Technikai támogatást imitáló csalások

Példa egy technikai támogatási átverés előugró ablakára

A műszaki támogatási csalás vagy technikai támogatást imitáló csalás, esetleg technikai támogatásnak álcázott kibertámadás (tech support scam) olyan csalástípus, amelyben a csaló azt állítja, hogy legális műszaki támogatási szolgáltatást nyújt. Az áldozatok többféle módon lépnek kapcsolatba a csalókkal, gyakran hibaüzenetekre emlékeztető hamis felugró ablakokon vagy a csalók tulajdonában lévő weboldalakon hirdetett hamis "segélyvonalakon" keresztül. A műszaki támogatási csalók a social engineeringet és különféle bizalmi trükköket alkalmaznak, hogy meggyőzzék áldozatukat arról, hogy a számítógépükön vagy mobileszközükön problémák vannak, például rosszindulatú fertőzés, holott az áldozat eszközével nincs semmi probléma. A csaló ezután ráveszi az áldozatot, hogy fizessen az állítólag talált fiktív "problémák" kijavításáért. A fizetés a csalónak olyan módon történik, amely nehezen nyomon követhető és kevesebb olyan fogyasztóvédelemmel rendelkezik, amely lehetővé tenné az áldozat számára, hogy visszakövetelje a pénzét, általában ajándékkártyákon keresztül.

Már 2008-ban is előfordultak technikai támogatási csalások. Egy 2017-es, a technikai támogatással kapcsolatos csalásokról szóló tanulmány szerint a geolokalizálható IP-címek 85%-a indiai, 7%-a egyesült államokbeli, 3%-a pedig Costa Rica-i helyszínekre vezethető vissza. A műszaki támogatási csalásokkal kapcsolatos kutatások szerint az ezredfordulósok és a Z generáció tagjai vannak a leginkább kitéve az ilyen csalásoknak; az idősebbek azonban nagyobb valószínűséggel esnek bele ezekbe az átverésekbe, és veszítenek pénzt miattuk. A Norton 2021 októberében a műszaki támogatási csalásokat nevezte meg a fogyasztókra leselkedő legnagyobb adathalász fenyegetésként; a Microsoft megállapította, hogy a felmérésben részt vevő fogyasztók 60%-a volt kitéve műszaki támogatási csalásnak az előző tizenkét hónapban. A műszaki támogatási csalásokra adott válaszok közé tartozik a csalárd hívásközpontok működtetéséért felelős vállalatok ellen indított perek és a csalás csalogatása.

Eredete és elterjedése

Az első technikai támogatási csalásokat 2008-ban jegyezték fel. A műszaki támogatási csalások számos országban, többek között az Egyesült Államokban, Kanadában, az Egyesült Királyságban, Írországban, Ausztráliában, Új-Zélandon, Indiában és Dél-Afrikában is megjelentek.

Az NDSS-szimpóziumon közzétett, a technikai támogatási csalásokról szóló 2017-es tanulmány szerint a technikai támogatási csalások 85%-a indiai, 7%-a egyesült államokbeli, 3%-a pedig Costa Rica-i helyszínekre vezethető vissza. Indiában több millió angolul beszélő ember van, akik viszonylag kevés munkahelyért versenyeznek. Az egyik önkormányzat 114 állást kínált és 19 000 jelentkező volt. Ez a magas munkanélküliség ösztönzőleg hat a gyakran jól fizetett technológiai csalói állások betöltésére. Emellett a csalók kihasználják a munkanélküliség szintjét azzal, hogy munkát kínálnak a kétségbeesetten dolgozni vágyó embereknek. Sok csaló nem tudja, hogy tech support csaló állásokra jelentkezik és képzik ki, de sokan úgy döntenek, hogy maradnak, miután megtudták a munka jellegét, mivel úgy érzik, túl késő visszalépni és pályát változtatni. A csalók kénytelenek választani a munkahelyük megtartása vagy a munkanélkülivé válás között. Egyes csalók meggyőzik magukat arról, hogy gazdag embereket céloznak meg, akiknek van pénzük, ami igazolja a lopást, míg mások úgy látják, hogy a munkájukkal "könnyű pénzt" lehet keresni.

