Państwowa agencja bije na alarm. Fałszywe powiadomienie może ogołocić Cię z gotówki. Narażeni użytkownicy tych telefonów

Na ekranie telefonu pojawia się znajome logo, nazwa sklepu, programu lojalnościowego albo popularnej aplikacji. Wszystko wygląda dokładnie tak, jak jedno z dziesiątek powiadomień, które każdego dnia dostajemy na telefonie. Problem w tym, iż komunikat wcale nie musi pochodzić z aplikacji, której nazwę widzimy. CERT Polska ostrzegł 25 września przed nowym sposobem działania oszustów, którzy do podszywania się pod znane usługi wykorzystują mechanizmy reklamowe znajdujące się w telefonach.

Mężczyzna przeczytał niepokojące wieści na telefonie. Grafika poglądowa (generowana przy pomocy AI).

To szczególnie niebezpieczna metoda, bo użytkownik nie dostaje podejrzanego SMS-a od nieznanego numeru ani wiadomości e-mail z dziwnym adresem nadawcy. Fałszywa treść pojawia się tam, gdzie normalnie wyświetlane są komunikaty telefonu i aplikacji. Może zawierać prawdziwą nazwę oraz logo znanej usługi. Dopiero kliknięcie pokazuje, iż coś jest nie tak – zamiast uruchomienia oczekiwanej aplikacji telefon otwiera zewnętrzną stronę internetową.

Oszust wykorzystuje reklamy w telefonie, a komunikat może wyglądać jak wiadomość z prawdziwej aplikacji

CERT Polska określa tę metodę jako nowy sposób działania obserwowany przez specjalistów zajmujących się cyberbezpieczeństwem. Cyberprzestępcy wykorzystują mechanizmy reklamowe telefonów do wyświetlania treści przypominających zwyczajne komunikaty pochodzące z popularnych aplikacji. Mogą wykorzystywać wizerunek i nazwę sklepów, programów lojalnościowych oraz platform zakupowych. Dla użytkownika różnica może więc nie być oczywista, szczególnie gdy powiadomienie dotyczy aplikacji, którą rzeczywiście ma zainstalowaną i z której regularnie korzysta.

Cały mechanizm wykorzystuje zaufanie, jakie mamy do własnego telefonu. Przy wiadomości SMS wiele osób nauczyło się już patrzeć na numer nadawcy, błędy językowe i podejrzane linki. W przypadku powiadomienia z nazwą znanej aplikacji odruch jest zupełnie inny. jeżeli ktoś widzi informację sugerującą wiadomość ze sklepu lub programu, z którego korzysta, kliknięcie w komunikat może wydawać się czymś całkowicie normalnym. Właśnie dlatego samo logo czy poprawna nazwa usługi nie są już wystarczającym potwierdzeniem, iż komunikat faktycznie został przez nią wysłany.

Po dotknięciu takiego powiadomienia użytkownik zamiast do aplikacji może zostać przeniesiony na stronę internetową kontrolowaną przez inną firmę lub przez oszustów. CERT wskazuje, iż strony te mogą służyć między innymi do promowania niechcianych usług albo do wyłudzania danych. Samo przekierowanie powinno więc zapalić czerwoną lampkę, szczególnie gdy strona zaczyna żądać logowania, danych osobowych albo innych informacji, których użytkownik nie spodziewał się podawać.

CERT zaobserwował problem na telefonach Xiaomi, Oppo i Realme. Lista nie musi się na nich kończyć

W ostrzeżeniu z 25 września CERT Polska wymienia konkretnie telefony Xiaomi, Oppo i Realme, na których zaobserwowano fałszywe komunikaty. Nie oznacza to jednak, iż właściciele telefonów innych marek mogą problem zignorować. Specjaliści zaznaczają, iż podatni mogą być wszyscy producenci pozwalający na wyświetlanie zewnętrznych reklam w systemie operacyjnym urządzenia. Nie chodzi więc o lukę ograniczoną do jednego konkretnego modelu telefonu, ale o sposób wykorzystania istniejących mechanizmów reklamowych.

