oszustwo inwestycyjne

Oszustwo inwestycyjne to wyłudzenie pieniędzy obietnicą wysokiego i pewnego zysku, zwykle przez fałszywą platformę inwestycyjną, reklamy z wizerunkiem znanych osób i telefonicznego „doradcę”. CERT Polska opisuje reklamy i wiadomości przedstawiające platformy, przez które rzekomo można inwestować w kryptowaluty lub akcje firm; w rzeczywistości pieniądze nie są inwestowane, tylko przelewane na konto przestępców ^[1]. W statystykach FBI za 2024 rok oszustwa inwestycyjne były kategorią o największych zgłoszonych stratach ^[3].

Jak działa

Schemat opisywany przez CERT Polska ma powtarzalne etapy ^[1]. Pokazuje je schemat poniżej.

RYS. 1Fałszywa platforma inwestycyjna

Ofiara trafia na ofertę przez media społecznościowe, wyszukiwarkę albo SMS, wypełnia formularz na podrobionej stronie, a potem odbiera telefon od „opiekuna” ^[1]. Ten nakłania do wpłaty i do zainstalowania oprogramowania, które udostępnia mu pulpit komputera ^[1]. Panel platformy pokazuje fikcyjne zyski, co skłania do kolejnych wpłat ^[1]. Wypłata okazuje się niemożliwa.

Program do zdalnego pulpitu zamienia oszustwo w bezpośrednie okradanie konta. W sprawie opisanej przez Sekurak w lipcu 2022 roku oszust polecił seniorce zainstalować oprogramowanie do zdalnej obsługi pulpitu, a następnie przez kilka dni wykonywał z jej kont przelewy po około 50 tysięcy złotych ^[5].

Odmiany

FBI opisuje pig butchering jako oszustwo oparte na zaufaniu: sprawcy nawiązują relację z ofiarą, zanim zaproponują inwestycję w kryptowaluty, a ofiara nie może później wypłacić środków ^[3]. Pokrewne są romance scam i reklamy z wizerunkiem osób publicznych, czyli odmiana malvertising.

W WordPressie

Oszustwa inwestycyjne dotyczą stron WordPress na dwa sposoby.

Przejęta strona jako pośrednik. Zainfekowane witryny przekierowują odwiedzających na strony oszustów. CERT Polska w lutym 2024 roku opisał kampanię Balada Injector, która wykorzystywała podatność CVE-2023-6000 we wtyczce Popup Builder; odwiedzający byli przekierowywani na podejrzane witryny, na przykład informujące o wygranej na loterii ^[7]. Luka pozwalała też instalować wtyczki i tworzyć nowe konta administratorów ^[7]. Taki kanał przekierowań może prowadzić ruch w dowolne miejsce, także na fałszywą platformę.

Maskowanie przed kontrolą. Oszuści reklamowi sprawdzają nagłówki User-Agent i Referer oraz adresy IP, a znane adresy NASK i KNF blokują ^[2]. Podobną technikę stosuje SEO spam na przejętych stronach: właściciel i skaner widzą czystą witrynę, a odwiedzający coś innego.

Właściciel strony, który zauważy takie przekierowania, powinien według CERT Polska przyjąć, że atakujący mógł mieć pełny dostęp do plików, i odbudować stronę albo przywrócić ją z kopii sprzed infekcji ^[7]; zob. czyszczenie przejętej strony.

Zagrożenia i skutki

Według raportu IC3 za 2024 rok do FBI wpłynęło 47 919 zgłoszeń oszustw inwestycyjnych, ze stratami ponad 6,57 mld dolarów ^[3]. Wszystkie zgłoszone tam straty wyniosły 16,6 mld dolarów ^[3]. Oszustwa z użyciem kryptowalut objęły 149 686 zgłoszeń i 9,3 mld dolarów strat, a najliczniej zgłaszała je grupa wiekowa powyżej 60 lat ^[3].

W Polsce CERT Polska w 2023 roku zablokował 80 tysięcy złośliwych domen, w tym 32 tysiące związane z fałszywymi inwestycjami ^[2]. CSIRT KNF zgłosił w tym samym roku ponad 7500 reklam, a pojedyncze ofiary tracą ponad milion złotych ^[2]. W jednej z opisanych spraw z 2022 roku kobieta z Bydgoszczy straciła 330 tysięcy złotych ^[5].

Skala ruchu jest duża. Według CERT Polska na Listę Ostrzeżeń trafia dziennie ponad 250 fałszywych stron, a blokady zatrzymały 50 milionów prób wejścia w 2023 roku i 75 milionów w 2024 roku ^[2]. Ponad połowa ofiar kampanii wyłudzających dane podaje je w ciągu pierwszej godziny ^[2], więc szybkość blokowania ma bezpośredni wpływ na liczbę poszkodowanych.

Jak się bronić

CERT Polska radzi nie reagować na oferty zysku bez ryzyka, sprawdzać źródło na oficjalnej stronie firmy i konsultować decyzje z niezależnym specjalistą ^[1]. Prośba o zainstalowanie programu do zdalnego dostępu jest jednym z głównych sygnałów oszustwa ^[1].

• Sprawdzenie podmiotu. Komisja Nadzoru Finansowego prowadzi listę ostrzeżeń publicznych o podmiotach, wobec których złożyła zawiadomienie o podejrzeniu przestępstwa, w tym prowadzenia bez zezwolenia działalności bankowej albo obrotu instrumentami finansowymi ^[4]. KNF zastrzega, że brak podmiotu na liście nie zwalnia z jego sprawdzenia w wiarygodnych źródłach ^[4].
• Blokowanie domen. Lista ostrzeżeń CERT Polska działa od marca 2020 roku; operatorzy telekomunikacyjni blokują wpisane domeny, a ruch trafia na sinkhole ^[6]. Domena pozostaje zablokowana przez 6 miesięcy ^[6].
• Bez zdalnego pulpitu. Nieznanej osobie nie udostępnia się komputera ani kodów z aplikacji bankowej; zob. socjotechnika.

Historia i przykłady

W listopadzie 2024 roku CERT Polska opublikował analizę oszustw reklamowych na dużych platformach ^[2]. Od stycznia do listopada 2024 roku z 122 złośliwych reklam zgłoszonych ze zwykłego konta użytkownika usunięto tylko 10 ^[2]. Oszuści wykorzystali wizerunek ponad 139 osób publicznych, w tym w materiałach deepfake z głosem polskich przedsiębiorców ^[2]. FBI w ramach operacji Level Up, rozpoczętej w styczniu 2024 roku, powiadomiło 4323 ofiary oszustw kryptowalutowych; 76 procent z nich nie wiedziało, że padło ofiarą oszustwa ^[3]. FBI oszacowało uniknięte w ten sposób straty na około 285,6 mln dolarów ^[3]. CERT Polska zwrócił też uwagę, że biblioteki reklam platform indeksują nowe reklamy z opóźnieniem sięgającym 24 godzin, a w tym czasie wersje niezaindeksowane są już wyświetlane użytkownikom ^[2].