Wyobraźmy sobie taką scenę: poranek, kawa w dłoni, wsiadamy do auta, wciskamy play, a tu zamiast ulubionej playlisty – głucha cisza. Chwilę później w skrzynce mailowej znajdujemy wiadomość od serwisu Spotify: „Twoja płatność została odrzucona, zaktualizuj dane karty, bo stracisz dostęp do konta”. Ręka sama wędruje do portfela, prawda? No i właśnie o to chodzi oszustom. W naszym radiowym cyklu Prawda czy Fejk dziś o tym jak działa najnowszy przekręt „na Spotify”, przed którym ostrzega CERT Polska, i dlaczego tak łatwo dajemy się złapać na własny lęk przed brakiem muzyki?
Posłuchaj
Powiedzmy sobie szczerze, w dzisiejszych czasach zabrać komuś w drodze do pracy dostęp do ulubionych podcastów albo playlisty do biegania, to jak odciąć mu tlen. Cyberprzestępcy doskonale o tym wiedzą i grają na naszej rutynie oraz lekkiej panice.
Kiedy widzimy znajome zielone logo i komunikat - "hej, twój bank odrzucił płatność, zaraz zablokujemy ci konto", wyłącza nam się myślenie krytyczne, a włącza tryb "muszę to załatwić w 15 sekund". CERT Polska bije na alarm, bo właśnie trwa duża kampania phishingowa, podszywająca się pod Spotify. Mechanizm jest stary jak internet, ale wciąż diabel nieskuteczny.
Dostajemy e-mail, który wygląda niemal identycznie jak oryginalna korespondencja ze szwedzkiego serwisu. Czcionka się zgadza, kolory się zgadzają, ton jest uprzejmy, ale stanowczy. Zaktualizuj metodę płatności, inaczej wracasz do darmowej wersji z reklamami co dwie piosenki.
Perspektywa słuchania reklam o maści na ból stawów w środku treningu potrafi zmotywować każdego. Klikamy więc w link, lądujemy na stronie, która do złudzenia przypomina panel logowania Spotify i wpisujemy nasz login oraz hasło. Zaraz potem grzecznie podajemy numer karty, datę ważności i ten słynny trzycyfrowy kod CVV z odwrotu.
W tym momencie nie płacimy żadnej subskrypcji, właśnie wyręczyliśmy złodziejom klucze do naszego konta bankowego, a przy okazji oddaliśmy im też login i hasło, które, przyznajmy się bez bicia, wielu z nas wykorzystuje też w pięciu innych miejscach w sieci.
Jak się przed tym bronić? Zasada jest banalnie prosta. Po pierwsze, nigdy nie załatwiamy spraw finansowych przez link z maila. Jeśli Spotify faktycznie ma problemy z pobraniem opłaty, zamykamy pocztę, otwieramy oficjalną aplikację w telefonie albo wpisujemy adres serwisu ręcznie w przeglądarce i tam sprawdzamy status konta.
Po drugie, rzućmy okiem na pełny adres nadawcy, nie tylko na nazwę wyświetlającą się na ekranie. Jeśli zamiast oficjalnej domeny widzimy tam ciąg przypadkowych liter albo adres wyglądający jak spotify-pomoc-płatności24.xyz to jest znak, że jedyną muzyką jaką usłyszymy po kliknięciu, będzie marsz żałobny dla naszych oszczędności.