Működésük

A technikai támogatási csalások a social engineeringre támaszkodnak, hogy meggyőzzék az áldozatokat arról, hogy az eszközük rosszindulatú szoftverrel fertőzött. A csalók különféle bizalmi trükkökkel ráveszik az áldozatot, hogy telepítsen egy távoli asztali szoftvert, amellyel a csaló átveheti az irányítást az áldozat számítógépe felett. Ezzel a hozzáféréssel a csaló ezután elindíthat különböző Windows-összetevőket és segédprogramokat (például az eseménynézegetőt), telepíthet harmadik féltől származó segédprogramokat (például hamis biztonsági szoftvereket), és egyéb feladatokat is elvégezhet, hogy meggyőzze az áldozatot arról, hogy a számítógépen kritikus problémák vannak, amelyeket orvosolni kell, például vírusfertőzés. A csalók a legkülönfélébb embereket veszik célba, bár a Microsoft kutatásai szerint az ezredfordulósok (a Microsoft meghatározása szerint 24-37 évesek) és a Z generációhoz tartozók (18-23 évesek) vannak a leginkább kitéve a technikai támogatási csalásoknak, a Federal Trade Commission pedig azt találta, hogy az idősebbek (60 évesek és idősebbek) nagyobb valószínűséggel veszítenek pénzt a technikai támogatási csalások miatt. A csaló arra ösztönzi az áldozatot, hogy fizessen, hogy a "problémákat" orvosolni lehessen.

Kezdeményezés

A műszaki támogatási csalások többféleképpen kezdődhetnek. Az átverés egyes változatai a fertőzött weboldalakon megjelenő felugró hirdetésekkel vagy a nagyobb weboldalak cybersquattingjával indulnak. Az áldozatnak olyan felugró ablakok jelennek meg, amelyek legitim hibaüzenetekre hasonlítanak, mint például a kékhalál, és lefagyasztják az áldozat webböngészőjét. A felugró ablak arra utasítja az áldozatot, hogy hívja fel a csalókat egy telefonszámon keresztül a "hiba" kijavítása érdekében. A műszaki támogatási csalások hideghívásokon keresztül is kezdeményezhetők. Ezek általában robothívások, amelyek azt állítják, hogy egy törvényes harmadik féllel, például a Microsofttal vagy az Apple-vel állnak kapcsolatban. A műszaki támogatási csalók a főbb keresőmotorokban kulcsszavas hirdetések megvásárlásával is vonzhatják az áldozatokat olyan kifejezésekre, mint például a "Microsoft support". Az ilyen hirdetésekre kattintó áldozatok a csalók telefonszámait tartalmazó weboldalakra kerülnek.

Bizalom megszerzése

Miután az áldozat kapcsolatba lépett a csalóval, a csaló általában arra utasítja, hogy töltsön le és telepítsen egy távoli hozzáférési programot, például a TeamViewer, AnyDesk, LogMeIn vagy GoToAssist programot. A csaló meggyőzi az áldozatot, hogy adja meg neki a távvezérlési munkamenet kezdeményezéséhez szükséges hitelesítő adatokat, így a csaló teljes irányítást kap az áldozat asztala felett.

A hozzáférés megszerzése után a csaló megpróbálja meggyőzni az áldozatot arról, hogy a számítógépen olyan problémák vannak, amelyeket meg kell javítani, leggyakrabban rosszindulatú hackertevékenység feltételezett eredményeként. A csalók számos módszert alkalmaznak arra, hogy a szokásos Windows-eszközök és rendszerkönyvtárak tartalmát és jelentőségét rosszindulatú tevékenység, például vírusok és más rosszindulatú programok bizonyítékaként tévesszék meg. Ezekkel a trükkökkel olyan áldozatokat céloznak meg, akik nem ismerik ezen eszközök tényleges használatát, például a tapasztalatlan felhasználókat és az időseket. A csaló ezután ráveszi az áldozatot, hogy fizessen a csaló szolgáltatásaiért vagy szoftveréért, amelyről azt állítja, hogy a számítógép "javítására" vagy "megtisztítására" szolgál, de valójában rosszindulatú szoftver, amely megfertőzi azt, vagy olyan szoftver, amely egyéb károkat okoz, vagy egyáltalán nem tesz semmit.

