Telefonsvindel kingpin får 13 år for at køre "iSpoof"-tjenesten

Telefonsvindel kingpin får 13 år for at køre "iSpoof"-tjenesten

Tidsstempel: 22. maj 2023 kl. 2
Kildeknude: 2677389
by Nøgen sikkerhedsskribent

I november 2022 skrev vi om en nedtagning i flere lande mod en Cybercrime-as-a-Service (CaaS) system kendt som iSpoof.

Selvom iSpoof annoncerede åbent for erhvervslivet på et ikke-mørkt websted, kan det nås med en almindelig browser via et ikke-løg-domænenavn, og selvom det teknisk set kunne have været lovligt at bruge dets tjenester i dit land (hvis du er advokat, har vi ville elske at høre din mening om det spørgsmål, når du har set de historiske skærmbilleder af hjemmesiden nedenfor)...

…en britisk domstol var ikke i tvivl om, at iSpoof-systemet blev implementeret med livsødelæggende, pengedrænende misbrug i tankerne.

Webstedets konge, Tejay Fletcher, 35, fra London, blev idømt en fængselsdom på godt et årti for at afspejle dette faktum.

Vis et hvilket som helst nummer, du kan lide

Indtil november 2022, hvor domænet blev fjernet efter en beslaglæggelseskendelse blev udstedt til amerikansk retshåndhævelse, så webstedets hovedside ud noget som dette:

Du kan vise et hvilket som helst nummer, du ønsker, på opkaldsdisplayet, i det væsentlige falsk dit opkalds-id.

Og et forklarende afsnit længere nede på siden gjorde det ret klart, at tjenesten ikke kun var der for at forbedre dit eget privatliv, men for at hjælpe dig med at vildlede de mennesker, du ringede til:

Få muligheden for at ændre, hvad nogen ser på deres opkalds-id-skærm, når de modtager et telefonopkald fra dig. De vil aldrig vide, det var dig! Du kan vælge et hvilket som helst nummer, du ønsker, før du ringer. Din modsætning vil være at tro, at du er en anden. Det er nemt og virker på alle telefoner i hele verden!

Hvis du stadig var i tvivl om, hvordan du kunne bruge iSpoof til at hjælpe dig med at rive intetanende ofre væk, her er sidens eget markedsføringsvideo, udgivet af Metropolitan Police (bedre kendt som "the Met") i London, Storbritannien:

Som du vil se nedenfor, og i vores tidligere dækning af denne historie var iSpoof-brugere faktisk slet ikke anonyme.

Mere end 50,000 brugere af tjenesten er allerede blevet identificeret, med tæt på 200 personer, der allerede er arresteret og under undersøgelse alene i Storbritannien.

Foregive at være en bank...

Kort sagt, hvis du tilmeldte dig iSpoofs service, uanset hvor teknisk eller ikke-teknisk du var, kunne du straks begynde at foretage opkald, der ville dukke op på ofrenes telefoner, som om disse opkald kom fra et firma, som de allerede havde tillid til.

Som Metropolitan Police Læg det:

Brugere af iSpoof, der skulle betale for at bruge dets tjenester, udgav sig for at være repræsentanter for banker inklusive Barclays, Santander, HSBC, Lloyds og Halifax [velkendte britiske banker], og foregav at advare om mistænkelig aktivitet på deres konti.

Svindlere vil opfordre intetanende medlemmer af offentligheden til at afsløre sikkerhedsoplysninger såsom engangskoder for at få deres penge.

Det samlede rapporterede tab fra dem, der er målrettet via iSpoof, er £48 millioner alene i Storbritannien, med et gennemsnitligt tab, der menes at være £10,000. Fordi svindel er meget underrapporteret, menes det fulde beløb at være meget højere.

I løbet af de 12 måneder indtil august 2022 blev der foretaget omkring 10 millioner svigagtige opkald globalt via iSpoof, hvoraf omkring 3.5 millioner blev foretaget i Storbritannien.

Interessant nok siger Met, at omkring 10 % af disse britiske opkald (omkring 350,000 i alt), foretaget til 200,000 forskellige potentielle ofre, varede mere end et minut, hvilket tyder på en overraskende høj succesrate for svindlere, der brugte iSpoof-tjenesten til at give deres falske kalder en svigagtig luft af legitimitet.

Når der kommer opkald fra et nummer, du er tilbøjelig til at stole på – for eksempel et nummer, du bruger så ofte, at du har tilføjet det til din egen kontaktliste, så det kommer med en identifikator efter eget valg, som f.eks. Credit Card Company, frem for noget generisk udseende som f.eks +44.121.496.0149...

… du er ikke overraskende mere tilbøjelig til at stole implicit på den, der ringer, før du hører, hvad de har at sige.

