Slaba slovenščina je bila dolgo najzanesljivejši znak prevare. Ni več.
Spletni goljufi so nas v prvi polovici leta po prijavah oškodovali za 14 milijonov evrov, desetino več kot lani. Banka Slovenije opozarja, da so lažna sporočila v imenu bank z umetno inteligenco vse bolj prepričljiva. Kako jih prepoznati in kaj storiti, če ste se ujeli.
Šest milijard dolarjev v dvajsetih minutah
Konec oktobra so hekerji ob 21.05 začeli prazniti denarnice Binance, največje kripto borze na svetu. V približno dvajsetih minutah je z desetih verig odtekla večina denarja, skupaj po prvih ocenah okoli 6,3 milijarde dolarjev oziroma okoli 5,7 milijarde evrov. To je največja kraja kriptovalut doslej, štirikrat večja od lanskega rekordnega napada na borzo Bybit.
Po prvih ugotovitvah Binance se je napad začel pri človeku. Napadalec je prišel do okuženega prenosnika enega od inženirjev in prek njega oddal izplačila. Analitiki podjetij TRM Labs in Chainalysis ga pripisujejo severnokorejski hekerski skupini. Binance pravi, da bo izgubo krila sama in da je denar uporabnikov varen. Skoraj tri milijarde dolarjev so že zamrznili, izplačila pa naj bi spet stekla v 48 urah.
Uporabnike je borza opozorila še na nekaj. Naj ne odpirajo neuradnih povezav in ne odgovarjajo na sporočila, ki sprašujejo po podatkih o računu. Po takih novicah namreč goljufi radi pošiljajo lažna obvestila o vračilu denarja ali preverjanju računa.
14 milijonov evrov v pol leta
Pri nas so zneski manjši, a rastejo. Po podatkih policije, ki jih navaja Banka Slovenije v oktobrskem poročilu o finančni stabilnosti, so ljudje v prvi polovici leta prijavili za 14 milijonov evrov škode zaradi spletnih goljufij. To je nekaj več kot desetino več kot v enakem obdobju lani.
Lani je bilo prijavljene škode 40,4 milijona evrov, tretjino več kot leto prej. Prijav je bilo po podatkih policije, ki jih je objavila revija Monitor, 2.562, letos v pol leta okoli 1.300. Dejanska škoda je večja, saj vsi oškodovanci goljufije ne prijavijo.
Denar se vrne redko. Policija razišče od 15 do 25 odstotkov teh kaznivih dejanj na leto, denar se vrne v okoli desetini primerov. Možnosti so precej večje, če žrtev goljufijo prijavi v nekaj dneh.
Banka Slovenije piše, da letos beleži več spletnih goljufij in zlorab spletne in mobilne banke. Goljufi zlorabljajo bančne aplikacije in plačilne kartice ter na tuje ime najemajo lažne kredite.
Brez napak in v pravem tonu
Novost je kakovost sporočil. »Pri obravnavi prevar pa opažamo, da postajajo kampanje spletnega ribarjenja (phishing), usmerjene na stranke, vse bolj prepričljive, kar povečuje uspešnost zlorab in posledične finančne izgube strank,« piše centralna banka. Za to po njeni oceni skrbi umetna inteligenca, s katero goljufi pišejo sporočila, ki ljudi vodijo na ponarejene strani spletnih bank.
Slaba slovenščina je bila dolgo najzanesljivejši znak prevare. Ni več. Aleks Huč s Fakultete za računalništvo in informatiko je oktobra v oddaji Studio ob 17.00 opozoril, da jezik uporabnikov ne ščiti več, ker jezikovni modeli slovenščino dobro obvladajo. Vodja SI-CERT Gorazd Božič je dodal, da se zdaj v nekaj minutah zgodi tisto, za kar je človek prej potreboval nekaj dni.
V samih bankah napadov z umetno inteligenco v prvem polletju sicer niso zaznali. A tudi posebnega postopka za prijavo takih incidentov nimajo, ugotavlja Banka Slovenije.
Kako daleč seže ponarejanje, kaže primer iz Italije. Februarja je predsednik banke Fideuram dobil sporočilo na WhatsAppu v imenu direktorja Intese Sanpaolo, nato pa še klic znanega odvetnika. Glas je bil ustvarjen z umetno inteligenco. Banka je v tujino nakazala okoli 95 milijonov evrov, okoli 36 milijonov jih še manjka.
Kako so lažna sporočila videti pri nas
Najpogostejša so lažna sporočila SMS in e-pošta v imenu banke. Pozivajo k potrditvi podatkov, preprečitvi blokade računa ali posodobitvi aplikacije, povezava pa vodi na ponarejeno stran spletne banke. OTP banka je na povečano število takih prevar opozorila sredi oktobra, goljufi se predstavljajo tudi kot policija ali finančna uprava. SI-CERT opozarja še na sporočila o nedostavljenem paketu, kjer goljufi zahtevajo podatke kartice.
