Phishing, pharming, kradzież tożsamości i inne oszustwa internetowe.

Phishing

Phishing jest często spotykanym oszustwem internetowym mającym na celu wyłudzenie poufnych danych. Jego celem jest podstępne pozyskanie informacji o numerach kart kredytowych, hasłach i innych danych osobowych przydatnych do dalszych przestępstw. Najczęściej phisher przygotowuje specjalną stronę internetową, która jest łudząco podobna do strony banku, konta pocztowego lub popularnego portalu czy forum. Ofiara wchodząc na tę stronę sądzi, że jest na oryginalnej i z pełnym zaufaniem podaje tam swoje dane do logowania. Login i hasło zamiast otworzyć dostęp do oczekiwanej strony trafiają do hakera, który je gromadzi i wykorzystuje w przyszłości do przestępstw. Sposobem zmuszenia ofiary do wejścia na tak spreparowana stronę jest wysłanie mu fałszywego maila, w którym prosi się go o aktualizację danych lub skorzystania z jakiejś oferty. Często naiwni odbiorcy takich wiadomości podają poufne dane w odpowiedzi na takie maile lub po wejściu na oszukańcze strony.

Jak się chronić przed phishingiem

Na ważne strony finansowe i takie, które wymagają logowania nie wolno wchodzić z linków, jakie otrzymamy przez email. Wiadomości pocztowe mogą być od oszusta, który tylko podszywa się pod właściciela prawdziwego serwisu. Bardzo łatwo jest zafałszować adres nadawcy w wiadomości email, nawet przez analizę nagłówków wiadomości nie zawsze można ustalić skąd została ona wysłana. We wiadomości może być zmieniony adres strony internetowej, który od oryginalnej, może się różnić tylko jednym znakiem lub kropką.

Konta bankowe, pocztowe i inne wymagające logowania mają szyfrowane połączenie SSL oraz certyfikat uwierzytelniający. Jeśli tego nie widzimy w przeglądarce nie wolna na takiej stronie podawać haseł i wykonywać transakcji finansowych. Adres strony internetowej o szyfrowanym połączeniu SSL różni się do typowego protokółu http dodatkową literką "s" czyli musi się zaczynać od https. To jest dla nas informacja, że połączenie między naszą przeglądarką a stroną na której wykonujemy operacje jest szyfrowane i nikt po drodze nie może nas podglądać. Oprócz tego każda strona na której są robione operacje finansowe musi mieć ważny certyfikat SSL. Wszystkie banki, konta pocztowe i szanujące się firmy na stronach, których wymagane jest podwyższone bezpieczeństwo, maja wykupione certyfikaty, np. VeriSign. Posiadanie ważnego certyfikatu sygnalizowane jest w przeglądarce użytkownika symbolem zamkniętej kłódki. Klikająć w nią można zweryfikować, że strona jest bezpieczna i kto wystawił certyfikat gwarantujący jej wiarygodność. Przeglądarki standardowo oszczekają użytkownika o nieważnych certyfikatach lub niezaufanych wydawcach tych certyfikatów.

Użytkownik logujący się do systemu powinien zawsze sprawdzić czy obok adresu jest symbol kłódki, bez tego nigdy nie wprowadzać haseł, numerów kart kredytowych i innych poufnych danych.

Pharming

Pharming to rodzaj oszustwa internetowego podobnego do Phishingu. Oprócz specjalnie przygotowanej strony internetowej naśladującej stronę oryginalną używa prawdziwych jej adresów. Tak wyrafinowane oszustwo jest możliwe gdy haker zatruł globalny serwer DNS lub pozmieniał pliki systemowe tak, że wiąże nazwy serwerów z numerami IP z pominięciem serwera DNS. Przed tym drugim sposobem chronić może dobry program antywirusowy i niestandardowe hasło do konfiguracji routera.

Kradzież tożsamości

Cudza tożsamość potrzebna jest oszustowi aby zamaskować soje działania i robić przestępstwa na czyjś koszt. Posiadając wiarygodne dane innego użytkownika może podszyć się pod niego przy zakładaniu kont, wykonywaniu transakcji na Allegro i innych sklepach internetowych. Może wykorzystać czyjąś tożsamość do prania brudnych pieniędzy i pośrednictwa w przekazywaniu zysków pozyskanych z oszustwa. W uzyskaniu cudzych danych osobowych zwykle pomagali sami poszkodowani. Oszust wykorzystuje ich łatwowierność, chęć znalezienia pracy, korzystnych ofert handlowych itp.

Najpopularniejszym podstępem jest udawanie firm oferujących pracę. Reklama zwykle jest bardzo korzystna, wymaga tylko od kandydata wypełnienia ankiety osobowej, przesłania CV i skanu dowodu tożsamości. Udostępnienie takich danych może być bardzo niebezpieczne dla takiej osoby, ktoś może za niego zaciągnąć kredyt, prowadzić handel przez Internet lub zawrzeć niekorzystną umowę. Kradzież tożsmości jest tylko jednym z etapów dużego oszustwa w który następują kolejne fazy jak phishing (lub pharming) i pranie brudnych pieniędzy.

Podstawową zasadą obrony przed tym rodzajem oszustwa jest ograniczone zaufanie do zbyt atrakcyjnych ofert otrzymanych od nieznanych nadawców. Prawdziwy pracodawca rzadko posuwa się do spamu w celu szukania pracowników. Nie będzie nas prosił o przesyłanie przez Internet kopi dowodu tożsamości i poufnych dokumentów.

Money mule

Oszust internetowy zawsze stara się zamaskować swoją działalność, tak aby nikt nie mógł wykryć sprawcy. Najtrudniejszym etapem jest odbiór pieniędzy od ofiary. Gdyby podał swój prawdziwy numer konta, to policja łatwo by go wykryła. Zwykle wykorzystują do tego pośredników, którzy nieświadomi przestępstwa odbierają na swoje konto pieniądze, odliczając niewielką prowizje, wysyłają je dalej, np. przez Western Union do nieznanego odbiorcy, który może być nawet na innym krańcu świata. Taki pośrednik nosi nazwę "money mule" (muł pieniężny). Werbuje się ich oferując na pozór legalna pracę. Zwykle muł nie wie, że uczestniczy w przestępstwie, ma podać tylko swoje dane i numer konta, pieniądze otrzymywane na swoje konto wysyła za pośrednictwem Western Union na inne konto, które jest anonimowe i niemożliwe do sprawdzenia. Gdy po kilku dniach puka do niego policja nie potrafi nawet udowodnić, że sam padł ofiarą oszusta, wszystkie tropy prowadzą do niego i musi sam odpowiadać za konsekwencje oszukanie innych ludzi.