Proběhl SMShing cílený na klienty ČSOB
SMShing neboli SMS phishing není tak běžný jako klasický phishing, ovšem s rostoucím počtem mobilních zařízení s Google Android a především pak aplikací pro tuto platformu roste i počet těchto útoků.
Útočníci v tomto případě rozesílali SMS, ve kterých informovali příjemce o problému s doručením balíku společností DHL a nabízeli i rychlé řešení v podobě stažení aplikace.
V okamžiku, kdy uživatel na odkaz v SMS klikl, tak musel ještě ve svém telefonu povolit instalaci aplikací z neznámých zdrojů, tedy provést něco, co banka rozhodně nedoporučuje. Ať už je ale aplikace instalována odkudkoliv, tak se vždy před instalací zobrazí, jaká práva požaduje.
V tomto případě aplikace požadovala přístup k SMS a k nastavení systému. To proto, aby se mohla šířit rozesíláním SMS na další zařízení a odchytávat SMS s jednorázovými kódy. Přístup k nastavení systému pak potřebovala proto, aby ji nešlo odinstalovat, ukončit, a mohla sledovat, které aplikace jsou spuštěny, a vytvářet pak dialogová okna napodobující obrazovky jiných na telefonu běžících aplikací.
Aplikace tedy běžela na pozadí, a v okamžiku kdy byla vyvolána aplikace ČSOB SmartBanking, tak tato podvodná aplikace zobrazila svou vlastní obrazovku s formulářem umožňujícím zadání jména a hesla do internetového bankovnictví.
Zvláštní však bylo, že tato podvodná aplikace zobrazila obrazovku, která svým designem odpovídala spíše ČSOB InternetBanking 24 než ČSOB SmartBankingu, takže této změny by si klient mohl všimnout, stejně jako skutečnosti, že aplikace požadovala zadání jak identifikačního čísla, tak i PIN.
Útočník samozřejmě nemohl zneužít ČSOB SmartBanking nainstalovaný na telefonu oběti k realizaci platby, mohl ale zneužít přihlašovací údaje, které tímto způsobem získal k tomu, aby se pokusil nějakou transakci realizovat právě přes ČSOB InternetBanking 24.
Zde je třeba si uvědomit, že podobně jako se vyvíjí phishing, tak se vyvíjí i SMShing a příště už může být i obrazovka, kterou zobrazuje falešná aplikace naprosto nerozeznatelná od té originální.
Tento typ útoku je obzvlášť nebezpečný, protože zatímco dříve musel útočník nakazit jak počítač oběti, tak i její telefon, aby se dostal k jednorázovému SMS kódu, tak v tomto případě mu stačí nakazit jen telefon.
V zásadě jediným řešením tak je neinstalovat aplikace z neznámých zdrojů a vždy kontrolovat oprávnění, které aplikace požaduje, a v případě pochybností instalaci odmítnout. Dále pak používat ČSOB Smart klíč, protože v takovém případě útočníkovi ani přístup k SMS zprávám nepomůže, neboť k potvrzení transakce je nutné zadat PIN v této aplikaci.
Štítky: Android, smartbanking, SMShing
K článku “Proběhl SMShing cílený na klienty ČSOB” se zde nenachází žádný komentář - buďte první.
Diskuse na tomto webu je moderována. Pod článkem budou zobrazovány jen takové komentáře, které nebudou sloužit k propagaci konkrétní firmy, produktu nebo služby. V případě, že chcete, aby z těchto stránek vedl odkaz na váš web, kontaktujte nás, známe efektivnější způsoby propagace.