• A csaló a felhasználókat a Windows Eseménynaplójába irányíthatja, amely különböző események naplófájljait jeleníti meg a rendszergazdák számára a problémák elhárításához. Bár a naplóbejegyzések közül sok viszonylag ártalmatlan értesítés, a csaló azt állíthatja, hogy a figyelmeztetésként és hibaként megjelölt naplóbejegyzések rosszindulatú programtevékenységre utalnak, vagy arra, hogy a számítógép sérült, és "javítani" kell.
• A csaló megmutathatja az áldozatnak a szokatlan nevű fájlokat tartalmazó rendszermappákat, például a Windows Prefetch és Temp mappákat, és azt állítja, hogy a fájlok az áldozat számítógépén lévő rosszindulatú szoftverek bizonyítékai. A csaló néhány ilyen fájlt megnyithat a Notepadben, ahol a fájl tartalma mojibake-ként jelenik meg. A csaló azt állítja, hogy a rosszindulatú szoftver megrongálta ezeket a fájlokat, ami az érthetetlen kimenetet okozza. A valóságban a Prefetch fájljai általában ártalmatlan, ép bináris fájlok, amelyeket bizonyos műveletek felgyorsítására használnak.
• A csaló azt állíthatja, hogy a normál esetben letiltott szolgáltatásokat nem szabad letiltani, holott nem minden szolgáltatást kell engedélyezni.
• A csaló visszaélhet a parancssor eszközeivel, hogy gyanúsnak tűnő kimenetet hozzon létre, például a tree vagy dir /s parancs használatával, amely a fájlok és könyvtárak átfogó listáját jeleníti meg. A csaló azt állíthatja, hogy a segédprogram egy rosszindulatú szoftverek szkennere, és az eszköz futása közben a csaló hibaüzenetnek álcázott szöveget ír be (például "biztonsági rés ... trójaiak találtak"), amely a munka befejezésekor jelenik meg, vagy egy üres Notepad-dokumentumba.
• A csaló a Windows Registryben tárolt értékeket és kulcsokat rosszindulatúnak tüntetheti fel, például olyan ártalmatlan kulcsokat, amelyek értékei nem beállítottként szerepelnek.
• A "Küldés" Windows funkcióhoz egy globálisan egyedi azonosító tartozik. Az assoc parancs kimenete, amely felsorolja a rendszer összes fájlhozzáférését, a ZFSendToTarget=CLSID\{888DCA60-FC0A-11CF-8F0F-00C04FD7D062} sorral jeleníti meg ezt a hozzárendelést; ez a GUID a Windows minden verziójában azonos. A csaló azt állíthatja, hogy ez egy egyedi azonosító, amelyet a felhasználó számítógépének azonosítására használnak, mielőtt felolvassa az azonosítót, hogy "igazolja", hogy ő egy törvényes támogató cég, amely az áldozat számítógépére vonatkozó információkkal rendelkezik, vagy azt állítja, hogy a felsorolt CLSID valójában egy "Computer Licence Security ID", amelyet meg kell újítani.
• A csaló azt állíthatja, hogy az állítólagos "problémák" a lejárt hardver- vagy szoftvergaranciák, például Windows termékkulcsok következményei, és ráveheti az áldozatot, hogy fizessen a "megújításért".
• A csaló blokkolhatja az áldozat képernyőjének megtekintését, azt állítva, hogy ez egy rosszindulatú szoftver vagy egy folyamatban lévő ellenőrzés eredménye, és felhasználhatja az időt arra, hogy átkutassa az áldozat fájljait érzékeny információk után, megpróbáljon betörni az áldozat fiókjaiba lopott vagy tárolt hitelesítő adatokkal, vagy aktiválja a webkamerát, és megnézze az áldozat arcát.
• A csaló futtathatja a netstat parancsot egy parancssor ablakban, amely megmutatja a helyi és az idegen IP-címeket. A csaló ezután azt mondja az áldozatnak, hogy ezek a címek hackerekhez tartoznak, akik hozzáférést szereztek a számítógépéhez.
• A csaló azt állíthatja, hogy egy valódi Windows-folyamat, például a rundll32.exe vírus. Gyakran előfordul, hogy a csaló a Windows folyamatról szóló cikket keres az interneten, és egy olyan részhez lapoz, amely szerint a folyamat neve esetleg rosszindulatú szoftver része is lehet, annak ellenére, hogy az áldozat számítógépe nem tartalmaz ilyen rosszindulatú programot.

