)
Huijaus voi tapahtua missä tahansa, kunhan rikolliset onnistuvat tavoittamaan kohteensa. F‑Secure on havainnut erään erityisesti Intiassa vauhdilla yleistyvän huijauksen. Vaikka kyseinen huijaus ei ole vielä levinnyt Suomeen asti, kuka tahansa voi joutua samanlaisen hyökkäyksen kohteeksi asuinpaikasta riippumatta, sillä nykyaikaiset huijaukset leviävät muihin maihin nopeasti.
Tämä huijaus alkaa WhatsAppiin saapuvalla viestillä, jossa kohteeksi valikoitunutta henkilöä pyydetään lataamaan haitallinen Android-ohjelma. Viestin lähettäjä väittää edustavansa tunnettua pankkia.
)
Kuva 1. Huijausviesti painostaa vastaanottajaa toimimaan nopeasti. (Kuva julkaistu alunperin LinkedInissä.)
)
Kuva 2. Toinen, F‑Securen haltuunsa saama huijausviesti, joka vaatii vastaanottajaa toimimaan nopeasti.
Huijauksen kohde saa ensin WhatsApp-viestin, joka korostaa tilanteen kiireellisyyttä ja pelottelee vastaanottajaa pankkitilin sulkemisella. Huijarit yrittävät saada uhrin asentamaan viestin liitteenä olevan APK-tiedoston ja väittävät sen olevan välttämätön käyttäjän tietojen päivittämiseksi.
APK on yleinen Android-käyttöjärjestelmässä käytetty tiedostomuoto, mutta tässä tapauksessa tiedosto on haittaohjelman tartuttama. Hyökkääjä toivoo, että huijauksen kohde asentaa tartutetun APK-liitetiedoston, jolloin haittaohjelma pääsee tunkeutumaan laitteeseen.
Miten haittaohjelma toimii?
Mitä tapahtuu seuraavaksi, kun huijauksen kohde on ladannut haittaohjelman? Saimme haltuumme WhatsApp-viestin lähteeltämme (kuvassa 2) ja analysoimme viestin liitteenä tulleen APK-tiedoston. Havaitsimme seuraavaa:
Haittaohjelman asentamisen jälkeen väärennetty pankkisovellus pyytää käyttäjältä lupaa lukea ja lähettää tekstiviestejä (kuva 3). Tämä saattaa tuntua harmittomalta, mutta käyttölupien saaminen on tärkeä osa haittaohjelman toimintalogiikkaa. Selitämme myöhemmin, miksi huijaus tarvitsee onnistuakseen käyttäjän myöntämät luvat.
)
Kuva 3. Haittaohjelma pyytää luvan lähettää ja lukea tekstiviestejä.
Saatuaan tarvittavat luvat, sovellus ohjaa käyttäjän seuraavaan vaiheeseen, jossa häntä pyydetään syöttämään henkilökohtaisia tietoja useassa eri näkymässä (kuva 4). Käyttäjältä pyydettäviin tietoihin kuuluvat esimerkiksi puhelinnumero, henkilökohtaisen tilin numero, syntymäpäivä sekä maksukortin numero.
)
Kuva 4. Sovellus ohjaa käyttäjän läpi erilaisista näkymistä, joissa häntä pyydetään syöttämään henkilökohtaisia tietoja.
Huijauksen kohde syöttää kaikki pyydetyt tiedot ja saa eteensä väärennetyn vahvistusviestin (kuva 5), jonka mukaan vaaditut tiedot on tallennettu. Todellisuudessa käyttäjän pankki ei saa mitään hänen lähettämistään tiedoista.
)
Kuva 5. Käyttäjän näkemä ”vahvistusviesti”.
)
Kuva 6. Vaihtoehtoinen ”vahvistusviesti”, jossa käyttäjää neuvotaan olemaan poistamatta pankkisovellusta.
Muissa analysoimissamme haittaohjelmanäytteissä viimeinen näkymä sisältää ”vahvistusviestin” sekä tekstin, jossa käyttäjää kehotetaan olemaan poistamatta sovellusta. Tämä johtuu siitä, että kyseinen ”pankkisovellus” ei ole saatavilla Play Storessa (kuva 6).
Mitä käyttäjän laitteella oikeasti tapahtuu?
Huijauksen kohde ei välttämättä osaa epäillä mitään erikoista olevan meneillään. Todellisuudessa haittasovellus on päässyt luvatta käsiksi uhrin pankkitiliin. Seuraavaksi kerromme, kuinka tämä ovela pankkihuijaus vaarantaa uhrin arvokkaita tietoja ja pankkitilin kulissien takana:
Sovellus varastaa uhrin tietoja
Kuten näimme yllä, valepankkisovellus väittää tarvitsevansa käyttäjän tietoja pankkitilin päivittämiseksi. Todellisuudessa huijarien sovellus kerää uhrin tietoja hänen huomaamattaan. Uhrin toimittamat tiedot siirtyvät joko pilvitietokantaan tai hyökkääjän hallitsemalle palvelimelle.
)
Kuva 7. Uhrin tiedot latautuvat huijarien tietokantaan.
Sovellus ohittaa monivaiheisen tunnistautumisen
Huijarien käyttämän haittaohjelman tärkein tehtävä on varastaa uhrin pankkitunnukset. Saatuaan tarvittavat tiedot huijarit ovat askeleen lähempänä pankkitilin kaappaamista. Heidän on kuitenkin ensin kirjauduttava uhrin pankkitilille.
Pankki lähettää kertakäyttöisen salasanan käyttäjän puhelimeen aina kirjautumisen yhteydessä, jos käyttäjä on aktivoinut kaksivaiheisen tunnistautumisen. Huijarit eivät siis pääse uhrinsa tilille pelkästään pankkitunnusten avulla — he tarvitsevat myös uhrin puhelimeen lähetetyn kertakäyttöisen salasanan.
Tätä varten huijarin on vakuutettava uhri myöntämään tarvittavat käyttöoikeudet. Muistatko vielä valesovelluksen aikaisemmin pyytämän luvan lähettää ja lukea tekstiviestejä (kuva 3)? Luvan avulla huijari pystyy kaappaamaan pankin lähettämän kertakäyttöisen salasanan.
Haittaohjelma tunnistaa automaattisesti uhrin puhelimeen lähetetyn salasanan ja ohjaa sen huijarin määrittämään puhelinnumeroon. Salasanan avulla huijari pystyy läpäisemään kaksivaiheisen tunnistautumisen ja kirjautumaan uhrin tilille.
)
Kuva 8. Tämä pätkä koodia ohjaa tekstiviestit hyökkääjän puhelimeen.
Yhteenveto: Varo pankin nimissä tapahtuvia huijauksia
Tämän huijauksen on havaittu kohdistuvan intialaisiin pankkeihin, mutta huijarit voivat käyttää samanlaista taktiikkaa myös muualla. Tämän lisäksi huijarit voivat esiintyä myös muina luotettavina palveluina, ei ainoastaan pankkeina.
WhatsAppilla on laaja käyttäjäkunta, minkä ansiosta myös huijareiden uhrit voivat asua eri puolilla maailmaa. Suosittelemme toimimaan varovaisesti, jos joku lähettää sinulle WhatsAppissa tuntemattomia linkkejä tai liitetiedostoja. Muista myös, että pankit eivät koskaan kysele asiakkaidensa pankkitunnuksia.
Rahasi ja tietosi pysyvät turvassa, kun olet valppaana ja tunnistat petoksen merkit.
)