מלך ההונאות בטלפון מקבל 13 שנים על הפעלת שירות "iSpoof".

מלך ההונאות בטלפון מקבל 13 שנים על הפעלת שירות "iSpoof".

חותמת זמן: 22 במאי 2023 2:58
צומת המקור: 2677389
by כותב אבטחה עירום

בנובמבר 2022 כתבנו על הסרה מרובת מדינות נגד א מערכת פשעי סייבר כשירות (CaaS). ידוע כ iSpoof.

למרות ש-iSpoof פרסמה בגלוי לעסקים באתר שאינו אפל, ניתן להגיע אליו באמצעות דפדפן רגיל באמצעות שם דומיין שאינו בצל, ולמרות שהשימוש בשירותיו עשוי מבחינה טכנית להיות חוקי במדינה שלך (אם אתה עורך דין, אנחנו' אשמח לשמוע את דעתך בנושא זה לאחר שראית את צילומי המסך ההיסטוריים של האתר למטה)...

...לבית משפט בבריטניה לא היה ספק שמערכת iSpoof יושמה מתוך מחשבה על עבירות הורסות חיים, גוזלות כסף.

המלך של האתר, טג'אי פלטשר, בן 35 מלונדון, נידון לעונש מאסר של הרבה יותר מעשור כדי לשקף עובדה זו.

הצג כל מספר שאתה אוהב

עד נובמבר 2022, כשהדומיין הוסר לאחר שהוצא צו תפיסה לרשויות אכיפת החוק בארה"ב, העמוד הראשי של האתר נראה משהו כזה:

אתה יכול להציג כל מספר שתרצה בתצוגה של השיחה, בעצם לזייף את זיהוי המתקשר שלך.

וסעיף הסבר בהמשך הדף הבהיר למדי שהשירות לא היה שם רק כדי לשפר את הפרטיות שלך, אלא כדי לעזור לך להטעות את האנשים שאתה מתקשר אליהם:

קבל את היכולת לשנות את מה שמישהו רואה בתצוגת זיהוי המתקשר שלו כאשר הוא מקבל שיחת טלפון ממך. הם לעולם לא יידעו שזה אתה! אתה יכול לבחור כל מספר שאתה רוצה לפני שאתה מתקשר. ההיפך שלך יהיה לחשוב שאתה מישהו אחר. זה קל ועובד בכל טלפון ברחבי העולם!

למקרה שעדיין היה לך ספק לגבי איך אתה יכול להשתמש ב-iSpoof כדי לעזור לך לקרוע קורבנות תמימים, הנה האתר עצמו שיווק בוידאו, מסופק באדיבות משטרת המטרופוליטן (הידועה יותר בשם "המט") בלונדון, בריטניה:

כפי שתראה להלן, ובנו סיקור קודם מהסיפור הזה, משתמשי iSpoof לא היו אנונימיים בכלל.

יותר מ-50,000 משתמשים בשירות כבר זוהו, כאשר קרוב ל-200 אנשים כבר נעצרו ונבדקים בבריטניה בלבד.

להעמיד פנים שאתה בנק...

במילים פשוטות, אם נרשמתם לשירות של iSpoof, לא משנה כמה הייתם טכניים או לא טכניים, תוכלו מיד להתחיל לבצע שיחות שיופיעו בטלפונים של הקורבנות כאילו השיחות הללו מגיעות מחברה שהם כבר סומכים עליה.

בתור משטרת המטרופולין שים את זה:

משתמשי iSpoof, שנאלצו לשלם כדי להשתמש בשירותיה, התחזו לנציגים של בנקים כולל Barclays, Santander, HSBC, Lloyds והליפקס [בנקים בריטיים ידועים], כשהם מתיימרים להתריע מפני פעילות חשודה בחשבונותיהם.

הרמאים יעודדו את החברים התמימים בציבור לחשוף מידע אבטחה כגון קוד סיסמה חד פעמי כדי להשיג את כספם.

סך ההפסדים המדווחים מאלה הממוקדים באמצעות iSpoof הוא 48 מיליון ליש"ט בבריטניה לבדה, כאשר ההפסד הממוצע מוערך ב-10,000 ליש"ט. מכיוון שהונאות מדווחות במידה רבה, הסכום המלא מוערך גבוה בהרבה.

ב-12 החודשים עד אוגוסט 2022 בוצעו כ-10 מיליון שיחות הונאה ברחבי העולם באמצעות iSpoof, כאשר כ-3.5 מיליון מהן בוצעו בבריטניה.

באופן מעניין, ה-Met אומר שכ-10% מהשיחות הללו בבריטניה (בערך 350,000 בסך הכל), שנעשו ל-200,000 קורבנות פוטנציאליים שונים, נמשכו יותר מדקה, מה שמרמז על שיעור הצלחה גבוה באופן מפתיע לרמאים שהשתמשו בשירות iSpoof כדי לתת את הזיוף שלהם. קורא אווירה הונאה של לגיטימציה.

כשמגיעות שיחות ממספר שאתה נוטה לסמוך עליו - לדוגמה, מספר שאתה משתמש בו לעתים קרובות מספיק כדי שהוספת אותו לרשימת אנשי הקשר שלך כך שהוא יגיע עם מזהה לבחירתך, כגון Credit Card Company, במקום משהו בעל מראה גנרי כגון +44.121.496.0149...

