Szantaż cyfrowy – o złośliwym oprogramowaniu, fałszywych stronach i zagrywkach psychologicznych

Czym jest szantaż cyfrowy?

Trzeba zacząć od tego, że szantaż to forma przestępstwa, w której oszust bazuje na strachu, wstydzie, sekretach lub niewiedzy swojej ofiary. Jeśli cel ataku nie spełni określonych żądań, przestępca grozi naruszeniem prywatności, wyrządzeniem szkody finansowej, fizycznej, psychicznej lub reputacyjnej. Może wykorzystać kompromitujące informacje lub zasoby, np. zdjęcia oraz poważnie naruszyć prywatność.

Rozwój cyfryzacji przyniósł za sobą nowe metody i zwiększenie się skali szkód szantażu, które może odczuć ofiara. Łupem mogą paść dostęp do urządzeń, komunikacja elektroniczna oraz my sami, czyli wszystkie nasze cyfrowe dane. Oprócz tego, co nieraz przeraża, o nieszczęściu może się dowiedzieć niezliczona liczba osób, które będą pamiętać o sytuacji nawet przez wiele lat.

Rodzaje szantażu cyfrowego

Ransomware

Do metod szantażu cyfrowego można zaliczyć dobrze znany ransomware, czyli złośliwe oprogramowanie szyfrujące urządzenie. Przestępca żąda okupu lub innego dobra w zamian za udzielenie dostępu, choć nie zawsze jest to pewne. Niedawno media obiegła informacja o ataku na Einhaus Group (Niemcy) - firmę zajmującą się naprawą oraz ubezpieczeniem telefonów, która zapłaciła 200 tys. euro okupu, ale 11% wykradzionych danych i tak znalazło się w dark necie. Firma popadła w ruinę - zredukowała swoje zasoby osobowe ze 170 pracowników do zaledwie 8…

Scareware

Scareware należy do tej samej rodziny co ransomware. To także rodzaj złośliwego oprogramowania, ale jego sposób działania i cel różnią się diametralnie. Scareware opiera się głownie na manipulacji psychologicznej, przy pomocy której atakujący chce wyzwolić w ofierze bardzo konkretną emocję - strach. Przestępca wykorzystuje taktyki zastraszające, aby przekonać użytkownika do pobrania fałszywego programu zabezpieczającego lub opłacenia rzekomej usługi naprawczej. Atak rozpoczyna się od wyskakującego okienka, które udaje skanowanie systemu, po czym informuje o „krytycznych zagrożeniach” lub „wirusach” wykrytych na urządzeniu. 

Te fałszywe ostrzeżenia wyglądają jak prawdziwe komunikaty, które mogą przypominać interfejsy znanych programów antywirusowych, co potęguje poczucie paniki. Wyłudzenie pieniędzy to nie jedyny cel scareware. Atakujący dąży także do zainfekowania komputera dodatkowym malware, takim jak ransomware, keyloggery czy trojany. W tym oszustwie internetowym przestępca bazuje na sile psychologicznego nacisku, wykorzystując nieświadomość użytkownika, jego strach i chęć szybkiego pozbycia się problemu.

Ransomware atakuje dane, scareware - głównie psychikę. Pierwsze działa brutalnie i może mieć dużą i długotrwałą siłę rażenia, a drugie jest sprytne. W ataku scareware głównym narzędziem jest blef. Oba mają ten sam cel - wyłudzić pieniądze i złamać ofiarę.

Groźby związane z naruszeniem prawa

W Polsce oraz innych krajach oszuści poszli jeszcze krok dalej i zdecydowali się na dość śmiałe posunięcie - podszywali się pod Policję. W ubiegłym roku polski Internet obiegła informacja o oficjalnych pismach rzekomo spod ręki Komendanta Głównego Policji, w których informowano odbiorcę, że uczestniczył w rozsyłaniu nielegalnych filmów. Otrzymany dokument miał stanowić dowód w sprawie. 

W dalszej części odbiorca dowiaduje się, że jest zobowiązany do kontaktu na wskazany w piśmie adres e-mail. Jeśli nie udzieli odpowiedzi w ciągu 24 godzin, to rzekomo zostaną wykorzystane kolejne środki, m. in. nakaz zatrzymania. 

Wiadomość sprawiała wrażenie autentycznej. Na dole widniał podpis, jednak jest to próba oszustwa. Gdy naciągacze otrzymają odpowiedź, będą próbowali wyłudzić dane osobowe lub pieniądze. 

Do „ciekawego” zdarzenia doszło także w Indiach. Były oficer ochrony padł ofiarą, tzw. cyfrowego aresztu. Fałszywy funkcjonariusz policji i CBI przekonał go, że jego dane zostały powiązane z międzynarodowym przekrętem finansowym. Mężczyzna przelał ponad 1,8 crore rupii (ponad 900 tys. zł), ponieważ był przekonany o konieczności „współpracy” z organami ścigania.

Jak się bronić?

Podstawą skutecznej obrony przed oszustwami internetowymi jest cyberhigiena, czyli świadome i odpowiedzialne korzystanie z technologii. Standardowo należy używać renomowanego oprogramowania chroniącego przed złośliwym oprogramowaniem, sprawdzać adresy URL i certyfikaty bezpieczeństwa, a także weryfikować domeny, zanim klikniemy w link. Warto przyjrzeć się czy strona internetowa ma HTTPS (Hyper Transfer Protocol Secure), co oznacza, że połączenie między przeglądarką a serwerem jest szyfrowane i bezpieczne. 

Jednak nawet najbardziej zaawansowane rozwiązania nie zastąpią czujności i wiedzy szczególnie w sytuacjach, gdzie na pierwszy plan wysuwa się manipulacja psychologiczna. 

W każdej z opisanych metod cyberprzestępców, niezależnie od tego czy mówimy o scareware, ransomware czy groźbach związanych z rzekomym naruszeniem prawa, przestępcy celowo wywołują strach, panikę i wywierają presję, aby zmusić ofiarę do natychmiastowego działania. Nie chodzi tylko o technikę - także o emocje. To właśnie one są główną bronią cyberprzestępców. W takich momentach u każdego z nas może pojawić się szok, niedowierzanie, paraliżujący strach, które są zupełnie naturalnymi reakcjami. Kluczowe jest, żeby w porę je rozpoznać i nie dać się ponieść emocjom, bo na to właśnie liczą atakujący.

Co zrobić? Po pierwsze, spróbować zachować spokój. Jeśli to możliwe, poprosić kogoś o pomoc - krewnego, zaufanego kolegę z pracy albo odpowiednie służby, np. policję lub CERT Polska. Warto również zgłaszać podejrzane wiadomości, żeby pomóc chronić innych.

I najważniejsze - edukować siebie i swoich bliskich. Cyberprzestępcy działają demokratycznie, bo ich ofiarą może stać się każdy. Świadomość zagrożeń w Internecie, to pierwsza linia obrony.