Uwaga na oszustów, którzy grasują na OLX, „wysyłają DHL-em” i każą płacić przez Dotpaya

dodał 22 marca 2018 o 08:12 w kategorii Prawo  z tagami:
Uwaga na oszustów, którzy grasują na OLX, „wysyłają DHL-em” i każą płacić przez Dotpaya

Metody stosowane przez oszustów działających za pośrednictwem OLX nie są może wyrafinowane, ale podlegają zmianom, by nie dało się ich za szybko zdemaskować i wciąż przynosiły zyski. Oto jeden z najnowszych scenariuszy ataku.

„Za namową kolegi przesyłam schemat postępowania oszusta, być może sprawę da się nagłośnić” – napisał w mailu do redakcji jeden z naszych Czytelników, dodając, że sam niejednokrotnie czytał podobne ostrzeżenia, co najprawdopodobniej uchroniło go przed utratą sporej sumy.

Zaczęło się niewinnie – Czytelnik wypatrzył na OLX interesującą go ofertę. Osoba prywatna (niby Monika, ale na zdjęciu widać raczej mężczyznę) zamieściła ogłoszenie, że odda za darmo chodzik dla dziecka. Kto pierwszy, ten lepszy. Trzeba tylko opłacić wysyłkę.

Oferta oszusta na OLX

Czytelnik skontaktował się z ogłoszeniodawcą i poprosił o dane do przelewu. Wtedy dowiedział się, że chodzik zostanie wysłany za pośrednictwem firmy kurierskiej DHL, co będzie kosztować 17 zł. „Wysłałabym pocztą, ale paczka długo idzie, bo mamy mały oddział poczty i paczki leżą na poczcie nawet tydzień” – argumentował oszust (w oryginale bez polskich znaków i przecinków, co można zobaczyć po kliknięciu na poniższy zrzut ekranu).

Rozmowa z oszustwem na OLX – cz. 1

Czytelnik dostał mailem link do systemu płatności online:

Towarzyszyła mu informacja, że „kliknięcie jest jednoznaczne z akceptacją regulaminu nadawania przesyłek za pośrednictwem firmy kurierskiej”. Mail został wysłany z użyciem adresu marta-golubinska@wp.pl (nagłówków niestety nie widzieliśmy). Po kliknięciu w link nastąpiło przekierowanie na fałszywą stronę Dotpay:

Fałszywa strona Dotpay

Jak widać na powyższym zrzucie ekranu, oszust zadbał o poprawne skonfigurowanie HTTPS i zieloną kłódkę na pasku adresu (pozyskanie certyfikatu Let’s Encrypt nic nie kosztuje). Można także przypuszczać, że skorzystał z oferty niejakiego Hochwanderka, który pod koniec zeszłego roku sprzedawał na forum Cebulka w sieci Tor „bramkę płatności wraz z fake stroną dotpay.pl”.

Czytelnik ma konto w mBanku, wybrał więc odpowiednią ikonkę i trafił na wiarygodnie podrobioną stronę logowania do swego banku. Procedura płatności nie przebiegała sprawnie. Powód? W tego typu oszustwach „obsługa” ofiar nie została jeszcze zautomatyzowana. Atakujący logują się na ich konta bankowe w czasie rzeczywistym, pieczołowicie definiują przelew zaufany – to musi chwilę potrwać. Czytelnik zaczął się niecierpliwić, chciał zmienić sposób płatności. Oszust uspokajał, że wszystko jest w porządku, poza tym „brat męża tak płaci”. Z drugą częścią rozmowy możecie zapoznać się poniżej:

Rozmowa z oszustwem na OLX – cz. 2

Czytelnik otrzymał w końcu SMS-y z kodem potwierdzającym od mBanku, ale ich treść go zaskoczyła. Dobrze, że przeczytał je uważnie. Zrozumiał, że ma do czynienia z próbą oszustwa i nie wpisał na fałszywej stronie przesłanych kodów. Poinformował o incydencie bank, a nam przesłał zrzuty ekranu.

SMS-y z mBanku

OLX też ostrzega

W nawiązaniu do powyższego ostrzeżenia Aleksandra Głowacka z Działu Obsługi Użytkownika OLX przesłała nam następujący komentarz:

Podkreślamy, że jedynym rekomendowanym przez OLX sposobem odbioru przedmiotów z ogłoszenia jest odbiór osobisty, dopiero po obejrzeniu towaru u ogłoszeniodawcy. Czujność kupujących powinny też wzbudzić propozycje, w których sprzedający nalega na przelew z góry i oferuje towar w nadzwyczaj okazyjnej cenie. Należy też uważać na propozycje, w których sprzedający odsyła nas do płatności za pośrednictwem zewnętrznych stron. Najlepiej od razu zgłaszać je do serwisu pod TYM LINKIEM. Członkowie zespołu obsługi użytkownika są po to, by pomagać w bezpiecznych zakupach.

Warto odnotować, że w podobny sposób przebiegał także opisany przez nas niedawno atak z wykorzystaniem systemu płatności Przelewy24 i usługi Paczkomatów. Jeśli chcielibyście posłuchać, jak opowiadamy o takich (i wielu innych) atakach na żywo, zaproście nas z wykładem do swojej firmy – przyjedziemy, podzielimy się doświadczeniem. Często dopiero demonstracja ataku na ekranie przemawia do wyobraźni potencjalnych ofiar.