oszustwo na pomoc techniczną

Oszustwo na pomoc techniczną (tech support scam) to oszustwo, w którym sprawca podszywa się pod pomoc techniczną znanej firmy albo firmowy helpdesk, wywołuje niepokój rzekomą infekcją lub awarią i nakłania ofiarę do zainstalowania programu zdalnego dostępu. Microsoft opisuje je jako problem całej branży: oszuści stosują taktykę zastraszania, by skłonić użytkownika do zapłaty za niepotrzebne usługi naprawy wymyślonych problemów z urządzeniem lub oprogramowaniem ^[1]. Jest to odmiana socjotechniki, w której narzędziem są zwykle legalne programy do zdalnej pomocy.

Jak działa

Kontakt nawiązuje oszust albo, co bywa skuteczniejsze, sama ofiara. Microsoft wymienia dwie główne drogi ^[1]:

• Telefon. Oszust dzwoni jako przedstawiciel firmy programistycznej, czasem podszywając numer tak, by wyświetlał się prawdziwy numer wsparcia ^[1]. To vishing połączony ze spoofingiem numeru.
• Fałszywy komunikat na stronie. Witryna wyświetla fałszywy błąd z numerem wsparcia, przełącza przeglądarkę na pełny ekran i pokazuje okna, których nie da się zamknąć ^[1]. Taki komunikat to scareware. Komunikaty błędów Microsoftu nigdy nie zawierają numeru telefonu ^[1].

Po nawiązaniu rozmowy oszust prosi o instalację aplikacji zdalnego dostępu, a następnie przedstawia zwykłe komunikaty systemu jako objawy awarii ^[1]. Kończy się to żądaniem jednorazowej opłaty albo abonamentu ^[1]. Przebieg pokazuje schemat poniżej.

RYS. 1Oszustwo na pomoc techniczną

Programy zdalnego dostępu same w sobie nie są złośliwe. MITRE opisuje je jako narzędzia do rozwiązywania problemów i zarządzania systemami, które przeciwnicy nadużywają do utrzymania kanału dowodzenia i interaktywnych sesji; wymienia wśród nich AnyDesk i TeamViewer ^[3]. W odróżnieniu od RAT nie trzeba ich ukrywać: ofiara instaluje je sama, przekonana, że rozmawia z serwisem.

Odmiany

Wariant firmowy opisał Microsoft w 2024 roku. Grupa Storm-1811 od połowy kwietnia 2024 roku podszywała się pod pracowników IT, dzwoniąc do ofiar lub pisząc przez Teams, często po zalaniu ich skrzynek subskrypcjami, a następnie prosiła o uruchomienie Quick Assist ^[2]. Po uzyskaniu dostępu pobierała kolejne narzędzia i ostatecznie wdrażała ransomware Black Basta ^[2].

Wariant firmowy dotarł także do Polski. Sekurak w styczniu 2026 roku opisał incydent, w którym atakujący zadzwonili przez Teams z konta o nazwie sugerującej dział IT; pracownik odebrał, bo spodziewał się kontaktu od nowego, nieznanego mu jeszcze specjalisty helpdesku ^[4]. Następnie poproszono go o uruchomienie Quick Assist i wpisanie podanego kodu ^[4].

Wariant bankowy jest pokrewny, ale opisany osobno jako oszustwo na policjanta lub pracownika banku. Niebezpiecznik przytacza przypadek mieszkanki Gorzowa Wielkopolskiego, która po zainstalowaniu AnyDeska straciła 47 tys. zł; w jej imieniu zaciągnięto kredyt ^[5].

W WordPressie

Strony na WordPressie uczestniczą w tym oszustwie na dwa sposoby.

Jako nośnik fałszywych alertów. We wrześniu 2018 roku Malwarebytes opisał masowe przejmowanie witryn WordPress, których odwiedzający byli przez łańcuch przekierowań kierowani na strony oszustwa na pomoc techniczną ^[6]. Wstrzyknięty kod znajdował się w nagłówkach HTML oraz w tabeli wp_posts bazy danych ^[6]. Badacze wskazywali na przestarzałe wtyczki i instalacje, podejrzewając między innymi podatność typu RCE we wtyczce Duplicator ^[6]. Z punktu widzenia właściciela jest to złośliwe przekierowanie: strona działa, ale odwiedzający trafiają gdzie indziej.

Jako cel podszycia. W grudniu 2023 roku WordPress.org ostrzegł przed mailami podszywającymi się pod zespół bezpieczeństwa WordPressa, które informowały o rzekomej podatności i nakłaniały do instalacji wtyczki ^[7]. Zespół podkreślił, że nigdy nie prosi mailowo o instalację wtyczki lub motywu ani o login i hasło administratora ^[7]. Instalowana w ten sposób fałszywa wtyczka daje oszustom dostęp do witryny.

Zagrożenia i skutki

• Utrata pieniędzy: opłata za fałszywą usługę, a przy dostępie do bankowości także przelewy i kredyty ^{[1] [5]}.
• Pozostawiony program zdalnego dostępu i złośliwe oprogramowanie, dlatego Microsoft zaleca po incydencie rozważyć przywrócenie urządzenia do stanu fabrycznego ^[1].
• W firmie rozpoznanie sieci i ransomware. W opisanym wyżej incydencie atakujący uruchomili skrypt PowerShell i skanowali sieć; atak się nie powiódł, bo użytkownik nie miał uprawnień lokalnego administratora ^[4].

Jak się bronić

Microsoft podaje kilka reguł ^[1]:

• Microsoft nie wysyła niezamówionych maili ani nie dzwoni z prośbą o dane osobowe, finansowe lub naprawę komputera; kontakt musi zainicjować użytkownik.
• Nie dzwonić pod numer z wyskakującego okna.
• Pobierać oprogramowanie tylko ze stron producenta lub oficjalnego sklepu.

Po stronie organizacji Microsoft zaleca zablokowanie lub odinstalowanie Quick Assist, jeśli nie jest używany, oraz uczenie pracowników, by udzielali dostępu tylko wtedy, gdy sami zgłosili się do wsparcia ^[2]. MITRE zaleca wyłączenie zbędnych funkcji zdalnego połączenia, kontrolę aplikacji blokującą instalację niezatwierdzonych narzędzi zdalnego dostępu i ograniczenie ruchu wychodzącego do takich usług ^[3]. Sekurak na podstawie incydentu radzi nie nadawać użytkownikom uprawnień lokalnego administratora i ograniczyć komunikację z zewnętrznymi kontami Teams ^[4], co jest zastosowaniem zasady najmniejszych uprawnień.

Jeśli dostęp już został udzielony, Microsoft zaleca odinstalowanie programów wskazanych przez oszusta, pełne skanowanie, zmianę haseł, obserwację nietypowych logowań i kontakt z bankiem ^[1]. Przy zmianie haseł pomagają bezpieczne hasła i uwierzytelnianie wieloskładnikowe.