Wprowadzenie do problemu / definicja
Fałszywe call center to zorganizowane struktury wykorzystywane do prowadzenia oszustw telefonicznych, kampanii socjotechnicznych oraz wyłudzeń finansowych na dużą skalę. Ich operatorzy podszywają się pod banki, brokerów, organy ścigania lub firmy oferujące pomoc w inwestycjach, aby nakłonić ofiary do przekazania pieniędzy, ujawnienia danych płatniczych albo zainstalowania narzędzi zdalnego dostępu.
Najnowsza operacja przeprowadzona w Ukrainie pokazuje, że tego typu działalność ma już charakter przemysłowy. Nie chodzi o pojedyncze incydenty, lecz o rozbudowany ekosystem oszustw oparty na zapleczu telekomunikacyjnym, infrastrukturze IT, gotowych skryptach rozmów i kanałach transferu środków.
W skrócie
Ukraińskie organy ścigania przeprowadziły zakrojoną na szeroką skalę akcję wymierzoną w sieci oszukańczych call center działających w różnych regionach kraju. W ramach operacji wykonano 411 przeszukań i zlikwidowano 94 fałszywe centra, które miały służyć do prowadzenia oszustw finansowych wobec obywateli Ukrainy i innych państw.
- zabezpieczono 1794 w pełni wyposażone stanowiska pracy,
- przejęto 3336 urządzeń komputerowych i 1346 telefonów,
- zabezpieczono ponad 5200 kart SIM oraz 90 kart bankowych,
- ujawniono narzędzia dostępu do 20 portfeli kryptowalutowych,
- przejęto około 2 mln dolarów, 64 tys. euro, gotówkę w hrywnach, kilogram złota bankowego i biżuterię,
- co najmniej 26 osobom przedstawiono zarzuty.
Kontekst / historia
Model przestępczy oparty na call center od lat pozostaje jednym z najskuteczniejszych sposobów łączenia klasycznego oszustwa z elementami cyberprzestępczości. W odróżnieniu od prostych kampanii phishingowych takie operacje przypominają wyspecjalizowane przedsiębiorstwa, w których istnieje podział ról, zaplecze techniczne, bazy kontaktów oraz procesy monetyzacji wyłudzonych środków.
W analizowanym przypadku istotny jest także wymiar międzynarodowy. Według ustaleń służb część grup miała koncentrować się na ofiarach z innych krajów, w tym z państw Unii Europejskiej. To wpisuje się w znany schemat oszustw inwestycyjnych, w których ofiara jest najpierw profilowana, a następnie kierowana na fałszywą platformę brokerską lub kryptowalutową.
Analiza techniczna
Z ujawnionych informacji wynika, że operatorzy stosowali kilka uzupełniających się scenariuszy ataku. Jednym z podstawowych mechanizmów było podszywanie się pod pracowników banków i informowanie o rzekomo podejrzanych transakcjach, zagrożeniu dla rachunku lub konieczności pilnej weryfikacji konta. Celem takiej rozmowy było wywołanie presji czasowej i skłonienie ofiary do przekazania kodów autoryzacyjnych, danych kart płatniczych lub wykonania przelewu.
Drugim ważnym wektorem były oszustwa inwestycyjne. Przestępcy występowali jako brokerzy lub doradcy finansowi i przekonywali ofiary do wpłat na fikcyjne platformy inwestycyjne. Tego typu serwisy często prezentują sfabrykowane zyski, historię transakcji i profesjonalnie wyglądające panele użytkownika, aby utrzymać wiarygodność i zwiększyć kolejne wpłaty.
Szczególnie niebezpieczny pozostaje komponent zdalnego dostępu. Ofiary były nakłaniane do instalowania aplikacji pozwalających na przejęcie kontroli nad komputerem lub smartfonem. W praktyce oznacza to przejście od samej socjotechniki do pełnej kompromitacji urządzenia końcowego. Atakujący mogą wtedy obserwować ekran, przechwytywać dane logowania, ingerować w sesje bankowości elektronicznej oraz omijać część zabezpieczeń opartych na aktywności użytkownika.
Skala zabezpieczonego sprzętu i liczba kart SIM wskazują na wysoki poziom dojrzałości operacyjnej grup. Duża pula numerów mogła służyć do masowych kampanii połączeń, rotacji tożsamości, obchodzenia blokad i segmentacji ofiar. Z kolei narzędzia dostępu do portfeli kryptowalutowych oraz zabezpieczone aktywa sugerują wykorzystanie kryptowalut jako elementu transferu i ukrywania środków.
