Csúnyán át akarják verni az egyik hazai nagybank ügyfeleit

Újfajta adathalász módszer ütötte fel a fejét a közelmúltban, amely Magyarországon az OTP Bank ügyfeleit célozza. Ha nem akarunk átverés áldozataivá válni, akkor érdemes megfontolni, hogy mit telepítünk a mobilunkra, ugyanis csalók pillanatok alatt megszerezhetik a banki adatainkat.

A mostani csalások a progresszív webalkalmazásokra (PWA) épülnek, amelyek az androidos és iOS-es készülékeken is elérhetőek. Amennyiben egy weboldalnak nincs hivatalos mobilalkalmazása, PWA-ként könnyedén kitűzhető a böngészőből a telefon kezdőképernyőjére, amivel lényegében olyan, mintha egy mobilapp lenne.

A weboldalak így értesítést küldhetnek, hozzáférhetnek az eszköz hardveréhez, de még a háttérben történő szinkronizációra is képesek. Az egyetlen gond, hogy a rosszindulatú felek is felfigyeltek a progresszív webalkalmazásokban rejlő lehetőségekre, és a mostani adathalász akcióban sajnos a magyar felhasználók is érintettek.

Az ESET kiberbiztonsági kutatói felhívták a figyelmet arra, hogy 

az adathalászok a PWA-k segítségével megkerülik az alkalmazástelepítésekre vonatkozó korlátozásokat és a rosszindulatú tevékenység észlelését, így kockázatos jogosultságokat szereznek a készüléken. 

Jelenleg két, egymástól független adathalász kampány épül a progresszív webalkalmazásokra: egy Grúziában, egy pedig Magyarországon zajlik.

Hazánkban elsősorban az OTP ügyfelei érintettek, akiket automatizált hívásokkal, üzenetekkel és kétes Facebook-hirdetésekkel környékeznek meg a kiberbűnözők. Az első két esetben az ügyfeleket arról tájékoztatják, hogy banki alkalmazásuk elavult, ezért biztonsági okokból szükséges egy új applikáció telepítése. Ehhez kapcsolódóan küldenek egy hivatkozást, amit megnyitva feltelepül a PWA-app a mobilra - ismerteti az átverés lényegét a PC World.

Már a progresszív webalkalmazásokat is kihasználják csalók
Fotó:  Shutterstock

Mit jelent pontosan a PWA?

A PWA úgy működik, mint egy natív mobilalkalmazás, viszont ahogy a neve is sugallja, egy webalkalmazás jelenti az alapját. A web alapú alkalmazásainkat egyszerűen tehetjük platformfüggetlenné, melynek célja, hogy a böngészőben futó appok mobilra telepített alkalmazásként működjenek. Ennek köszönhetően eléri a kamerát, kezelheti a mikrofont, a telefon tárhelyét, és akár push üzenetet is küldhet. 

A hagyományos webes alkalmazásokkal szemben úgy néz ki a folyamat, hogy amikor valaki felkeres böngészőben egy weboldalt, a rendszer felajánlja a felhasználónak, hogy telepítheti a PWA appot a mobiljára. Ez nem csak egy egyszerű hivatkozást jelent, hanem konkrétan a telefon tárhelyére telepíti az appot, és hozzáférést biztosít a telefon bizonyos funkcióihoz, valamint offline is futtathat bizonyos folyamatokat. 

A csaló hirdetések a bank hivatalos arculati elemeit használva igyekeznek megtéveszteni az ügyfeleket. Korlátozott ideig elérhető ajánlatokkal provokálják ki egy bizonyos "kritikus alkalmazásfrissítés" telepítését, aminek szintén egy rosszindulatú, hivatalos banki alkalmazásnak kinéző PWA lesz a vége.

Tekintve, hogy egy ilyen progresszív webalkalmazás javarészt a böngészőre épül, hozzáfér mindenhez, amihez az adott kereső is.

Az app megnyitása során a legtöbb esetben egy bejelentkező felület fogadja a megtévesztett felhasználókat, ahol aztán az érzékeny adatok pillanatok alatt a csalók kezében köthetnek ki.