Wyrafinowana próba wyłudzenia danych karty kredytowej poprzez OLX. Przestępcy mają nawet live chata

Zdarzenie opisał na Facebooku Max Stanibuła.

"Opisuję sprawę publicznie, żebyście uważali i nie dali się nabrać. Cała architektura ataku została zaplanowana bardzo pomysłowo i uważam, że sporo osób może się na to nabrać.

Otóż sprzedaję przez OLX konsolę PS4. Na OLX jest podany numer telefonu do kontaktu. Odzywa się jakiś pan via WhatsApp i prowadzi dosyć długą konwersację, dopytując o szczegóły – gość wygląda na zainteresowanego. Po wymianie kilkudziesięciu wiadomości gość mówi, że bierze, ale poprzez płatności OLX (oficjalnie jest coś takiego, można przeczytać na stronie serwisu).

Ja mówię do koleżki – hola hola amigo, hold your horses – przeto ja żadnych danych rozliczeniowych do olxa nie podawałem, a on na to, że już zapłacił, że można sprawdzić i odebrać kaskę – i cyk – zapodaje linkiem:

Patrzę sobie, stronka jak OLX Polska, ale rzucam okiem na adres URL i coś się nie zgadza – adres widniejący to olxpl.shop (dla niezaznajomionych z tematem, domena olxpl.shop to zupełnie inna domena niż olx.pl). Dobra, myślę, sprawdzę dalej, co oni tam wykombinowali – klikam „Odbierz środki” i co widzę... Pole do wpisania danych karty łącznie z kodem CVC i adnotacją „Aby otrzymać pieniądze za płatny produkt saldo karty musi wynosić co najmniej kwotę transakcji.”

Stwierdziłem, że sprawdzę jeszcze certyfikat SSL czyli kłódeczkę – wiele osób sądzi, że jak stronka ma kłódeczkę, to jesteśmy bezpieczni. Jednak nie do końca. Oficjalny certyfikat OLX można sprawdzić na stronie głównej – najprościej sprawdzić czy wydawca certa się zgadza. Na oryginalnym OLX wydawcą jest Amazon, natomiast na stronie phisingowej, gdzie chcieli pozyskać dane karty już wydawcą jest Let’s Encrypt – a jest to darmowy certyfikat, który na swojej stronie może sobie zainstalować każdy.

Aby uwiarygodnić całą akcję naciągacze mają jeszcze live chata na stronie, na którym na bieżąco odpowiadają na wiadomości. Trzeba przyznać, że zaplanowali to dosyć dobrze. Tak czy inaczej polecam ostrzec znajomych, bo można dać się dobrze naciągnąć.

Sam serwis OLX jest Bogu ducha winny - oszuści równie dobrze mogą się podszywać pod dowolną stronę, np. Allegro, Amazon, eBay czy nawet sejm.gov.pl - chodzi o to, żebyśmy my zwracali uwagę na takie rzeczy jak adresy URL, certyfikaty SSL i nie podawali danych karty, a w szczególności kodu CVC i daty ważności karty (zwłaszcza do wypłaty środków)."

Pod postem pojawiło się mnóstwo komentarzy użytkowników, którzy w ostatnich dniach również zetknęli się z podobną próbą wyłudzenia danych. Uważajcie na siebie, kiedy będzie robić zakupy online.