Szanowni Klienci,
W ostatnich dniach doszło do bardzo poważnego wycieku danych z firmy „myDr”, a skala incydentu może obejmować około 18,8–19 mln osób. Wśród danych, które zostały przejęte mogą znajdować się nie tylko podstawowe dane identyfikacyjne (PESEL, imię i nazwisko, adres zamieszkania), ale również informacje związane z wizytami, receptami, lekami i historią leczenia.
Zwracamy uwagę na możliwość bardzo spersonalizowanych ataków socjotechnicznych. Potencjalny oszust, dysponując informacjami o tym, na co dana osoba potencjalnie choruje lub jakie wystawiono jej recepty, może wykorzystać tę wiedzę podczas rozmowy telefonicznej w celu przekonania ofiary do wykonania określonego działania. Znajomość informacji dotyczących chorób czy recept umożliwia przestępcy znacznie skuteczniejsze uwiarygodnienie takiej rozmowy.
Bezpośrednim celem takiej rozmowy może być nakłonienie ofiary oszustwa do podania danych logowania, podania lub zatwierdzenia kodu autoryzacyjnego danej transakcji, wykonania „przelewu zabezpieczającego", przeniesienia środków na „rachunek techniczny banku", czy podania danych karty. Szczególnie prawdopodobnym scenariuszem wykorzystania przejętych danych mogą być spersonalizowane wiadomości SMS podszywające się pod placówkę medyczną, system rejestracji wizyt lub operatora usług medycznych.
Jeżeli przestępcy posiadają informacje o historii wizyt, placówkach lub usługach medycznych, mogą przygotować wiadomości odnoszące się do rzeczywistych lub prawdopodobnych zdarzeń, np.:
- „Aby potwierdzić wizytę, kliknij w link",
- „Wymagane jest ponowne potwierdzenie terminu wizyty",
- „Do wizyty pozostała dopłata 4,99 zł – ureguluj należność, aby zachować termin",
- „Nie udało się pobrać opłaty za konsultację – dokończ płatność",
- „Twoja wizyta zostanie anulowana, jeśli nie potwierdzisz jej w ciągu 30 minut".
Link zawarty w wiadomości może prowadzić do fałszywej strony płatniczej lub strony imitującej serwis medyczny, bank albo operatora płatności. Celem może być pozyskanie:
- danych karty płatniczej,
- danych logowania do bankowości elektronicznej,
- kodów autoryzacyjnych,
- danych osobowych,
- zgody na płatność lub autoryzację operacji w aplikacji bankowej.
Należy zatem zakładać wysokie prawdopodobieństwo wykorzystania wycieku danych jako pretekstu do oszustwa w postaci:
- zwiększenie liczby prób vishingu, smishingu i phishingu,
- wzrost prób przejęcia bankowości elektronicznej,
- wzrost przypadków manipulowania klientami do samodzielnego wykonania przelewu,
- wykorzystanie wycieku jako pretekstu do „zabezpieczania rachunku",
- wzrost prób kradzieży tożsamości,
- szantaż i wymuszanie płatności .
Pamiętaj! Pracownicy Banku podczas rozmowy telefonicznej nigdy nie proszą o podanie hasła do bankowości elektronicznej, loginu ani kodów autoryzacyjnych. Bank nie wysyła również linków z prośbą o ich otwarcie lub zalogowanie się za ich pośrednictwem.
Jeśli rozmówca prosi Cię o takie dane lub przesłanie kodu, przerwij rozmowę i skontaktuj się z Bankiem, korzystając wyłącznie z oficjalnego numeru telefonu.