W przypadku Xiaomi możliwość wyświetlania reklam w elementach systemu nie jest niczym ukrytym. Producent opisuje w swojej dokumentacji system reklamowy i informuje, iż reklamy mogą pojawiać się w aplikacjach oraz elementach interfejsu. Mogą pochodzić zarówno od samego Xiaomi, jak również od zewnętrznych platform reklamowych. Taki model sam w sobie nie oznacza oczywiście oszustwa. Problem zaczyna się wtedy, gdy dostępna powierzchnia reklamowa zostaje wykorzystana do materiału, który udaje prawdziwy komunikat innej aplikacji.

To też tłumaczy, dlaczego fałszywe powiadomienie może wyglądać przekonująco. Przestępca nie musi włamywać się do aplikacji sklepu, banku czy programu lojalnościowego, którego wizerunek wykorzystuje. Może próbować dostarczyć użytkownikowi reklamę wyglądającą w taki sposób, aby odbiorca sam uznał ją za powiadomienie pochodzące z zaufanej usługi. To zupełnie inny mechanizm niż klasyczne przejęcie konta lub zainfekowanie konkretnej aplikacji, ale dla osoby patrzącej na ekran efekt może być bardzo podobny.

Najprostszy test: nie klikaj komunikatu, tylko samodzielnie otwórz aplikację

CERT Polska podaje bardzo prostą zasadę, która pozwala ograniczyć ryzyko. jeżeli powiadomienie informuje o promocji, problemie z kontem, nowej wiadomości albo wymaga wykonania jakiejś czynności, nie trzeba korzystać z wyświetlonego komunikatu. Można zamknąć powiadomienie i samodzielnie uruchomić aplikację z ekranu telefonu. o ile informacja jest prawdziwa i rzeczywiście pochodzi z danej usługi, bardzo często będzie widoczna również wewnątrz jej oficjalnej aplikacji.

Istotnym sygnałem ostrzegawczym jest także sytuacja, w której po dotknięciu komunikatu zamiast aplikacji otwiera się przeglądarka i zupełnie nowa strona internetowa. Nie każda aplikacja otwierająca stronę WWW jest oczywiście próbą oszustwa, bo firmy legalnie korzystają z takich przekierowań. Przy niespodziewanym komunikacie lepiej jednak nie wpisywać na takiej stronie loginu, hasła, danych karty ani innych informacji. Adres można sprawdzić oddzielnie, a adekwatną usługę otworzyć bezpośrednio.

Nie należy też zakładać, iż komunikat jest prawdziwy tylko dlatego, iż grafika wygląda profesjonalnie. Skopiowanie logo dużego sklepu, nazwy programu lojalnościowego czy kolorystyki aplikacji nie wymaga dziś specjalistycznej wiedzy. W przypadku tej kampanii właśnie warstwa wizualna ma sprawić, aby użytkownik nie zastanawiał się nad źródłem powiadmienia, ale od razu wykonał oczekiwaną czynność.

Na Xiaomi można ograniczyć takie reklamy. CERT wskazuje konkretnie aplikację MSA

Właścicielom telefonów Xiaomi CERT Polska wskazał również możliwość ograniczenia ryzyka poprzez wyłączenie powiadomień pochodzących z MSA – MIUI System Ads. Jest to system związany z wyświetlaniem reklam w urządzeniach Xiaomi. Nazwy poszczególnych ustawień i droga do nich mogą różnić się zależnie od modelu telefonu oraz wersji MIUI lub HyperOS, dlatego najłatwiej wyszukać w ustawieniach telefonu hasło „MSA”, a następnie sprawdzić uprawnienia dotyczące powiadomień.

Trzeba przy tym odróżnić wyłączenie samych powiadomień MSA od opcji wyłączenia reklam spersonalizowanych. Xiaomi informuje w swojej dokumentacji, iż dezaktywacja personalizacji nie oznacza usunięcia reklam. Po wyłączeniu spersonalizowanych rekomendacji użytkownik może przez cały czas zobaczyć taką samą liczbę materiałów reklamowych, tyle iż nie będą one dobierane na podstawie jego preferencji. jeżeli celem jest ograniczenie powiadomień reklamowych, samo wyłączenie personalizacji nie rozwiązuje problemu.