Fizetés és hatások

A technikai segítségnyújtási csalásoknál a fizetési módok közül az ajándékkártyák a legelterjedtebbek. Az ajándékkártyákat azért kedvelik a csalók, mert könnyen megvásárolhatóak és kevesebb olyan fogyasztóvédelmi móddal (mint pl. bankkártyás fizetés esetén a chargeback) rendelkeznek, amely lehetővé tenné az áldozat számára, hogy visszakövetelje a pénzét. Ezenkívül az ajándékkártyák fizetőeszközként való használata lehetővé teszi a csalók számára, hogy gyorsan pénzt szedjenek ki, miközben névtelenek maradnak. A műszaki támogatási csalók arról is ismertek, hogy kriptovalutát, csekk és automatikus elszámolóházon keresztül végrehajtott közvetlen banki átutalás formájában kérnek fizetést (ez utóbbi csak 60 napot ad az áldozatoknak a pénzük visszaszerzésére).

Ha az áldozat nem hajlandó követni a csaló utasításait, vagy nem hajlandó fizetni, a csalók a fizetés megszerzése érdekében előszeretettel folyamodnak sértegetéshez és fenyegetéshez. A csalók által az áldozatok vagy családtagjaik ellen elkövetett bűncselekmények a lopástól, csalástól és zsarolástól kezdve a súlyos bűncselekményekig, például nemi erőszakig és gyilkosságig terjednek. Jakob Dulisse kanadai állampolgár a CBC-nek arról számolt be, hogy amikor megkérdezte a csalót, hogy miért őt vették célba, a csaló halálos fenyegetéssel válaszolt; "az angol embereket, akik ebbe az országba" (Indiába) utaznak, "apró darabokra vágják és a folyóba dobják". A csalók arról is ismertek, hogy a nem együttműködő áldozatokat a syskey segédprogrammal (amely csak a Windows 10 előtti Windows-verziókban van jelen) vagy harmadik féltől származó alkalmazásokkal, amelyeket az áldozat számítógépére telepítenek, kizárják a számítógépükből és törlik az áldozat számítógépének működéséhez elengedhetetlen dokumentumokat és/vagy programokat, ha nem kapnak fizetséget.

A Microsoft 2021 júliusában a YouGov megbízásából 16 országban végzett felmérést a technikai támogatási csalások és azok fogyasztókra gyakorolt hatásának kutatására. A felmérés megállapította, hogy a részt vevő fogyasztók mintegy 60%-a volt már kitéve technikai támogatási csalásnak az elmúlt 12 hónapban. Az áldozatok arról számoltak be, hogy átlagosan 200 USD-t veszítettek a csalóknak, és sokan más csalókkal való ismételt interakciókkal szembesültek, miután sikeresen átverték őket. A Norton 2021 októberében a technikai támogatási csalásokat nevezte meg a fogyasztókra leselkedő legnagyobb adathalász fenyegetésként, miután 2021 júliusa és szeptembere között több mint 12,3 millió technikai támogatási csalási URL-t blokkolt.

Válaszlépések

Jogi lépéseket tettek néhány, műszaki támogatási csalásokat végrehajtó cég ellen. 2014 decemberében a Microsoft pert indított egy ilyen csalásokat üzemeltető kaliforniai székhelyű cég ellen, mert az "visszaélt a Microsoft nevével és védjegyeivel", és "biztonsági problémákat okozott az áldozatoknak azzal, hogy hozzáférést szerzett a számítógépükhöz, és rosszindulatú szoftvereket telepített, köztük egy jelszórablót, amely hozzáférést biztosíthat személyes és pénzügyi információkhoz". 2015 decemberében Washington állam beperelte az iYogi nevű céget, amiért az átverte a fogyasztókat és hamis állításokat tett annak érdekében, hogy a felhasználókat ijesztgetve rávegye az iYogi diagnosztikai szoftverének megvásárlására. Az iYogit azzal is megvádolták, hogy hamisan állította, hogy kapcsolatban áll a Microsofttal, a Hewlett-Packarddal és az Apple-lel.

