Eksperci CERT Polska obserwują w ostatnich miesiącach rosnącą liczbę oszustw na fałszywe inwestycje. Tylko w pierwszym kwartale 2024 roku zidentyfikowali aż 14 tysięcy domen internetowych oferujących fałszywe inwestycje. Co istotne, cyfrowi oszuści chętnie wykorzystują wizerunek znanych osób, na przykład polityków, dziennikarzy, sportowców czy influencerów. Dysponują też coraz bardziej zaawansowaną technologią. Dzięki sztucznej inteligencji (AI) są w stanie coraz wiarygodniej podszywać się pod innych. O najczęstszych oszustwach inwestycyjnych rozmawiamy z Karolem Bojke z CERT Polska.
Redakcja: Jakie są obecnie najczęściej spotykane i najpopularniejsze metody działania cyberoszustów w Polsce?
Karol Bojke: Na nieco ponad 100 tysięcy incydentów zarejestrowanych w CERT Polska w ubiegłym roku fałszywe inwestycje stanowią około połowę przypadków. Zdecydowanie jest to więc jeden z najbardziej rozpowszechnionych schematów oszustwa. Oszuści dostosowują formę i przekaz do różnych grup odbiorców. Reklamy fałszywych inwestycji bardzo często sygnowane są wizerunkami znanych osób – sportowców, aktorów, polityków…
Jeśli chodzi o rodzaje tych fałszywych inwestycji, to jakie rodzaje produktów finansowych są najczęściej promowane przez oszustów?
Bardzo popularne są fałszywe oferty dotyczące kryptowalut, ale i tradycyjnej giełdy. Oszuści często promują też inwestycje w duże projekty infrastrukturalne. Jednym z ulubionych motywów cyberprzestępców jest na przykład inwestycja w Baltic Pipe, czyli gazociąg łączący Norwegię, Danię i Polskę.
A jak to wygląda w praktyce, jeśli chodzi o oszustwa na kryptowaluty?
Przestępcy reklamują się w internecie, obiecując wysokie zyski, a następnie kontaktują się z potencjalną ofiarą telefonicznie lub za pośrednictwem popularnych komunikatorów. W kolejnym kroku podtykają fałszywe strony internetowe giełd kryptowalut i namawiają na to, aby przelać im środki, które rzekomo mają pojawić się na tej platformie. Wizualizacja operacji podtrzymuje iluzję, ale w rzeczywistości środki trafiają nie na zakup kryptowalut, a bezpośrednio na konto oszustów. Cały ten schemat jest bardzo szczegółowo dopracowany, bardzo wiarygodny. Przestępcy potrafią namówić ofiarę do wielu wpłat, mamiąc obietnicą pewnych zysków, a potem wymuszając rzekome opłaty dla pośredników, brokerów, celne lub podatkowe.
Czy są jakieś uniwersalne zasady, których człowiek planujący inwestycje powinien przestrzegać, aby nie dać się cyfrowym oszustwom?
Nie tylko w odniesieniu do fałszywych inwestycji, ale i w zasadzie do każdego oszustwa phishingowego , na pewno jeden punkt jest uniwersalny. To zwracanie uwagi na adres URL strony internetowej. Zawsze, kiedy wchodzimy na jakąkolwiek stronę WWW, która żąda od nas podania naszych danych albo na przykład podania numeru karty płatniczej (na przykład po kliknięciu w reklamę), weryfikujmy, czy adres zgadza się z tym oficjalnym, który znajdziemy na stronie instytucji. Nieznane firmy możemy też zweryfikować w innym wiarygodnym źródle, jak na przykład rejestr KNF.
To naprawdę sekundy. Wyróbmy sobie taki nawyk rzucania okiem na górę okna przeglądarki, na pasek adresu. Zwracajmy uwagę na szczegóły, bo przestępcy bardzo często korzystają z aliteracji, czyli z podmiany liter – na przykład I na L lub M zapisano jako R obok N, bo po prostu te litery zlewają się, jeżeli tylko pobieżnie rzucimy na nie okiem. Nasz mózg, spodziewając się znajomego słowa, podpowiada nam, że to słowo się tam faktycznie znajduje. A to może prowadzić do bardzo kosztownej pomyłki.
Jeśli podejrzewamy próbę oszustwa… zawsze warto zgłosić je do CERT Polska. Nawet jeśli do przestępstwa nie doszło. Może bowiem okazać się tak, że choć sami nie daliśmy się wykorzystać, znajdzie się wiele osób, które nie będą mieć tyle szczęścia co my. Zgłaszając próbę oszustwa, możemy więc chronić innych. W ten sposób każdy z nas może współtworzyć finansowe cyberbezpieczeństwo.
O rozmówcy:
Karol Bojke, specjalista ds. strategicznej komunikacji cyberbezpieczeństwa w CSIRT NASK. Pierwsze kroki w branży stawiał jako programista, później zajmował się analizą incydentów w CERT Polska. Obecnie, poza rozwijaniem własnych umiejętności technicznych, dzieli się wiedzą i propaguje ideę wspólnej odpowiedzialności za cyberbezpieczeństwo.
