Sziasztok! Nemrégiben megjelent itt egy poszt erhu-n egy DHL csalással kapcsolatban, és hogy a rendőrség nem tesz semmit ennek érdekében, sőt, le is beszél a feljelentés megtételéről. Ezzel kapcsolatban kívánok egy felvilágosító posztot létrehozni.
A poszt OP-ja kapott egy levelet, miszerint nem vette át a csomagját, és ezért adatokat kell megadni. OP utána is nézett a dolgoknak, telefonszámot leellenőrizte az interneten, és kiderült, egy kamu szövegről és telefonszámról van szó. Mivel ez feltételezhetően csalás, bejelentést tett a rendőrségen, de a rendőrség nem kívánt vele foglalkozni, mondván valószínűleg félrement a levél.
Ez a csalási módszer nem más, mint a “caller ID spoofing” csalás, röviden spoofing csalás. Lényege abban áll, hogy az elkövető, aki megpróbálkozik a csalás elkövetésével, egy hamis telefonszámot hoz létre egy erre “szakosodott” weboldalon (spoofcard.com, dingtone, spooftel stb.). Ez a hamis telefonszám lényegében “nem létezik”, csak felveszi egy valós telefonszám alakját. Tehát van Pisti, akinek van egy Telekom telefonszáma (0630123), és van Béla, akinek Vodafone-s (0670321). Béla szeretne egy kamu telefonszámot létrehozni, megnyitja az alkalmazások egyikét, befizet, és megváltoztatja a hívó számot Pistiére. Mostantól kezdve, amikor Béla hív valakit az alkalmazás használatával, 0670321 szám helyett a hívó félnek 0630123 számot ír ki. Így mindenki azt hiheti, hogy Pistivel beszél Béla helyett.
Ugyanezen az elven működik a következő videó is:
Az elkövetők a telefonszámot képesek hivatalos (mondhatni hivatalos, de itt a bank által használt számokra, netflix sms számokra gondolok) telefonszámra hamisítani, így mondhatják a sértettnek, hogy “dehát a bank hív, nézze meg a kártya hátoldalán szereplő telefonszámot.
A probléma a spoofing számokkal, hogy visszafejthetetlen, az eredeti hívó személyének megállapítása szinte lehetetlen, mivel ezek kamu telefonhívások és számok, hiába van egy hívóazonosító. És ez végrehajtható WhatsApp-on és SMS-ben is. Tehát az SMS nél látható hívószám is kamu.
-Oké, értem. A rendőrség sem képes azonosítani az eredeti hívó/író számot?
-Nem
-Esetleg a telefonszolgáltató?
-Nem
-Miért nem foglalkozik az üggyel a rendőrség, amikor bejelentést teszek az egyik számmal kapcsolatban?
-Mivel, hogy érdemben foglalkozva legyen vele, a cselekénynek kísérleti stádiumba kell jutnia. Fontos, hogy a tévedésbe ejtés megtörténjen, és a sértett megtegye az elkövető által tett lépéseket. Mivel a poszt alapján kísérleti stádiumba nem került a cselekmény, így nem beszélhetünk büncselekményről. A bejelentés pedig sajnos kevés, hogy “vigyázzunk a telefonszámmal” mivel végtelenszámú kamu szám létrehozható.
TLDR: az elkövetők “caller ID spoofingot” alkalmaznak a sértett megtévesztésére, amely során az eredeti hívó visszafejtése lehetetlen.
Ezért szeretnék mindenkit megkérni arra, hogy ne legyünk naivak, ne dőljünk be ilyen piti bűnözők próbálkozásaira.
10 comments
> És ez végrehajtható WhatsApp-on
ebben biztos vagy ? mert ahoz a whatsapp-ot kellene heckelni. nem lehetetlen de nem annyira trivialis mint egy sima spoof-olt hivast inditani.
Erre a piaci résre vártam évek óta, ki szeretne alattam dolgozni? Ha beszerveztek valakit magatok alá kaptok 10%ot minden bevételéből.
