לא באמת זכיתם! הצצה בהודעות זכייה בהשראת המונדיאל כששעת השיא מתקרבת
מאת: מערכת Telecom News, 11.6.18, 12:45
 
כשמונדיאל 2018 בפתח, עברייני הרשת שולפים את כל הקלפים הקשורים לכדורגל כדי לפתות אוהדים ליפול בפח ולהרוויח כסף על חשבונם. ההודעות הכוזבות מקפצות ברחבי האינטרנט בין הרשתות החברתיות, תיבות המייל ואפליקציות המסרים ומסתמכות על טכניקות הנדסה חברתית.
 
חוקרי חברת אבטחת המידע ESET זיהו כמה הודעות ספאם המנסות לנצל את תשומת הלב הגוברת לאירוע הכדורגל הבינלאומי. ההודעות הכוזבות, שמקפצות ברחבי האינטרנט בין הרשתות החברתיות, תיבות המייל ואפליקציות המסרים, מסתמכות על טכניקות הנדסה חברתית ידועות כדי להוציא מהקורבנות כסף.

כחלק מההונאות, שאורבות למשתמשי האינטרנט בזמן אירועים בין-לאומיים כמו המונדיאל, גילו החוקרים כמה דוגמאות של קמפיינים של הגרלות, שמסתובבים ברשת בזמן האחרון.
 
דוגמה לאחת מתרמיות הגרלה מהזמן האחרון:
   
זו גרסה פשוטה מאוד של תחבולה קלאסית, שמשמשת רמאים מזה זמן רב לקראת אירועים גדולים: מודיעים לך שלכאורה זכית בהגרלה, וכדי לקבל את סכום הזכייה עליך ליצור קשר עם מארגן ההגרלה. במקרה הזה, הפרטים ליצירת קשר נמצאים בתוכן של הודעת מייל, שנכתבה ברשלנות, שמנסה בכל זאת להסתמך על רצון טוב כלשהו של הנמען כלפי פיפ"א וגוגל.
 
בתסריטים דומים מסוג זה, העבריינים יגרמו לכם לפתוח קובץ מצורף, לרוב מסמך PDF או Word, שבו תוכלו לגלות עוד פרטים על "הזכייה" שלכם ועל דרכי ההתקשרות עם המארגנים. כך, שתוכלו לקבל את ה"פרס" שלכם.
 
הודעת דוא"ל והקובץ המצורף אליה:  
מטבע הדברים, ההודעות והמסמכים המצורפים מנוסחים כך, שיעוררו תחושה של דחיפות, והם יבקשו מכם לפעול בתוך מספר ימים מוגבל, ואם לא תאבדו את ה"פרס". כדי להגביר את תחושת הלגיטימיות, ההודעות מלאות באזכורים לארגונים רשמיים ו/או לארגונים מומצאים עם שמות הנשמעים רשמיים.

ההודעות אף עלולות להכיל חותמות, שנראות כמו חותמות רשמיות, למרות שבמקרים מסוימים הרמאים מתפשרים על גרפיקה בסיסית ביותר.
 
הכרזה מזויפת נוספת על זכייה בהגרלה:  
ללא קשר לשגיאות הכתיב ולרמת הגרפיקה שלהם, המטרה של כל הקמפיינים האלה היא זהה. לאחר שהקורבנות הגיבו להודעה וסיפקו את המידע האישי שלהם, העלילה מתחילה להסתבך. על פי תסריט העוקץ הניגרי הידוע, ברוב המקרים הנמענים משוכנעים, שהם צריכים לשלם עמלה מסוימת כדי לשחרר את הפרס שלהם. בנוסף, הרמאים עלולים לנסות ולשכנע את קורבנותיהם לשלם עוד ועוד כסף, עד שהקורבנות יבינו את טעותם ויוותרו.
 