Według śledczych w centrach funkcjonowały wyspecjalizowane role, gotowe skrypty rozmów, zbiory kontaktów oraz oprogramowanie wspierające działania operatorów. Taki model pracy przypomina strukturę znaną z usług fraud-as-a-service, choć rdzeniem operacji pozostawał kontakt głosowy i psychologiczna manipulacja ofiarą.
Konsekwencje / ryzyko
Likwidacja 94 fałszywych call center pokazuje, że zagrożenie ma charakter zindustrializowany. Dla ofiar ryzyko nie ogranicza się wyłącznie do utraty pieniędzy. W grę wchodzi również przejęcie kont bankowych, kradzież tożsamości, zaciąganie zobowiązań finansowych na cudze dane oraz ponowne wykorzystanie raz pozyskanych informacji w kolejnych kampaniach oszustw.
Dla sektora finansowego problem jest wielowarstwowy. Przestępcy wykorzystują zaufanie do marek bankowych i procesów bezpieczeństwa, a użycie narzędzi zdalnego dostępu utrudnia odróżnienie działań rzeczywiście wykonywanych przez klienta od operacji wymuszonych przez oszusta. Dodatkowym wyzwaniem pozostaje transgraniczny charakter takich kampanii, który komplikuje analizę przepływów finansowych, współpracę śledczą i odzyskiwanie aktywów.
Istotnym elementem ryzyka jest także wtórna wiktymizacja. Osoby, które już raz padły ofiarą oszustwa, często stają się celem kolejnych kontaktów, na przykład pod pretekstem odzyskania utraconych środków. W praktyce dane takich osób mają wysoką wartość operacyjną dla grup przestępczych.
Rekomendacje
Instytucje finansowe powinny traktować oszustwa telefoniczne jako pełnoprawny element krajobrazu cyberzagrożeń. Skuteczna obrona wymaga połączenia analityki antyfraudowej z monitoringiem anomalii sesji, oceną ryzyka urządzeń końcowych oraz mechanizmami wykrywania zdalnej kontroli pulpitu.
- wdrożenie detekcji logowań i autoryzacji z urządzeń wykazujących aktywność narzędzi zdalnego dostępu,
- stosowanie reguł podwyższonego ryzyka dla przelewów inicjowanych po podejrzanym kontakcie telefonicznym,
- uruchamianie step-up authentication przy zmianie beneficjenta, limitów transakcji lub danych kontaktowych,
- analiza behawioralna sesji użytkownika pod kątem nietypowych sekwencji działań,
- utworzenie szybkiej ścieżki eskalacji dla zgłoszeń dotyczących podszywania się pod bank lub doradcę inwestycyjnego.
Po stronie użytkowników kluczowe pozostają podstawowe zasady higieny bezpieczeństwa.
- nie instalować oprogramowania zdalnego dostępu na żądanie rozmówcy,
- nie przekazywać przez telefon kodów SMS, danych kart ani danych logowania,
- samodzielnie oddzwaniać na oficjalny numer instytucji w celu weryfikacji kontaktu,
- traktować presję czasu i groźbę blokady konta jako sygnał ostrzegawczy,
- niezwłocznie zgłaszać incydent do banku i odpowiednich służb.
Z perspektywy zespołów SOC, CERT i działów antyfraudowych ważne jest również korelowanie danych z wielu źródeł, w tym telemetrii endpointów, systemów bankowych, reputacji numerów telefonicznych, analizy portfeli kryptowalutowych oraz informacji przekazywanych przez organy ścigania.
Podsumowanie
Akcja przeprowadzona w Ukrainie to wyraźny sygnał, że współczesne oszustwa finansowe prowadzone przez fałszywe call center osiągnęły skalę przemysłową. Zorganizowane grupy łączą socjotechnikę, infrastrukturę telekomunikacyjną, narzędzia zdalnego dostępu i kanały finansowe, aby masowo okradać ofiary w różnych krajach.
Dla branży cyberbezpieczeństwa i sektora finansowego oznacza to konieczność zacierania tradycyjnej granicy między fraudem a klasycznym incydentem cyber. Skuteczna obrona wymaga jednoczesnego uwzględnienia czynnika ludzkiego, bezpieczeństwa urządzeń końcowych, analizy transakcji i ścisłej współpracy międzynarodowej.