Dwa dni wcześniej CERT opisał inną dużą kampanię wymierzoną w polskich użytkowników Androida

Nowe ostrzeżenie pojawiło się zaledwie 2 dni po publikacji obszernej analizy innej operacji wykorzystującej reklamy do atakowania polskich użytkowników Androida. To osobna kampania i nie należy jej utożsamiać z fałszywymi powiadomieniami, jednak pokazuje skalę zainteresowania przestępców mobilnymi systemami reklamowymi. CERT Polska zabezpieczył w ramach tamtego śledztwa 1235 reklam Meta. Z 17 złośliwymi aplikacjami dostępnymi w Google Play udało się powiązać 852 reklamy wyświetlane pod 60 zidentyfikowanymi nazwami profili.

Jednym z przykładów była reklama twierdząca, iż aplikacja do obsługi plików PDF straciła ważność i musi zostać natychmiast zaktualizowana. Po kliknięciu użytkownik trafiał jednak do zupełnie niezwiązanego komunikatora Messenger Pro znajdującego się w Google Play. Analiza wykazała, iż aplikacja mogła uczestniczyć w mechanizmie określanym jako toll fraud. CERT podczas badań zaobserwował zadania dotyczące między innymi SMS-ów Premium oraz cyklicznych płatności realizowanych przez operatora komórkowego. Aplikacja została później usunięta ze sklepu po zgłoszeniu CERT Polska.

Obie sprawy mają wspólny element: użytkownik widzi treść w środowisku, któremu zwykle ufa. W jednym przypadku jest to reklama prowadząca do aplikacji znajdującej się w oficjalnym sklepie Google Play, w drugim mechanizm reklamowy telefonu wyświetlający coś, co przypomina komunikat znanej usługi. Sam fakt, iż coś pojawiło się wewnątrz telefonu albo prowadzi do oficjalnego sklepu, nie powinien kończyć weryfikacji.

Co zrobić, gdy takie powiadomienie pojawi się na telefonie

Najbezpieczniej nie wykonywać żadnej czynności bezpośrednio z podejrzanego powiadomienia. jeżeli komunikat wykorzystuje nazwę sklepu, programu lojalnościowego lub innej znanej usługi, można zamknąć go i uruchomić adekwatną aplikację manualnie. Gdy telefon po kliknięciu przekierował już na stronę internetową, nie należy podawać tam danych, instalować proponowanych aplikacji ani akceptować kolejnych zgód tylko dlatego, iż strona wykorzystuje znane logo. Warto również sprawdzić adres witryny oraz zamknąć ją, o ile nie odpowiada oficjalnej domenie danej usługi.

Użytkownicy Xiaomi mogą dodatkowo sprawdzić w ustawieniach powiadomienia aplikacji MSA i je wyłączyć, zgodnie z zaleceniem CERT Polska. Niezależnie od marki telefonu dobrze jest przejrzeć aplikacje oraz usługi mające prawo wysyłać powiadomienia i pozostawić tę możliwość tylko tam, gdzie rzeczywiście jest potrzebna. System telefonu i zainstalowane aplikacje powinny być aktualizowane z oficjalnych źródeł. Podejrzaną stronę lub próbę phishingu można zgłosić przez formularz CERT Polska albo za pośrednictwem usługi Bezpiecznie w sieci dostępnej w aplikacji mObywatel.

Najważniejsza zmiana dotyczy jednak samego sposobu patrzenia na powiadomienia. Nazwa aplikacji i znajome logo nie gwarantują już, iż komunikat rzeczywiście został przez nią wysłany. o ile wiadomość wywołuje presję, zachęca do kliknięcia lub prowadzi na stronę, której użytkownik się nie spodziewał, najbezpieczniej zamknąć ją i wejść do usługi własną drogą. Kilka dodatkowych sekund może wystarczyć, żeby odróżnić prawdziwe powiadomienie od reklamy przygotowanej przez oszustów.