בנוסף, כשקורבן משיב למייל, הוא מוכיח לרמאי, שכתובת המייל הזאת משמשת אדם אמיתי, והם לא צריכים לתת שום פרט נוסף חוץ מכתובת המייל הזו. באופן הזה הם מביאים לכך, שתיבת המייל "תופצץ" בעוד דואר זבל ובאיומים פוטנציאליים נוספים, או מאותה כנופיה של עברייני רשת או מרמאים אחרים, שעלולים לקנות רשימה של כתובות מייל פעילות מעמיתיהם.
 
טריק ידוע נוסף הוא הבטחה לחופשות חינמיות בזמן המונדיאל. זאת, תוך כדי שיוצרי ההונאה מתחזים לאחד השותפים של פיפ"א. דוגמה טובה לטריק היא ההונאה הבאה, ניתן לראות הודעת דוא"ל המיועדת לאוהדים ברזילאים ומציגה את עצמה כהצעה מחברת VISA.
 
תרמית המכוונת לאוהדים ברזילאים:
במקרה הזה התוקפים מנסים לגרום לקורבן להיכנס לתחרות, שבסיומה יוכלו לזכות בחופשה זוגית "הכול-כלול" ברוסיה. כל מה שהנמען צריך לעשות כדי להיכנס להגרלה זה להירשם ולבצע רכישה קטנה. ניסיון העבר הוכיח, שהנוכחות של סמלי מותג רשמיים מזויפים הוא מספיק כדי לגרום לאנשים רבים ליפול בפח ולתת את פרטיהם האישיים.
 
מיגל אנחל מנדוסה, חוקר אבטחה של ESET, "המלכודות כוללות גם מכירה של כרטיסי משחק מזויפים, חדשות מזויפות, או קישורים לאתרים זדוניים, שיכולים לשמש כשער לנוזקות או לאיומים אחרים. גם תרמיות דיוג נמצאות בהודעות אלה במרבית המקרים".
 
כמובן, לאחר שהתוקף הצליח לגרום לכם לספק את פרטיכם האישיים באתר מתחזה, הוא עלול לשלוח לכם הודעה, שמקשרת לאתר היוצר רווחים באמצעות פרסומות מזויפות או כאלו שיחדירו נוזקה למחשבכם כחלק מקובץ להורדה.

בטכניקה השנייה, מכשיריהם של המשתמשים עלולים להיפרץ רק מביקור באתר כזה. זאת מכיוון, שהנוזקה, שמתחבאת בתוך קוד המקור של האתר, מנצלת פרצת אבטחה, בד"כ בדפדפן עצמו או בפלאג-אין, ומתקינה את עצמה על מכשירים חשופים. זה מאפשר לעבריינים לגנוב את פרטיהם האישיים של המשתמשים או לגייס את המכשירים ל"בוטנט" (Botnet), וכמובן שישנם עוד איומים אחרים.
 
חוקרי החברה הבחינו גם ברישומי כתובות אינטרנט (דומיינים) חשודים. למרות שנכון לרגעים אלה הכתובות האלו אינן בשימוש או מפנות לאתרים, שמתבססים על שרתי אחסון זולים, נראה, שרבים מהם יפתיעו אותנו וישמשו למטרות זדוניות.
 
ליתר ביטחון נגיד, שהטקטיקות, שצוינו לעיל, הן רק מדגם של חלק מהדרכים בהן משתמשים כדי לנסות ולגרום לאוהדי כדורגל לחלוק את פרטיהם האישיים, את כספם או את שניהם.
שעת השיא של ההונאות ברוח המונדיאל נמצאת בשיאה ככל שאנו מתקרבים לאירוע עצמו. אנו מוכרחים להוביל במשחק הזה כדי שנוכל ליהנות מחגיגת הכדורגל המתקרבת מבלי להיתפס ברשת של היריב.
 
קמילו גוטיארס, מנהל המודעות והמחקר של ESET באמריקה הלטינית: "קשה להפריז בחשיבותה של הערנות לטקטיקות הנדסה חברתית בהן משתמשים עברייני הרשת. ככל שנהיה חכמים יותר כמשתמשים, כך לתוקפים יהיה קשה יותר להפיץ את ההודעות המטעות שלהם ולשכנע אנשים".