Wprowadzenie do problemu / definicja
Holenderskie organy ścigania ujawniły nowy wariant oszustwa bankowego, w którym przestępcy połączyli socjotechnikę, syntetyczne połączenia głosowe generowane przez sztuczną inteligencję oraz nadużycie funkcji NFC w smartfonach. Mechanizm ataku polegał na wzbudzeniu u ofiary przekonania, że jej konto lub karta płatnicza są zagrożone, a następnie na nakłonieniu jej do wykonania serii działań przedstawianych jako procedura bezpieczeństwa.
Kluczowym elementem tego schematu było wykorzystanie fałszywej aplikacji mobilnej, która umożliwiała odczyt danych z karty po zbliżeniu jej do telefonu. Dzięki temu cyberprzestępcy mogli realizować transakcje lub wypłaty bez fizycznego przejęcia karty, co oznacza istotną zmianę względem klasycznych scenariuszy oszustw telefonicznych.
W skrócie
- W ciągu około trzech tygodni oszuści mieli doprowadzić do strat sięgających 380 tys. euro.
- Poszkodowanych zostało około 170 osób.
- Atak rozpoczynał się od automatycznego połączenia głosowego podszywającego się pod bank.
- Ofiary były kierowane do rzekomego konsultanta, który instruował je, jak zainstalować fałszywą aplikację.
- Aplikacja wykorzystywała NFC do odczytu danych z karty i przekazania ich przestępcom w czasie zbliżonym do rzeczywistego.
Kontekst / historia
Sprawa została nagłośniona po sygnałach przekazanych przez banki do struktur zajmujących się walką z przestępczością elektroniczną i finansową. Śledczy zauważyli nowy wzorzec działania, który wyraźnie odbiegał od typowego helpdesk scamu, gdzie głównym celem jest wyłudzenie danych logowania, kodów autoryzacyjnych lub fizyczne odebranie karty od ofiary.
W opisywanym przypadku przestępcy rozbudowali oszustwo o komponent mobilny. To właśnie ten element pozwolił przenieść ciężar ataku z samej manipulacji psychologicznej do praktycznego pozyskania danych z nośnika płatniczego bez konieczności bezpośredniego kontaktu z kartą. Według ustaleń zatrzymano dwóch podejrzanych, którym przypisuje się rozwój technologii oraz koordynację operacji.
Analiza techniczna
Atak zaczynał się od zautomatyzowanego połączenia telefonicznego z komunikatem o rzekomo podejrzanej aktywności na rachunku. Głos i scenariusz rozmowy były przygotowane w taki sposób, aby jak najbardziej przypominały autentyczną komunikację bankową. Po wybraniu odpowiedniej opcji przez ofiarę rozmowa była przekierowywana do człowieka podszywającego się pod pracownika banku.
Na kolejnym etapie wykorzystywano presję czasu oraz starannie przygotowany skrypt socjotechniczny. Fałszywy konsultant przekonywał ofiarę, że dla zabezpieczenia środków konieczne jest pobranie aplikacji ochronnej lub narzędzia do blokady karty. Następnie użytkownik otrzymywał polecenie przyłożenia karty płatniczej do telefonu i zeskanowania jej za pomocą NFC.
Z technicznego punktu widzenia złośliwa aplikacja pełniła funkcję narzędzia do odczytu informacji z układu karty poprzez komunikację bliskiego zasięgu. Pozyskane dane były następnie przekazywane wspólnikowi, który mógł użyć ich do wypłaty gotówki albo przeprowadzenia płatności. Model ten przypomina zdalne pośredniczenie w transakcji, gdzie aktywność ofiary i sprawcy jest zsynchronizowana, aby umożliwić natychmiastowe wykorzystanie przechwyconych informacji.
Na szczególną uwagę zasługuje fakt, że metoda ta łączy trzy warstwy ataku:
- automatyzację komunikacji głosowej przy użyciu AI,
- precyzyjnie zaplanowaną inżynierię społeczną,
- nadużycie funkcji NFC w fałszywej aplikacji mobilnej.
Takie połączenie zwiększa skuteczność kampanii, ponieważ ofiara ma wrażenie uczestnictwa w legalnej procedurze bezpieczeństwa inicjowanej przez zaufaną instytucję.
Konsekwencje / ryzyko
Opisany model oszustwa znacząco podnosi poziom ryzyka zarówno dla klientów indywidualnych, jak i dla sektora finansowego. Wykorzystanie AI w połączeniach głosowych obniża koszty prowadzenia kampanii i pozwala przestępcom działać na większą skalę. Z kolei komponent NFC sprawia, że ofiara nie tylko daje się zmanipulować, ale aktywnie uczestniczy w procesie pozyskiwania danych z karty.
Ryzyko jest szczególnie istotne dlatego, że taki scenariusz może ominąć część tradycyjnych mechanizmów wykrywania nadużyć. Jeśli dane są wykorzystywane natychmiast, a transakcje realizowane są szybko i przez różnych uczestników grupy przestępczej, klasyczne reguły antyfraudowe mogą okazać się niewystarczające. Dodatkowym problemem jest wpływ takich incydentów na reputację banków, ponieważ oszuści świadomie wykorzystują autorytet procedur bezpieczeństwa oraz zaufanie klientów do telefonicznej obsługi.
Rekomendacje
Dla użytkowników najważniejsza jest zasada ograniczonego zaufania wobec wszelkich pilnych instrukcji przekazywanych telefonicznie. Jeżeli rozmówca podaje się za pracownika banku i żąda instalacji aplikacji, skanowania karty lub wykonania innych działań pod presją czasu, połączenie należy natychmiast zakończyć.
- Nie instaluj aplikacji przesłanych w trakcie rozmowy telefonicznej.
- Nie skanuj karty płatniczej telefonem na polecenie rzekomego konsultanta.
- Nie działaj pod presją czasu i nie potwierdzaj czynności, których celu nie rozumiesz.
- W razie wątpliwości samodzielnie skontaktuj się z bankiem, korzystając z oficjalnego numeru.
- Monitoruj historię transakcji i niezwłocznie zgłaszaj każdą nietypową aktywność.
Z perspektywy instytucji finansowych konieczne są działania edukacyjne oraz rozwój mechanizmów wykrywania nietypowych korelacji, takich jak seria szybkich wypłat, transakcje wykonywane bezpośrednio po kontakcie telefonicznym czy wzorce wskazujące na kampanie masowych połączeń. Istotne jest również monitorowanie fałszywych aplikacji podszywających się pod usługi bankowe oraz analiza sposobu, w jaki korzystają one z uprawnień związanych z NFC.
Podsumowanie
Ujawniony w Holandii incydent pokazuje, że oszustwa bankowe wchodzą w nowy etap rozwoju. Sztuczna inteligencja nie służy już wyłącznie do tworzenia przekonujących wiadomości czy nagrań, ale staje się integralnym elementem zautomatyzowanego łańcucha ataku, który kończy się realną stratą finansową.
Połączenie syntetycznego głosu, fałszywej aplikacji i odczytu danych z karty przez NFC tworzy model, który może być łatwo adaptowany w innych krajach. Dla banków, zespołów bezpieczeństwa i użytkowników to wyraźny sygnał, że ochrona przed fraudem musi dziś obejmować nie tylko świadomość phishingu, lecz także zagrożenia wynikające z nadużycia funkcji mobilnych i automatyzacji opartej na AI.
Źródła
- https://securityaffairs.com/201786/cyber-crime/ai-generated-fake-bank-calls-and-nfc-app-enabled-e380000-fraud-dutch-police-say.html
- https://nltimes.nl/