Vse več je lažnih klicev. Klicatelj se predstavi kot bančni uslužbenec in trdi, da je nekdo na vaše ime odprl račun ali najel kredit. Nato predlaga, naj denar prenesete na »varen račun«. Pozneje se predstavlja tudi kot Banka Slovenije, Europol ali policija, opozarjata SI-CERT in Združenje bank Slovenije.
Konec oktobra je SI-CERT opozoril na novo prevaro na WhatsAppu. Žrtev od znanca dobi povezavo do spletnega »glasovanja«, kjer vpiše svojo telefonsko številko in osemmestno kodo. S tem napadalcu poveže svoj račun, ta pa nato bere pogovore in v njenem imenu piše znancem.
Največ denarja odnesejo lažne naložbe. Lažni oglasi z znanimi Slovenci vodijo na »investicijske platforme«, ki najprej zahtevajo polog 250 evrov. Mariborska policija je ta teden poročala o 72-letniku, ki je na lažno platformo za trgovanje z bitcoini v nekaj mesecih nakazal dobrih 61.000 evrov.
Primeri se vrstijo. V Pomurju so bili sredi oktobra v enem dnevu oškodovani trije ljudje, skupaj za skoraj 15.000 evrov. Na območju murskosoboške policijske uprave so letos do sredine oktobra obravnavali že 95 spletnih goljufij, lani 70, leto prej 53. V Kranju je septembra storilec prek spletne banke dve osebi oškodoval za skupaj okoli 475.000 evrov.
Pri phishingu je bila povprečna škoda lani po prostovoljnih prijavah SI-CERT 46.000 evrov, pri ljubezenskih prevarah 17.000 evrov.
Kako prepoznati prevaro
Banke ponavljajo isto: nikoli ne zahtevajo gesel, PIN-a, kod iz SMS, podatkov kartice ali oddaljenega dostopa do računalnika po telefonu, e-pošti ali SMS. Prav tako vas ne bodo prosile, da denar prenesete na drug račun zaradi varnosti.
Evropski nadzorniki svetujejo, naj ob najmanjšem dvomu klic prekinete in banko pokličete sami, na številko z njene uradne strani. Klicatelj lahko pozna vaše osebne podatke, kar še ne pomeni, da je pravi. Za klice z znanim glasom se v družini dogovorite za »varno besedo«.
Pri naložbah pa velja staro pravilo: »Če se sliši preveč dobro, da bi bilo res, verjetno je in gre za poskus prevare.«
Če ste podatke že vnesli, takoj zamenjajte geslo, blokirajte kartico in obvestite banko. Če je denar že odšel, je čas ključen, saj lahko banka plačilo morda še ustavi. Goljufijo prijavite policiji na 113 ali prek e-uprave.
Sumljiva sporočila lahko od oktobra posredujete na [email protected], za SMS in WhatsApp zadostuje posnetek zaslona. SI-CERT lažne strani uvrsti na seznam za blokado. »Uporabniki pogosto prepoznajo, da je sporočilo lažno, vendar ne vedo, kam ga prijaviti,« pravijo.
Kdo plača škodo
Pri plačilih, ki jih stranka ni odobrila, mora banka škodo povrniti, razen če dokaže, da je stranka ravnala goljufivo ali z hudo malomarnostjo. Pri izgubljeni ali ukradeni kartici lahko stranka krije do 50 evrov.
Težje je, ko goljuf stranko prepriča, da plačilo potrdi sama. Revija Monitor opisuje primer ženske, ki je po klicu lažne Microsoftove podpore izgubila okoli 73.000 evrov. Višje sodišče je škodo razdelilo na pol, zadeva je zdaj na vrhovnem sodišču. Zveza potrošnikov Slovenije je lani pregledala 65 sporov z bankami, mediator je 71 odstotkov zahtevkov potrošnikov zavrnil.
To se bo spremenilo z novo evropsko uredbo o plačilnih storitvah. Če se goljuf izdaja za stranki banko, ji bo morala banka povrniti celoten znesek, če stranka prevaro takoj prijavi banki in policiji. Zavrne lahko le, če dokaže goljufijo ali hudo malomarnost. Banke bodo odgovorne tudi, če ne preverijo pravilno, ali se ime prejemnika ujema s številko računa. Telefonski operaterji bodo morali preprečevati ponarejanje klicnih številk, velika spletna omrežja pa preverjati oglaševalce finančnih storitev.
Besedilo uredbe je usklajeno, formalno pa še ni sprejeto. Uporabljati se bo začela 21 mesecev po začetku veljavnosti, torej realno ne pred letom 2028.
