oszustwo

Oszustwo (scam) to w kontekście bezpieczeństwa ogólne określenie działania prowadzonego zdalnie, którego celem jest wyłudzenie pieniędzy albo danych, niezależnie od kanału i scenariusza. Kodeks karny definiuje oszustwo jako doprowadzenie innej osoby do niekorzystnego rozporządzenia mieniem przez wprowadzenie jej w błąd, wyzyskanie błędu albo jej niezdolności do należytego pojmowania sytuacji, w celu osiągnięcia korzyści majątkowej ^[1]. W statystykach CERT Polska oszustwa komputerowe są od lat największą kategorią incydentów ^{[3] [4]}. Narzędziem oszustwa jest najczęściej socjotechnika, a jego najpowszechniejszą formą phishing ^[3].

Jak działa

Mechanizm jest stały, zmienia się tylko opakowanie. Sprawca tworzy wiarygodny pretekst, dociera do ofiary wybranym kanałem, prowadzi ją do strony, rozmowy albo aplikacji i doprowadza do przekazania pieniędzy lub danych. Pieniądze mogą potem przejść przez konta pośredników, tzw. słupy.

RYS. 1Typowy przebieg oszustwa internetowego

Kanały dotarcia są różne. W 2024 roku oszuści oferujący fałszywe inwestycje docierali do ofiar głównie przez reklamy w mediach społecznościowych i obiecywali wysokie zyski ^[3]. Inne kampanie korzystały z SMS-ów, WhatsAppa, fałszywych mandatów z kodami QR i podrobionych okien weryfikacji CAPTCHA ^[6]. W 2024 roku oszuści podszywali się też pod przedstawicieli prawnych różnych podmiotów i informowali o rzekomym naruszeniu praw autorskich; link do „dowodów” w PDF prowadził do złośliwego oprogramowania, m.in. Lumma Stealer ^[6]. Oszustwo nie zawsze kończy się więc przelewem: czasem celem jest instalacja programu typu infostealer, który wykrada hasła do dalszych oszustw.

Odmiany

Słownik rozróżnia wiele oszustw o utrwalonych nazwach. Łączy je cel, różni pretekst i kanał.

Z oszustwami łączą się też oszustwo deepfake, w którym sprawca wykorzystuje podrobiony obraz lub głos, oraz kradzież tożsamości.

Kwalifikacja prawna

Artykuł 286 Kodeksu karnego przewiduje za oszustwo karę pozbawienia wolności od 6 miesięcy do 8 lat, a w wypadku mniejszej wagi grzywnę, karę ograniczenia wolności albo pozbawienia wolności do 2 lat ^[1]. Osobnym przestępstwem jest tzw. oszustwo komputerowe z art. 287: wpływanie bez upoważnienia na automatyczne przetwarzanie danych albo zmiana, usunięcie lub wprowadzenie zapisu danych w celu osiągnięcia korzyści majątkowej lub wyrządzenia szkody, zagrożone karą od 3 miesięcy do 5 lat ^[1]. Art. 190a § 2 penalizuje podszywanie się pod inną osobę z wykorzystaniem jej wizerunku lub danych osobowych, jeśli wyrządza to szkodę ^[1].

Ustawa o zwalczaniu nadużyć w komunikacji elektronicznej z 28 lipca 2023 roku dodaje przestępstwo wysłania SMS-a, MMS-a lub innej wiadomości, w której sprawca podszywa się pod inny podmiot, aby nakłonić odbiorcę m.in. do przekazania danych albo niekorzystnego rozporządzenia mieniem; grozi za nie kara od 3 miesięcy do 5 lat ^[2]. Ta sama ustawa daje podstawę prawną prowadzenia listy ostrzeżeń przed stronami wyłudzającymi dane lub prowadzącymi do niekorzystnego rozporządzenia mieniem ^[2]; zob. ustawa o zwalczaniu nadużyć w komunikacji elektronicznej.

W WordPressie

Strona WordPress może być w oszustwie narzędziem albo celem. Jako narzędzie służy wtedy, gdy atakujący przejmie ją i umieści na niej fałszywą stronę logowania, fałszywą bramkę płatności albo złośliwe przekierowanie do oszukańczej oferty. Taka domena może trafić na Listę Ostrzeżeń CERT Polska, do której wpisuje się strony wprowadzające użytkowników w błąd w celu wyłudzenia danych ^[5]. Domeny pozostają na liście 6 miesięcy ^[5]. Podmiot mający tytuł prawny do domeny może wnieść do Prezesa UKE sprzeciw wobec wpisu ^{[2] [5]}, ale sprzeciw ma sens dopiero po usunięciu złośliwej treści; zob. czyszczenie przejętej strony. Sprzeciw musi wskazywać domenę, zawierać uzasadnienie, dlaczego wpis jest niezasadny, oraz dane identyfikujące wnoszącego ^[2].

Jako cel strona pada ofiarą oszustw skierowanych do jej właściciela. W grudniu 2023 roku administratorzy WordPressa dostawali wiadomości o rzekomej luce z fałszywym numerem CVE-2023-45124 i zachętą do instalacji wtyczki, która w rzeczywistości zakładała ukryte konto administratora wpsecuritypatch i tylną furtkę ^[7]. Takie oszustwo kończy się przejęciem konta i całej witryny.

Skala

W 2021 roku CERT Polska zarejestrował 29 483 unikalne incydenty, z czego oszustwa komputerowe stanowiły 86,40%; wśród nich popularne były masowe e-maile typu sextortion scam ^[4]. W 2024 roku oszustw komputerowych było 97 995, czyli 95% obsłużonych incydentów i o 29% więcej niż rok wcześniej ^[3]. Na liście tej kategorii znalazły się m.in. fałszywe sklepy internetowe i oszustwa inwestycyjne ^[3]. Na Listę Ostrzeżeń wpisano w 2024 roku 92,6 tys. szkodliwych domen, a liczbę zablokowanych dzięki niej wejść oszacowano na 71,8 mln, o 33% więcej niż w 2023 roku ^[3]. Wszystkie formaty listy pobrano w tym roku łącznie 345 mln razy ^[3]. Najczęstszym celem podszyć wśród domen z listy były oszustwa inwestycyjne: 42 172 domeny wobec 20 609 rok wcześniej ^[3].

Jak się bronić

Ochrona łączy rozwagę użytkownika i mechanizmy techniczne:

• weryfikacja nadawcy i prośby innym, znanym kanałem, zanim dojdzie do płatności;
• korzystanie z Listy Ostrzeżeń, którą operatorzy telekomunikacyjni stosują do automatycznego blokowania stron ^[5];
• zgłaszanie podejrzanych SMS-ów na numer 8080 i stron przez incydent.cert.pl, zob. zgłoszenie podejrzanego SMS-a na numer 8080 / zgłoszenie incydentu (incydent.cert.pl) ^[3];
• uwierzytelnianie wieloskładnikowe na kontach, które oszust mógłby przejąć;
• na stronie WordPress: aktualizacje wyłącznie z oficjalnych źródeł i regularne sprawdzanie listy administratorów.