Strona Allegro będzie prawdziwa. Płatność PayU będzie prawdziwa. Niestety oferta sprzedaży będzie oszustwem i ten, kto zapłaci za telefon, zostanie okradziony. Jak to możliwe? Przestępcy niestety nie cierpią na brak kreatywności.
Kilka dni temu opisywaliśmy oszustwo, w którym internauci są namawiani do zakupów na fałszywej stronie Allegro, gdzie czeka na nich link do prawdziwej płatności w serwisie Przelewy24, tylko że płatność dotyczyła czegoś innego i trafiała na konto oszusta. Pisaliście wtedy, że łatwo można zauważyć, że strona Allegro jest fałszywa. Co zatem powiecie na oferty na prawdziwej stronie Allegro, prowadzące do prawdziwych płatności PayU, które trafiają jednak na konto oszustwa?
Prawdziwe Allegro
Otrzymaliśmy zgłoszenia o ciekawej treści opisów niektórych aukcji na Allegro. W momencie publikacji artykułu linki do ofert jeszcze działają, ale oferty są już nieaktywne:
https://allegro.pl/oferta/xiaomi-redmi-note-7-4-64gb-czarny-8258872866
https://allegro.pl/oferta/samsung-galaxy-j5-prime-2018-g570-3-32gb-8257995230
Na pierwszy rzut oka oferty wyglądają normalnie.
Kiedy jednak zajrzymy do ich opisu, znajdujemy tam coś nietypowego – na przykład taki wpis:
W opisie oferty jej autor zamieścił informację o treści:
Sprzedam nowy telefon Samsung Galaxy J5 16GB. Odbiór osobisty w Toruniu lub wpłata kartą przez PayU na moje saldo allegro i wysyłka kurierem, link do płatności pod spodem:
Link prowadzi do nieaktywnej już, prawdziwej płatności PayU. Ktokolwiek z niego skorzystał, by „zapłacić” za telefon, przelał pieniądze złodziejowi lub zapłacił za jego inne zakupy. W drugiej ofercie znajduje się informacja:
Odbiór osobisty w Toruniu lub wpłata kartą przez PayU na moje saldo allegro i wysyłka kurierem, link znajduje się w sekcji „Dodatkowe informacje o dostawie”
I faktycznie, w sekcji „Dostawa i płatność” znajdziemy link do innej płatności PayU.
Z samych linków do płatności też możemy się czegoś dowiedzieć:
{„alg”:”HS256″}{„orderId”:”KQVFXZR9FT190629GUEST000P01″,”posId”:”lmiqJi1z”,”authorities”:[„ROLE_CLIENT”],”payerEmail”:”[email protected]”,”exp”:1561915227,”iss”:”PAYU”,”aud”:”api-gateway”,”sub”:”PayU subject”,”jti”:”fa827950-faed-45d2-a772-cf0471f8b41e”}
{„alg”:”HS256″}{„orderId”:”ZRKQQ3NK2K190629GUEST000P01″,”posId”:”lmiqJi1z”,”authorities”:[„ROLE_CLIENT”],”payerEmail”:”[email protected]”,”exp”:1561920806,”iss”:”PAYU”,”aud”:”api-gateway”,”sub”:”PayU subject”,”jti”:”b16db63f-2cb8-4871-bb69-79764c5d42c5″}
Po ich odkodowaniu widzimy, że mają różne identyfikatory zamówień, ale ten sam identyfikator punktu sprzedaży. Ten sam jest też e-mail płatnika ([email protected]). Obie transakcje wygasały po południu 30 czerwca, co oznacza, że te oszustwa trwają już od około dwóch tygodni.
Jeśli pytacie „kto się na to łapie”, to niestety wiemy, że są ofiary.
Podsumowanie
Jak widzicie na powyższym przykładzie, kreatywność przestępców jest nieposkromiona. Coraz trudniej jest wytłumaczyć potencjalnym ofiarom, czego mają unikać i na co zwracać uwagę. Jeśli chcecie użyć informacji o tym ataku, by podnieść poziom świadomości pracowników w swojej firmie, to tu znajdziecie plik ZIP z gotowymi zrzutami ekranu w dobrej rozdzielczości, bez znaków wodnych. Bierzcie i korzystajcie. A jeśli chcecie, by szkolenie przeprowadził ktoś z zewnątrz, to chętnie pomożemy.
