Falešné dárkové kupóny na Facebooku. Nový podvod má za cíl krádež peněz nebo osobních údajů

U uživatelů Facebooku a Messengeru v Česku i dalších zemích se objevil nový typ podvodu, který má za cíl krádež osobních údajů nebo financí. Jménem známé osoby v kontaktech nabízí falešné dárkové kupóny do obchodů, jako jsou například Lidl nebo Allegro. Ve své tiskové zprávě to uvedla bezpečnostní firma Gen.

Podle výzkumníků Genu jde o variaci na tzv. ghostpairing, podvod objevený původně v Česku, při němž útočníci dokážou získat plný přístup k WhatsApp účtu oběti.

Nový podvod se soustředí na Facebook a Messenger, kam útočník pošle oběti zprávu jménem osoby, kterou má oběť ve svých kontaktech. Té již předtím odcizil účet na Facebooku. Ve zprávě žádá o telefonní číslo a následně oběti nabídne dárkový kupón či kartu, typicky do obchodu Lidl či Allegro, je však možné, že existují i další varianty. K jeho uplatnění pak musí oběť poslat útočníkovi kódy, které jí přijdou na telefon. Ve skutečnosti však jde o bezpečnostní kódy na různé služby, jako jsou Facebook, WhatsApp a další. Pokud je oběť přepošle, může je útočník použít na resetování hesel k jejím účtům a tajné spárování dalšího počítače či telefonu.

„Tento podvod je obzvlášť nebezpečný tím, že zpráva přichází od osoby, kterou oběť zná a má ji uloženou ve svých kontaktech – kamaráda nebo člena rodiny – a proto ztrácí ostražitost. Stačí krátká konverzace, žádost o telefonní číslo a lákavá nabídka voucheru; přeposláním ověřovacích kódů pak útočník okamžitě převezme kontrolu nad jejími účty,“ uvedl výzkumník malwaru v Genu Martin Chlumecký.

Útočník si také může vyžádat základní údaje o oběti, jako je výše uvedené telefonní číslo, e‑mailová adresa a název banky, kterou využívá. Následně se pokusí o reset hesla k jejímu bankovnímu účtu, načež oběti dorazí e‑mailové upozornění na pokus o změnu přístupových údajů. Krátce poté oběť kontaktuje falešný bankéř nebo falešný policista s tvrzením, že je její účet napaden a je nutné jednat. Tyto scénáře často míří k vylákání peněz, přičemž získané osobní údaje může útočník zároveň prodat na nelegálních trzích nebo zneužít k dalším formám vydírání a manipulace.