słup

Słup (ang. money mule, w polskich tekstach też „muł finansowy”) to osoba, która udostępnia własne konto bankowe, portfel kryptowalutowy lub tożsamość do przyjęcia i dalszego przekazania pieniędzy albo towarów pochodzących z przestępstwa. Związek Banków Polskich opisuje takie osoby jako biorące udział, często nieświadomie, w praniu pieniędzy przez otrzymywanie i przenoszenie nielegalnie uzyskanych środków między rachunkami bankowymi lub krajami ^[1]. Sekurak pisze o poszukiwaniu tzw. słupów, czyli pośredników w nielegalnych transakcjach finansowych i towarowych ^[3]. Słup jest ostatnim ogniwem wielu oszustw internetowych: to na jego dane trafia śledztwo, a nie na dane organizatora.

Jak działa

Przestępca, który ukradł pieniądze z cudzego konta, potrzebuje rachunku, na który może je przelać, i człowieka, który wypłaci je lub prześle dalej. Niebezpiecznik opisuje schemat, w którym zwerbowana osoba wypłaca pieniądze z własnego rachunku w bankomacie i nadaje je przekazem pocztowym, do którego odbioru wystarcza imię i nazwisko adresata ^[4]. Po zgłoszeniu kradzieży policja ustala numer rachunku i dane osobowe, ale według Niebezpiecznika są to dane słupa, a nie przestępcy ^[4].

RYS. 1Przepływ pieniędzy przez słupa

Źródłem pieniędzy są zwykle ataki opisane w innych hasłach: phishing, trojany bankowe, przejęcie konta, BEC albo oszustwa na portalach ogłoszeniowych. Słup przerywa ślad między ofiarą a sprawcą.

Jak rekrutuje się słupy

CERT Polska w marcu 2012 roku opisał dwie kampanie spamu werbujące Polaków do przekazywania pieniędzy skradzionych z kont bankowości internetowej ^[2]. W pierwszej pojawiło się ponad tysiąc wiadomości, w drugiej prawie 10 tysięcy ^[2]. Wiadomości obiecywały od 200 do 500 EUR za każde „przetworzone zamówienie” i natychmiastową zapłatę ^[2].

Metody z czasem się zmieniały, ale wzór pozostał ten sam: łatwa praca zdalna.

Sekurak, powołując się na ostrzeżenie RSA z 2013 roku, opisywał fałszywe firmy z logo, profesjonalnymi tekstami i formularzami do śledzenia przesyłek ^[3]. Kandydaci dostawali kwestionariusze, umowy i materiały szkoleniowe, a „rekruter” oddzwaniał na rozmowę ^[3]. Niebezpiecznik w 2019 roku opisywał ogłoszenia na Facebooku i OLX obiecujące 2100 zł za dwie godziny pracy dziennie oraz podszywanie się pod znanych pośredników płatności ^[4].

ZBP wskazuje, że ta technika jest skierowana szczególnie do uczniów, studentów i osób w średnim wieku ^[1]. Osobną drogą jest romance scam: FBI definiuje oszustwa zaufania jako także takie, w których ofiara zostaje nakłoniona do przekazywania pieniędzy lub przedmiotów w celu ich wyprania na rzecz sprawcy ^[6].

Strony internetowe w schemacie

Werbunek słupów opiera się na wiarygodnie wyglądających stronach. Opisane przez Sekurak fałszywe firmy miały witryny z logo, bezbłędnymi tekstami i formularzami śledzenia przesyłek ^[3]. Taka witryna nie wymaga zaawansowanej techniki; wystarczy gotowy szablon. Właściciel strony na WordPressie powinien więc traktować jako incydent każdą nieznaną podstronę z ofertą pracy albo nieznane konto administratora, bo przejęta witryna może posłużyć przestępcom za wiarygodną wizytówkę.

Sklepy internetowe spotykają słupy w innej roli. Sekurak wymieniał wśród zadań „pracowników” transakcje z wykorzystaniem skradzionych danych kart oraz obrót towarami ^[3]. Zamówienie opłacone cudzą kartą i wysłane na adres pośrednika to wariant, w którym słup przyjmuje towar zamiast pieniędzy. Pokrewne jest testowanie kart, czyli sprawdzanie skradzionych numerów drobnymi płatnościami.

Zagrożenia i skutki

Dla słupa skutki są poważne. Art. 299 § 1 Kodeksu karnego przewiduje karę pozbawienia wolności od 6 miesięcy do 8 lat za przyjmowanie, przekazywanie lub transfer środków pochodzących z korzyści związanych z czynem zabronionym, jeśli może to udaremnić lub znacznie utrudnić stwierdzenie ich przestępnego pochodzenia ^[5]. Gdy sprawca działa w porozumieniu z innymi osobami, kara wynosi od roku do 10 lat ^[5].

CERT Polska ostrzegał, że udział w takim procederze z dużym prawdopodobieństwem skończy się wyrokiem sądowym, włącznie z pozbawieniem wolności ^[2]. Sekurak zaznaczał, że brak świadomości działania w charakterze słupa nie uchroni przed odpowiedzialnością karną ^[3]. ZBP dodaje możliwość wpisania danych osobowych do rejestru, co utrudnia późniejsze relacje z bankami ^[1].

Słup jest też ofiarą. Przekazuje przestępcom skany dokumentów i dane, które mogą posłużyć do kradzieży tożsamości, na przykład do założenia kolejnych rachunków na jego nazwisko.

Jak się bronić

• Nie przyjmować pracy, która polega na przyjmowaniu i przesyłaniu cudzych pieniędzy lub paczek ^[1].
• Nie otwierać rachunku bankowego na prośbę pracodawcy lub znajomego z sieci ^[1].
• Sprawdzać firmę niezależnie od strony, którą podał rekruter ^[3].
• Nie wysyłać skanów dowodu osobistego w procesie „rekrutacji”; przy podejrzeniu wycieku rozważyć zastrzeżenie numeru PESEL.
• Jeśli na konto wpłynęły podejrzane środki albo przekazano dokumenty, niezwłocznie zgłosić sprawę na policję ^[2].

Banki i policja prowadzą wspólne działania. W akcji EMMA5 od września do listopada 2019 roku w samej Polsce ujawniono 207 mułów finansowych, 99 organizatorów i 4691 nielegalnych transakcji oraz zapobieżono stratom blisko miliona euro ^[1]. W całej akcji, w 31 krajach, zatrzymano 228 osób i zidentyfikowano 3833 muły ^[1].