fałszywe odzyskiwanie konta

Fałszywe odzyskiwanie konta to oszustwo wykorzystujące spreparowany proces resetu hasła w celu przejęcia dostępu do konta.

Jak działa fałszywe odzyskiwanie konta

Fałszywe odzyskiwanie konta jest oszustwem, w którym sprawca udaje właściciela serwisu internetowego, administratora, pomoc techniczną albo operatora poczty. Celem jest nakłonienie użytkownika do przejścia przez spreparowany proces resetowania hasła. Wiadomość może zawierać link prowadzący do strony przypominającej ekran logowania, formularz potwierdzenia tożsamości lub komunikat o rzekomym zablokowaniu konta. Strona może używać podobnej kolorystyki, układu graficznego i nazwy domeny, ale dane wpisane do formularza trafiają do oszusta, a nie do prawdziwego dostawcy usługi.

Atak często zaczyna się od wiadomości e-mail, SMS-a, komunikatu w mediach społecznościowych albo rozmowy telefonicznej. Pretekstem bywa nietypowe logowanie, wygaśnięcie hasła, naruszenie regulaminu lub konieczność potwierdzenia numeru telefonu. Oszust może prosić o login, aktualne hasło, kod jednorazowy, kod z aplikacji uwierzytelniającej albo kod odzyskiwania. W niektórych wariantach ofiara jest kierowana do instalacji programu do zdalnego dostępu. Wtedy zagrożeniem staje się nie tylko przejęcie konta, lecz także możliwość obserwowania ekranu i wykonywania czynności na komputerze.

Elementy, które odróżniają prawdziwy reset od oszustwa

Rzeczywisty proces odzyskiwania konta powinien być uruchamiany bezpośrednio na oficjalnej stronie lub w oficjalnej aplikacji dostawcy. Bezpieczniej jest samodzielnie wpisać znany adres serwisu w przeglądarce niż otwierać odnośnik z wiadomości. Należy sprawdzić pełną nazwę domeny, ponieważ oszust może wykorzystać literówkę, dodatkowy człon w adresie, nietypową końcówkę albo znak podobny do litery używanej w prawidłowej nazwie. Sama kłódka przy adresie HTTPS nie potwierdza wiarygodności strony. Oznacza jedynie, że połączenie jest szyfrowane z określoną witryną.

Podejrzane są żądania podania aktualnego hasła w formularzu odzyskiwania, przekazania kodu wieloskładnikowego przez telefon lub odpowiedź na wiadomość z presją czasu. Kod jednorazowy może służyć do zatwierdzenia logowania inicjowanego przez atakującego. Pracownik prawdziwej usługi nie powinien prosić o przesłanie takiego kodu w wiadomości ani o podanie hasła. Warto także ocenić nagłówki i adres nadawcy wiadomości, ale nie należy traktować ich jako jedynego dowodu, ponieważ techniki podszywania się pod nadawcę mogą utrudniać ocenę. Decydujące znaczenie ma rozpoczęcie procedury z poziomu oficjalnego kanału.

Skutki podania danych na spreparowanej stronie

Jeżeli login i hasło zostały wpisane na fałszywej stronie, hasło należy niezwłocznie zmienić na prawdziwej stronie usługi. Nie wolno używać ponownie hasła wykorzystanego w innych serwisach, ponieważ oszust może sprawdzać te same dane w kolejnych miejscach. Trzeba również zakończyć aktywne sesje, usunąć nieznane urządzenia z listy zalogowanych oraz przejrzeć ustawienia adresu e-mail, numeru telefonu i metod odzyskiwania. Jeżeli dostępna jest autoryzacja wieloskładnikowa, należy ją włączyć lub ponownie skonfigurować po usunięciu nieznanych metod.

Po przekazaniu kodu jednorazowego sytuacja wymaga szybkiej reakcji, ponieważ kod może być ważny tylko przez krótki czas, ale wystarczyć do zatwierdzenia logowania, zmiany hasła lub dodania nowego urządzenia. Po przejęciu konta sprawca może zmienić dane odzyskiwania, wysyłać wiadomości do kontaktów, usuwać korespondencję albo wykorzystywać konto do dalszych oszustw. Należy użyć oficjalnej procedury odzyskiwania przejętego konta i poinformować osoby, które mogły otrzymać podejrzaną wiadomość. Jeżeli zainstalowano program do zdalnego dostępu, komputer powinien zostać odłączony od sieci, a aplikacja i jej uprawnienia sprawdzone. Samo odinstalowanie programu nie zawsze wystarcza, gdy na urządzeniu pozostało inne niepożądane oprogramowanie.

Warto zachować wiadomości, adresy stron, numery telefonów, zrzuty ekranu i informacje o czasie zdarzenia. Takie materiały pomagają ustalić, jakie dane zostały przekazane i jakie działania mogły zostać wykonane. Nie należy wpisywać kolejnych danych na stronie wskazanej przez oszusta ani instalować narzędzi proponowanych podczas rozmowy. Jeśli to samo hasło chroniło inne konta, trzeba zmienić je także tam, zaczynając od poczty elektronicznej, ponieważ skrzynka pocztowa często służy do resetowania dostępu do innych usług.

Sprawdzenie komputera po kontakcie z oszustem

Fałszywe odzyskiwanie konta nie zawsze oznacza infekcję komputera. Samo otwarcie strony może zakończyć się wyłącznie próbą wyłudzenia danych, ale instalacja nieznanego programu, uruchomienie pliku lub przyznanie uprawnień do zdalnego pulpitu zwiększa ryzyko zmian w systemie. Po takim zdarzeniu należy przejrzeć ostatnio pobrane pliki i zainstalowane aplikacje, rozszerzenia przeglądarki, programy uruchamiane wraz z systemem oraz zapisane sesje logowania. Należy wykonać pełne skanowanie aktualnym programem zabezpieczającym i zaktualizować system oraz przeglądarkę z oficjalnych źródeł.

Warszawskie Pogotowie Komputerowe zajmuje się profesjonalną naprawą laptopów, komputerów PC i podzespołów, dlatego w przypadku podejrzenia ingerencji w urządzenie można zlecić sprawdzenie systemu, przeglądarki i zainstalowanych programów. Diagnostyka komputera powinna obejmować ustalenie, czy uruchomiono nieznane oprogramowanie, czy zmieniono ustawienia przeglądarki oraz czy w systemie pozostały procesy lub rozszerzenia powiązane ze zdalnym dostępem. Odzyskanie konta trzeba prowadzić równolegle przez oficjalny kanał dostawcy usługi, ponieważ serwis sprzętowy nie zastępuje procedur uwierzytelniania właściciela konta.