Komentarze
Oszuści też się rozwijają – niestety…
Linki jak linki.Za niedlugo to bedzie pisk i krzyk ogolnoswiatowy.Cos czuje ze internet przejdzie wielka zmiane.
https://www.zdnet.com/article/hackers-breached-greeces-top-level-domain-registrar/
A dlaczego allegro nie blokuje aukcji które zawierają linki?
Tak trudno walidować zamieszczone w formularzu informacje czy nie zawierają linków? Moim zdaniem allegro ponosi odpowiedzialność za takie przekręty.
A co Ci przeszkadzają linki w opisie? Bardzo często sprzedając coś podaje się opis ze strony producenta.
Dla tych skurczybyków ważne jest tylko to, czy nie wstawiasz linków do swojej strony, żeby przypadkiem klient nie kupił poza Allegro. Resztę to mają w głębokim poważaniu…
[email protected] – ten adres to adres oszusta?
Marketing automation tip:
Jeśli już wrzucacie screeny w zipie to może warto zrobić z tego PDFa ze znakami wodnymi? Powiedzmy że ja udostępnię to 10 pracownikom, każdy weźmie to do domu, poda dalej raz na 100 lat — nie każdy pobierze ze źródła…
Mało tego, można też taką paczkę umieścić za landingiem zbierającym maile i subtelnie przypominać o najważniejszych powiązanych tematycznie sprawach…
Ale to nie po to :) Zrób z tego webinar, prezentacje, elearning, newsletter – oddajemy gratis i nie chcemy nic w zamian.
Nie ogarniam, po co ktoś miałby płacić linkiem z treści opisu, jak allegro ma zintegrowane płatności?
A dlaczego nie?
Powodów kilka by się znalazło. Od najprostszego, żeby nie paść ofiarą tego typu przestępstwa, po taki, że wygodniej jest kliknąć „kup teraz”, wybrać jak i gdzie się chce odebrać towar i zapłacić, niż zaznaczać i kopiować treść do paska adresu, a potem myśleć, jak tu w sumie ustalić metodę dostawy ze sprzedającym i przekazać mu adres. Bo te „prawdziwe linki” to… technicznie nie linki, tylko treść do samodzielnego użycia. ;-)
Żeby zhackować system i kupić poza Allegro, „żeby nie dać zarobić złodziejom”? Sam miałem do czynienia ze sprzedawcą, który prosił mnie, żebym po miesiącu potwierdził do Allegro, że odstąpiłem od umowy, dzięki czemu on zaoszczędzi na prowizji.
no tak – i w sytuacji powtórzenia tego 3 razy, masz pewną blokadę konta; jest tak jeszcze?
bo jeśli tak, to twój wpis może nieźle niektórym namieszać xD
Sprzedawca to nowy bez pełnej aktywacji. Unikam takich chyba, że mogę odebrać osobiście. Zbyt niska cena za nowy produkt też daje do myślenia, a myślenie nie boli
czy allegro pozwala na sprzedawanie bez pełnej aktywacji? bo kiedyś nie ? ? ? no chyba że zmienili to – na gorsze w każdym bądź razie
@Adam – Jak odszyfrowaliście token zaszyfrowany HS256 nie mając hasła?
Nie był zaszyfrowany – zobacz dowolny link do płatności PayU, zajmie Ci to pewnie 4 sekundy. Albo 64 ;)
HS256 jest używany tylko w celu podpisania, potwierdzenia, że nic nie zostało zmienione w parametrach JSON. Działa na zasadzie pary kluczy prywatnego i publicznego do weryfikacji zaufania przekazywanych danych – w tym przypadku parametrów do transakcji PayU.
Mam całą korespondencje e-mail z tym oszustem czy ktoś został oszukany?
Już widziałem sklepy internetowe co redirectują do linku płatności payu z innego sklepu, wiec raczej nie żadna nowość, gdzieś tak od roku idzie w internecie to zauważyć, tylko może nie jest tak popularne i nie używane przez wielu przestępców.
a alledrogo rączki umywa, bo to ich portal i oni pozwalają na takie oszustwa. SPrawa do sądu dla takich ofiar i przegrana alledrogo jak w przypadku bankow, gdzie ktoś skrada pieniadze klientowi. Za coś te alledrogo odpowiadają prawda?
ło joi joij Yoy; chyba tak to nie działa
są sytuacje kiedy sąd orzecze winę banku i każe zapłacić a bank? nie! to nie ich wina bo i strata za duża xD