Ezek szerintem azért alaposabb kifejtésre szorulnának:
-Oké, értem. A rendőrség sem képes azonosítani az eredeti hívó/író számot? -Nem
-Esetleg a telefonszolgáltató? -Nem
Ha jól értem az MSISDN számot spoofolják ilyenkor, eleve mást küldenek el a szolgáltatónak, de mivel a hívott MSISDNje a tied, ezért a szolgáltató el tudja route-olni hozzád a hívást és összeköt titeket a rendszerén keresztül. De az IMSI/IMEI számok vagy nem tudom, még mik alapján a szolgáltató vissza kéne, hogy tudja keresni. Azt nem tudom, hogy ezeket mindig naplózzák-e (felteszem igen, hisz részletes számlát valami alapján generálni kell), de ha más nem, a hatósági ügy kapcsán elkezdik trackelni, hátha újra feltűnik ugyan az a spoofed MSISDN. Ráadásul mivel az android a legtöbb ilyennél azonnal kiszúrja és szól, hogy ez spam hívás valószínűleg van egy lista a potenciálisan figyelendő számokról vagy egy algoritmus, amivel eldönthető egy számról, hogy pontenciálisan spoofed, ez segítheti a trackelendő hívások listájának körülhatárolását.
De ezt teljesen laikusként írom, egyszerűen nem hiszem el, hogy lenyomozhatatlan és kész, itt a tökéletes bűntény, befizetsz pár dollárt egy spoofed MSISDNért és soha többé nem talál rád senki. Az világos, hogy ez a típusú csalás nem lép át bizonyos jogi határt, ezért nem végzik el a szükséges feltárást.
Most tényleg az van, hogy ha Béla felhív a kamu számával, akkor a szolgáltató nem tudja megmondani, hogy Béla számáról jött a hívás? (Még ha kamu számot is ír ki.) És akkor mi alapján számláznak?
A spoofed callokat VISSZA LEHET FEJTENI! Ehhez fel kell venni a kapcsolatot a szolgáltatóval, azok vissza tudják keresni.
A baj csak az hogy ehhez valóban az kell hogy valami történjen is, mert más esetben nem feltétlen akarnak majd vele foglalkozni, de ez már emberi baromság, ahogy a rendőrség is tudna vele foglalkozni, már ha akarna ugye.
A spoofing során csak a caller ID változik meg, maga a szám amiről elindul a hívás marad, és ezt megfelelő rendszerekben vissza is lehet nézni, csak neked a fogadó oldalon lesz ott Béla száma helyett Petié, a szolgáltatónál Béla száma fog virítani.
Itt ugye csak azért nem szeretnek ezzel foglalkozni, mert nem 1 Béláról van szó, hanem rengeteg Béláról, Automata Bélákról, akik folyamatosan spoof-olnak, más-más számokról. Igen ebben van biznisz. Egy ilyet felgöngyölíteni nehéz, plusz valszeg nem kifizetődő, mivel könnyű újra kezdeni, szóval lehet hogy elkapnak pár Bélát, lesz még másik 100.
Igazából ez a csalás nem így működik, hanem sokkal egyszerűbben. Vannak SMS-küldő szolgáltatások, amiket több cég is használ. Nem véletlen fordulhat elő, hogy ugyanarról a számról jön két teljesen különböző cégtől valós megerősítő SMS, illetve akár scam is. De igazából mindegy is, mert sosem a számot kell nézni, hanem a tartalmat, ami egyértelműen lebuktatja, hogy csalás-e vagy sem.
> így nem beszélhetünk büncselekményről.
Posta nem számít hivatalos szervnek? Mert akkor megtörtént azzal, hogy annak adja ki magát.
Egyébként lehet visszafejteni, megvannak ezek a logok, honnan jött a hívás, melyik másik szolgáltatótól, és meg lehetne oldani… de könnyebb azt mondani, hogy hagyjálmárbékén.
Ha tényleg beazonosíthatatlan lenne a forrás, vagy nem elkülöníthető a valóditól, akkor nem működne a hívás. Ennyi.
