kolei potrzebujesz skrótu tekstowego, bardzo proszę: Jim Browning niezbyt lubi scammerów (przykład: wyskakuje Wam czerwony przeglądarkowy popup – „wykryto problem z komputerem – dzwoń na numer taki a taki – za drobną opłatą specjaliści usuną problem”) – więc postanowił zrobić małą zasadzkę na jednego z nich. Przygotował w ten sposób swój komputer, że był w stanie dostać się na komputer scamującego (taki mały, niewinny hack). Co dalej? Okazało się, że dostał się do całego call center, znajdującego się w Indiach. A jak to w Indiach bywa, IT security całej placówki nie było zbyt wysokie. Trochę grzebania i bum, jest dostęp na admina panelu zarządzającego całą baterią kamer CCTV:

hikvision & admin

Powyżej widać tylko jedno piętro, zajmujące się całkiem legalnymi rzeczami, jednak w innym miejscu (na tyłach budynku) udało się namierzyć gniazdko scammerów:

Jednak kamery nie były wyposażone w audio. Co robić? Ano udało się zdobyć dostęp do systemu Ringba, w którym do pobrania były nagrania rozmów w formie plików mp3 (plus oczywiście masa metadanych, w tym konkretne numery telefonów).

Teraz tylko zostało dopasować zapisy obrazu z zapisami audio (po czasie) i mamy w pełni udźwiękowione filmy (fragmenty można pooglądać tutaj). Badacz napierał dalej, deanonimizując kolejnych scammerów. W jaki sposób? Po prostu „dał się łapać” na scam, ustawiając wcześniej dość nietypowy kolor pulpitu i obserwując salę na kamerze (w poszukiwaniu swojego np. fioleciku ;)

Uwaga, zasadzka

Jest i fiolecik

Teraz wystarczy przestawić kamerę i.. bum jest na żywo pan, który z nami rozmawiał (hello sir!):

Jak ten pan na zdjęciu powyżej się nazywa? To też udało się wyciągnąć z wewnętrznych systemów (jak widać call center miało pełną automatyzację):

Są także nagrania zarządu z jakże życiowymi hasłami biznesowymi typu: „we don’t give a shit about our customers!” :-)

Cała operacja buszowania po sieci call center trwała parę miesięcy, kolejne szczegóły będą dostępne w kolejnych odcinkach.

PS
Pamiętajcie, nie róbcie tego w domu czy pracy – jest to nielegalne (zarówno hack-back jak i samo scamowanie :p)

–ms