Når alt kommer til alt, er det system, der videresender nummeret på den, der ringer til modtageren, før opkaldet overhovedet besvares, i jargonen kendt som Caller ID eller Opkaldsnummer (CLI) uden for Nordamerika.

Det er ikke nogen form for ID

De magiske ord ID , identifikation burde egentlig ikke være der, fordi en teknisk kyndig opkalder (eller en helt ikke-teknisk opkalder, der brugte iSpoof-tjenesten) kunne indsætte et hvilket som helst nummer, de kunne lide, når de indledte opkaldet.

Med andre ord, opkalds-id fortæller dig ikke kun noget om den person, der bruger telefonen, der ringer til dig, men fortæller dig heller ikke noget pålideligt om nummeret på den telefon, der ringer til dig.

Opkalds-id "identificerer" den, der ringer op og det opkaldende nummer, ikke mere pålideligt end den returadresse, der er trykt på bagsiden af ​​en postkonvolut, eller Reply-To adresse, der er i overskrifterne på alle e-mails, du modtager.

Alle disse "identifikationer" kan vælges af ophavsmanden til kommunikationen og kan sige stort set alt, hvad afsenderen eller den, der ringer, vælger.

De burde virkelig kaldes Hvad den, der ringer, vil have dig til at tænke, hvilket kunne være en pakke løgnei stedet for at blive omtalt som en ID eller en identifikation.

Og der foregik en frygtelig masse løgn, takket være iSpoof, hvor Met hævder:

Før det blev lukket ned i november 2022, voksede iSpoof konstant. 700 nye brugere registrerede sig på siden hver uge, og den tjente i gennemsnit £80,000 pr. uge. På tidspunktet for lukningen havde den 59,000 registrerede brugere.

Hjemmesiden tilbød en række pakker til brugere, der ville købe, i Bitcoin, det antal minutter, de ønskede at bruge softwaren til at foretage opkald.

Siden hentede masser af overskud, ifølge Met:

iSpoof tjente lidt over 3 millioner pund, hvor Fletcher tjente omkring 1.7-1.9 millioner pund på at løbe og gøre det muligt for svindlere at ødelægge ofrets liv. Han levede en ekstravagant livsstil og ejede en Range Rover til en værdi af £60,000 og en Lamborghini Urus til en værdi af £230,000. Han tog jævnligt på ferie med rejser til Jamaica, Malta og Tyrkiet alene i 2022.

Tidligere i 2023 erkendte Fletcher sig skyldig i lovovertrædelser af fremstilling eller levering af artikler til brug i bedrageri, tilskyndelse til eller medvirken til begåelse af en lovovertrædelse, besiddelse af kriminel ejendom og overførsel af kriminel ejendom.

I sidste uge fik han en fængselsdom på 13 år og 4 måneder; 169 andre mennesker i Storbritannien "er nu blevet anholdt på mistanke om at bruge iSpoof [og] forbliver under politiets efterforskning."

Hvad skal jeg gøre?

  • TIP 1. Behandl nummervisning som intet andet end et tip.

Det vigtigste at huske (og at forklare til venner og familie, du tror kan være sårbare over for denne form for fidus), er dette: NUMMERET PÅ DIN TELEFON, FØR DU SVARER, BEVISER INGENTING.

  • TIP 2. Foretag altid selv officielle opkald ved hjælp af et nummer, du kan stole på.

Hvis du virkelig har brug for at kontakte en organisation som f.eks. din bank via telefon, skal du sørge for at starte opkaldet og bruge et nummer, som du selv har beregnet.

Se for eksempel på et nyligt officielt kontoudtog, tjek bagsiden af ​​dit bankkort, eller besøg endda en filial og spørg en medarbejder ansigt til ansigt om det officielle nummer, som du skal ringe til i fremtidige nødsituationer.

  • TIP 3. Vær der for udsatte venner og familie.

Sørg for, at venner og familie, som du tror kan være sårbare over for at blive sødsnakket (eller slået, forvirret og skræmt) af svindlere, uanset hvordan de først kontaktes, ved, at de kan og bør henvende sig til dig for at få råd, før de aftaler til noget over telefonen.

Og hvis nogen beder dem om at gøre noget, der tydeligvis er en indtrængen i deres personlige digitale rum, såsom at installere Teamviewer for at lade dem komme ind på computeren, læse en hemmelig adgangskode op fra skærmen eller fortælle dem et personligt identifikationsnummer eller adgangskode...

…sørg for, at de ved, at det er OK blot at lægge på uden at sige et eneste ord yderligere, og tage kontakt til dig for at tjekke fakta først.

Tidsstempel:

Mere fra Naked Security