A VoiP hívásoknál meg megoldható, hogy a problémás szolgáltatótól nem fogad, vagy magyar számot nem fogad, hiszen valszleg hamis. Jah, hogy akkor csinálni kéne szűrést és kevesebb bevétel lenne mert kevesebb forgalom.
Megoldva majd akkor lesz, ha Vityának vagy a szolgáltatóknak származik kára belőle.
1) értem, hogy az üzenetet kapó személy nem tudja egyből kideríteni
2) értem, hogy a rendőrség nem akar vele foglalkozni, mert még nem cselekmény
— szerintem ez jogilag nem állná meg a helyét, mivel ez csalás előkészületi szakasza, ami üldözendő
3) a szolgáltató vissza tudná fejteni
— azaz ha a rendőrség megkérdezné tőle, akkor nyilatkozna
Tadááám:
4) ha a szolgáltató vissza tudja fejteni, akkor bizonyára csak fejlesztés kellene ahhoz, hogy egy üzenetet – SMS, Whatsapp – még kiküldés előtt ellenőrizzen, és ha ilyen hívószám kijelzés nem azonos a valós hívószámmal esettel találkozik, akkor azt ellássa egy CSALÁSGYANÚS címkével.
— Miért nem elég fontosak nekik a felhasználók annyira, hogy megtegyék ezt a fejlesztést?
Ez bonyolult kérdés. A ha te, fogod a telefonodat és felhívod a szomszédot akkor a te szolgáltatód biztora tudja hogy te ki vagy, ha a szomszéd is ugyan azon szolgáltató előfizetője akkor azt is biztosan tudja hogy ő ki. Ha a szomszédnak más a szolgáltatója, akkor a te szolgáltatód biztos tudja te ki vagy, az ő szolgátltatója biztosan tudja ő ki, de az ő szolgáltatója nem tudhatja biztosan hogy te ki vagy, mert nem az a szolgaltató autentikál téged, hanem a sajátod, ők látják milyen számról hívsz és hogy milyen interconnecten melyik szolgáltatótól jön a hívás. Ha mondjuk mind a két fél magyar, magyar szolgáltatóval akkor már csak a számhordozás lehetősge miatt is tudni lehet hogy melyik hívószám melyik szolgáltatóhoz tartozik, de ugye autentikálni mindig a forrás hálózat fog. A probléma az, hogy van csillió random csikcskagyász voip szolgáltató ami hagyja hogy olyan hívószámot hazudja be magadnak amit csak akarsz és mivel ezek afrika alsón meg észak korea felsőn működnek papíron, gyakorlatilag meg ki tudja hogy, lófasz ráhatásuk nincs a magyar hatóságoknak hogy tegyen ezek ellen valamit. Ha ez tényleg megy hogy magyar számokat spoofolnak (ha sms és nem hívás akkor szerintem ez inkább flubot, nem spoof) azért mondjuk tehetne, hogy mondjuk a magyar szolgáltatók ne engedjenek be nemzetközi interconnecten ha nem roamingol a teló (ez műszakilag lehetséges, a dródos nem megy sehova, a mobil akkor meg amikor autentikál a kinti házlózaton akkor a kinti háló kénytelen hazabeszélni ide, szóval lehet tudni ha roamingol). Gondolom az nem történik meg, mert egyrészt talán nem is triviális, másrészt meg ha nincs forgalom az nem biznisz a szolgáltatóknak, szóval annyira nem érdekük.
Szóval ha nem is feltétlenül lehet megmondani hogy adott hívás vagy sms honnan jött, azt el lehet dönteni hogy itthonról, autentikált felhasználótól, vagy valami random voip szolgáltatótól.
Egyébként mint valaki más is írta, vannak sms gw szolgáltatók, akiket sok cég használ mindenféle szarság kiküldésére, lást pl twilio.
Csak azóta kapok ilyen sms-eket amióta egy Foxpost csomaghoz megadtam a számomat. Előtte soha semmi hasonlót nem kaptam.