2011 szeptemberében a Microsoft törölte a Microsoft partnerprogramból a Comantra arany szintű partnert, miután azzal vádolták, hogy részt vett a hideghívásos műszaki támogatási csalásokban. Mivel azonban a műszaki támogatási csalásokat végrehajtó cégek könnyen elindíthatók, nehéz megakadályozni a műszaki támogatási csalásokat.

Az olyan nagy keresőmotorok, mint a Bing és a Google, lépéseket tettek a hamis műszaki támogatási weboldalak kulcsszavas hirdetésekkel történő népszerűsítésének korlátozására. A Microsoft tulajdonában lévő Bing Ads hirdetési hálózat (amely a Bing és a Yahoo! keresőmotorok hirdetési értékesítését szolgálja ki) 2016 májusában módosította szolgáltatási feltételeit, hogy megtiltja a harmadik féltől származó műszaki támogatási szolgáltatások vagy olyan hirdetések reklámozását, amelyek azt állítják, hogy "olyan szolgáltatást nyújtanak, amelyet csak a reklámozott termék vagy szolgáltatás tényleges tulajdonosa nyújthat". A Google 2018-ban egy ellenőrzési programot jelentett be, amelynek célja, hogy a harmadik féltől származó technikai támogatásra vonatkozó hirdetéseket a törvényes cégekre korlátozza.

A csalók átverése

A tech support csalók rendszeresen célpontjai a scam baiting műveleteknek: az egyének a YouTube-hoz hasonló platformokra feltöltött felvételekkel igyekeznek felhívni a figyelmet ezekre az átverésekre, kellemetlenséget okoznak a csalóknak azzal, hogy vesztegetik az idejüket, és megvédik a potenciális áldozatokat.

A fejlett scam baiterek beszivároghatnak a csalók számítógépére, és RAT-ok, elosztott szolgáltatásmegtagadási támadások és pusztító malware-ek telepítésével potenciálisan működésképtelenné tehetik azt. A scam baiterek úgy is megpróbálhatják a csalókat etikátlan gyakorlatuk felfedésére csábítani, hogy virtuális gépen hagynak bizalmas információnak álcázott hamis fájlokat vagy rosszindulatú szoftvereket, például hitelkártya/betéti kártyaadatokat és jelszavakat, amelyeket a csaló megpróbálhat ellopni, de csak azért, hogy megfertőződjön a számítógépük vagy a teljes hálózatuk. A bűnüldöző szervek további nyomozásaihoz fontos érzékeny információkat szerezhetnek meg, és a csaló céggel kapcsolatos további információkat közzétehetik vagy összeállíthatják az interneten, hogy figyelmeztessék a potenciális áldozatokat.

2020 márciusában egy Jim Browning fedőnevű névtelen YouTuber sikeresen beépült egy csaló telefonközpont csalási műveletébe, és Karl Rock YouTube-személyiség segítségével drón- és CCTV-felvételeket gyűjtött egy csaló telefonközpontról. A brit Panorama című dokumentumfilmes műsor segítségével rendőrségi razziára került sor, amikor a dokumentumfilmet Karan Goel rendőrfőnök-helyettes tudomására hozták, ami Amit Chauhan call center-üzemeltető letartóztatásához vezetett, aki "Faremart Travels" néven egy csaló utazási irodát is működtetett.

Fordítás

Ez a szócikk részben vagy egészben a Technical support scam című angol Wikipédia-szócikk ezen változatának fordításán alapul. Az eredeti cikk szerkesztőit annak laptörténete sorolja fel. Ez a jelzés csupán a megfogalmazás eredetét és a szerzői jogokat jelzi, nem szolgál a cikkben szereplő információk forrásmegjelöléseként.