bron: pixabay.com
Dat er met credit cards en andere betaalkaarten graag lekker geknoeid en gescamd wordt, is al lang bekend. Phishing, skimming, scamming, whatever. Het is altijd oppassen. Maar nu zag ik op Twitter wel een heel geraffineerde nieuwe scam-methode.
@DigitalLawyer Pieter Gunst maakte het zelf mee. Hij tuinde er uiteindelijk gelukkig niet in, maar ik kan me voorstellen dat zo menige, goedgelovige bankklant dat wél doet. Want dit is echt smerig smart. Pieter beschrijft het in het Engels (zie Twitterdraadje), maar ik zal nog even samenvatten hoe het in z’n werk gaat.
Je wordt gebeld. Mogelijk zelfs door een gewoon Nederlands nummer. De stem aan de andere kant zegt: “Hallo, u spreekt met X.Y. van uw bank [banknaam]. Er is een poging gedaan om met uw credit card geld op te nemen in Miami, Florida. Was dit een legitieme transactie? Was u dit?”
Natuurlijk was je dit niet, dus je antwoordt nee.
“Oké. De transactie is nu geblokkeerd. Om te verifiëren dat ik ook daadwerkelijk met de juiste persoon spreek nu, moet ik u even om uw credit card nummer [lidmaatschapsnummer, gebruikersnummer, whatever] vragen.”
Natuurlijk geef je het nummer ter verificatie; op zich is dat nummer nutteloos, daar kan de ander zonder verdere codes toch niets mee beginnen.
bron: pixabay.com
“Goed. Ik heb nu een verificatiecode naar uw telefoon gestuurd. Kunt u die voorlezen?”
Ploink, daar is de sms met de verificatie-PIN, komende van het gebruikelijke nummer van de bank. Je leest de code braaf voor.
“Oké, alles in orde. Ik lees nu enkele transacties voor. Zegt u alstublieft of deze transacties wel door u gedaan zijn.” De ‘bank-medewerker’ somt een aantal transacties op. Allemaal legitiem en door jou gedaan; je bevestigt dat deze transacties inderdaad kloppen.
“Dank u wel! Nu zal ik de PIN van uw rekening c.q. kaart blokkeren, zodat u een fraude-alert krijgt als de kaart weer onrechtmatig gebruikt wordt. Wat is uw PIN-code?”
En dat is het moment waarop Pieter onraad rook. Geen enkele bank vraagt namelijk aan de telefoon naar je PIN-code. Hoe legitiem het telefoontje ook lijkt en hoezeer de gegevens ook lijken te kloppen, dit is foute boel. De beller dreigt nog even dat de kaart dan niet geblokkeerd kan worden, maar dat is natuurlijk total bullshit.
Maar hoe werkt deze truc dan??
1) say you are the bank
2) trick victim into disclosing username.
3) use password reset workflow that triggers text with code
4) get victim to read pin
5) reset password, account access achieved.
6) sometimes need additional credentials to get $$$ (card pin)— Pieter Gunst (@DigitalLawyer) October 8, 2019
Zodra je je credietkaart-/gebruikersnummer geeft, typt de beller dit in op het inlogscherm van je bank en klikt op password reset (paswoord vergeten). Dat zorgt ervoor dat jij een paswoord-resetcode per sms krijgt, op het met je bankrekening verbonden telefoonnummer. Die code lees je vervolgens – nog nietsvermoedend – voor, want je denkt nu echt dat je met je bank telefoneert. Op deze wijze kan de scammer het paswoord resetten en krijgt hij toegang tot je rekeninggegevens.
Vervolgens worden van daaruit dus enige transacties (die je natuurlijk allemaal gedaan hebt c.q. kent), voorgelezen. Het telefoontje wordt zo nog geloofwaardiger. Dan wil de scammer dat doen waarvoor hij belt: geld overmaken. En voor de bevestiging van die transactie heeft hij je PIN nodig. Dat is het moment dat de scam duidelijk wordt.
Het lullige is, dat het allemaal ongelooflijk geloofwaardig klinkt en dat de beller de taal perfect beheerst en netjes converseert. Daarnaast krijg je ook nog eens de eerste verificatiecode van het gebruikelijke nummer van je eigen bank; uiterlijk dan denk je dat je daadwerkelijk met de bank te maken hebt.
Maar zoals gezegd; je eigen bank vraagt nooit telefonisch om je PIN-code. En een kaart of transactie blokkeren kan altijd, ook zónder opgaaf van PIN. De beste remedie zou natuurlijk zijn om gewoon nooit meer je telefoon op te nemen bij een onbekend nummer of ongepland inkomend telefoontje. Maar ja, dat kan niet altijd. Soms moet je wel opnemen. Dus pas op en trap er niet in. Want je bent je zuurverdiende centen zo kwijt.
Met dank aan Pieter Gunst, die deze gehaaide scam-truc meteen op Twitter zette.
Oooof. Was just subjected to the most credible phishing attempt I’ve experienced to date. Here were the steps:
1) “Hi, this is your bank. There was an attempt to use your card in Miami, Florida. Was this you?”
Me: no.
— Pieter Gunst (@DigitalLawyer) October 7, 2019
Ik werd gebeld toen ik in St Petersburg zat. Maar die vroeg niet naar mijn gegevens. Enige vraag die hij had was of ik PayPal had en dat er verdachte aankopen gedaan waren. HIj blokkeerde gelijk mijn kaart. en verder niks. Keurig al het geld terug gekregen.
Ook dan schrik je wel even.