... באופן לא מפתיע יש סיכוי גבוה יותר שתסמוך על המתקשר באופן מרומז לפני שאתה שומע מה יש לו לומר.

הרי המערכת שמשדרת את המספר של המתקשר לנמען עוד לפני שהשיחה נענתה ידועה בעגה שיחה מזוהה, או זיהוי קו שיחות (CLI) מחוץ לצפון אמריקה.

זה לא כל סוג של תעודת זהות

מילות הקסם האלה ID ו הזדהות לא באמת צריך להיות שם, כי מתקשר בעל ידע טכני (או מתקשר לגמרי לא טכני שהשתמש בשירות iSpoof) יכול להכניס כל מספר שהם אוהבים בעת תחילת השיחה.

במילים אחרות, זיהוי מתקשר לא רק אומר לך דבר על האדם שמשתמש בטלפון שמתקשר אליך, אלא גם אומר לך שום דבר מהימן לגבי מספר הטלפון שמתקשר אליך.

זיהוי המתקשר "מזהה" את המתקשר ואת המספר המתקשר לא יותר מהימן מהכתובת החוזרת המודפסת על גב מעטפה של דואר חילזון, או Reply-To כתובת שנמצאת בכותרות של כל הודעות דוא"ל שאתה מקבל.

כל אותם "זיהויים" יכולים להיבחר על ידי יוצר התקשורת, ויכולים לומר כמעט כל דבר שהשולח או המתקשר בוחר.

באמת צריך לקרוא להם מה המתקשר רוצה שתחשוב, שיכול להיות חבילת שקרים, במקום להיות מכונה an ID או הזדהות.

והתרחשו הרבה שקרים, הודות ל-iSpoof, כשה-Met טוען:

לפני שהוא נסגר בנובמבר 2022, iSpoof גדל ללא הרף. 700 משתמשים חדשים נרשמו לאתר מדי שבוע והוא הרוויח בממוצע 80,000 פאונד לשבוע. בנקודת הסגירה היו לו 59,000 משתמשים רשומים.

האתר הציע מספר חבילות למשתמשים שיקנו בביטקוין את מספר הדקות שרצו להשתמש בתוכנה לביצוע שיחות.

האתר גרף המון רווחים, לפי ה-Met:

iSpoof הרוויח קצת יותר מ-3 מיליון ליש"ט כאשר פלטשר מרוויח כ-1.7-1.9 מיליון ליש"ט מהריצה ומאפשר לרמאים להרוס את חיי הקורבן. הוא חי אורח חיים אקסטרווגנטי, והיה בעל ריינג' רובר בשווי 60,000 ליש"ט ולמבורגיני אורוס בשווי 230,000 ליש"ט. הוא יצא באופן קבוע לחופשה, עם טיולים לג'מייקה, מלטה וטורקיה ב-2022 בלבד.

מוקדם יותר בשנת 2023, פלטשר הודה בעבירות של ייצור או אספקת פריטים לשימוש בהונאה, עידוד או סיוע לביצוע עבירה, החזקת רכוש פלילי והעברת רכוש פלילי.

בשבוע שעבר נגזרו עליו עונש מאסר של 13 שנים ו-4 חודשים; 169 אנשים אחרים בבריטניה "נעצרו כעת בחשד לשימוש ב-iSpoof [ונשארו בחקירת המשטרה".

מה לעשות?

  • טיפ 1. התייחס לזיהוי מתקשר כאל רמז בלבד.

הדבר החשוב ביותר שיש לזכור (ולהסביר לכל החברים והמשפחה שלדעתך עלולים להיות פגיעים להונאה מסוג זה) הוא זה: המספר של המתקשר המופיע בטלפון שלך לפני שאתה עונה לא מוכיח דבר.

  • טיפ 2. תמיד יזום שיחות רשמיות בעצמך, באמצעות מספר שאתה יכול לסמוך עליו.

אם אתה באמת צריך ליצור קשר עם ארגון כמו הבנק שלך בטלפון, ודא שאתה יוזם את השיחה והשתמש במספר ממה שקבעת לעצמך.

לדוגמה, עיין בדוח בנק רשמי עדכני, בדוק את החלק האחורי של כרטיס הבנק שלך, או אפילו בקר בסניף ובקש מאיש צוות פנים אל פנים את המספר הרשמי שאליו עליך להתקשר במקרי חירום עתידיים.

  • טיפ 3. היו שם עבור חברים ובני משפחה פגיעים.

ודא שחברים ובני משפחה שלדעתך עלולים להיות פגיעים לדיבור מתוק (או מכות, מבולבל ומפחיד) על ידי רמאים, לא משנה איך יצרו איתם קשר לראשונה, יודעים שהם יכולים וצריכים לפנות אליך לייעוץ לפני שמסכים. לכל דבר בטלפון.

ואם מישהו יבקש ממנו לעשות משהו שברור שהוא חדירה למרחב הדיגיטלי האישי שלו, כמו התקנת Teamviewer כדי להכניס אותם למחשב, קריאת קוד גישה סודי מהמסך, או מסירת מספר זיהוי אישי או סיסמה...

...וודא שהם יודעים שזה בסדר פשוט לנתק בלי לומר מילה נוספת, וליצור איתך קשר כדי לבדוק את העובדות תחילה.

בול זמן:

עוד מ ביטחון עירום