(Nettavisen): Nordea erfarer en kraftig økning i kunder som har blitt utsatt for svindelforsøk på plattformen Tise de siste ukene.

Nå vil banken advare nordmenn om svindelformen slik at brukere av appen kan være oppmerksomme på at svindlerne opererer med nye metoder på gjenbruksappen.

Slik illustrerer banken svindelen:

«I et eksempel skulle en jente selge en kjole på Tise. Hun ble kontaktet av en som ønsket å kjøpe kjolen og som spurte om hun kunne sende den med leveringstjenesten Helt hjem. Hun bekreftet dette, og fikk deretter et skjermbilde av en bestillingsbekreftelse på Tise hvor det stod hva hun skulle gjøre og et referansenummer hun måtte skrive på pakken for å sende den. Etter dette fikk hun en SMS med en link som tilsynelatende ledet til helthjem.no. Når hun gikk videre inn på linken ble hun spurt om å legge inn kortinformasjonen sin og bekrefte med BankID på mobil for å motta betalingen»

Dette viste seg å være en phishingside. Kundene som har blitt utsatt for denne svindelen har opplevd at kortet er blitt belastet for transaksjoner til flere tusen kroner.

Banken har også erfart lignende tilfeller. Forskjellen er at selger har blitt bedt om å legge inn kortinformasjon på en betalingstjeneste for å motta betaling for salget eller for å betale porto. Slik får svindlerne tak i kortinformasjonen din og kan videre bruke kortet til å gjennomføre kjøp på nettet.

Tise har over 500.000 månedlige brukere, forteller markedssjef i Tise Victoria Haug til Nettavisen.

Belastet kortet for flere tusen kroner

Banken ser et titalls saker i uken, og bare denne uken er de varslet av over ti kunder som har opplevd svindelen.

Nordeas svindelekspert Ida Marie Edholm forteller at denne svindelmetoden er proffere enn hva banken har sett tidligere.

Det er også én vesentlig forskjell.

– Det er nytt at de svindler selger. Det kan være selger ikke er like bevisst på at de også kan bli utsatt for svindelforsøk, forteller Edholm til Nettavisen.

Banken har sett flere eksempler på hvordan svindlerne opererer.

– De fikk først et skjermbilde av Helt hjem, så ble de bedt om å trykke på en link for å legge inn kortinformasjon, og så fikk de en melding med et referansenummer. Hele oppsettet virker mer troverdig.

Edholm mener det er viktig å være kritisk til å gi fra seg sensitiv informasjon på nett.

– Med en gang man blir bedt om å legge inn kortinformasjon, da bør alarmen gå og man må ta en fot i bakken.

Dyster svindeltrend: – Alle som er påkoblet nett er utsatt for risiko

Aldri flytt samtalen over på andre chattetjenester

Hvis du først har blitt svindlet, betyr det ikke nødvendigvis at du taper pengene.

– Man kan søke refusjon hos Nordea, og da vil saken bli behandlet individuelt, sier Edholm.

Fremover bør man være litt obs på nye svindelvarianter, understreker eksperten.

– Vi forventer at de endrer litt på hvordan de gjør det. Vær generelt skeptisk til å legge inn kortinformasjon og bekrefte med BankID.

Nordea har følgende tips for å unngå å bli lurt:

  • Ikke trykk på lenker du får tilsendt.
  • Benytt deg av de tradisjonelle betalingsmåtene som er anbefalt av nettstedet du bruker.
  • Bruk integrerte betalingsløsninger der det tilbys - Tise har for eksempel en egen betalingsløsning.
  • Aldri flytt samtalen over på andre chatte-tjenester som Messenger, Whatsapp eller SMS. Svindlerne vil prøve å flytte samtalen bort fra bruktmarkedene på nett for å unngå sikkerhetskontrollene deres.

  • Vurderer den du snakker med og les omtaler.

Ulike angrep svindlerne benytter seg av

Manipulasjon i sanntid

Et slikt angrep kan starte med at offeret mottar en SMS og/eller et anrop.

- I begge tilfellene har de kriminelle gjemt seg bak falske mobil numre, fastnettnumre eller avsendernavn – for eksempel navnet på banken eller tilsvarende. I SMS-en eller i samtalen spilles det som regel på frykt for å få deg på limpinnen og handle irrasjonelt, sier Torbjørn Busch.

Et eksempel på en melding du kan få er at «banken mistenker uautorisert aktivitet på kontoen din».

- En slik melding vil også påfører deg stress og følt tidspress ved at offeret raskt må ta affære for å hindre misbruk og tap av penger. De kriminelle ønsker at du skal la seg rive med av frykten, bite på kroken og trykke på en lenke du tror leder til nettbanken. Det du tror er bankens offisielle innloggingside, er i realitet en ondsinnet nettside de kriminelle kontrollerer. Nettsiden kan se helt lik ut den innloggingssiden du pleier å logge deg på.

Svindlerne ønsker at du skal gi fra deg innloggingsinformasjon, BankID, aktiveringskoder, eller andre engangskoder.

- Idet du taster inn engangskoden fra BankID på den falske nettsiden, kan svindlerne lese av denne. Siden de også har fødselsdatoen, kan de raskt logge inn i for eksempel den ekte nettbanken din før koden blir for gammel. Dette er mulig fordi bakmennene sitter parat, i sanntid, og følger med på alt du skriver på den falske nettsiden – som de kontrollerer. Straks de er inne i nettbanken, setter de gjerne i gang en overføring av penger ut av kontoen din, sier Busch.

- Men siden slike overføringer gjerne krever en egen godkjenning via BankID, kan de la deg tro at «innloggingen» din feilet. Når du da forsøker å «logge inn» på nytt med en ny BankID-kode, har du i realiteten gitt svindlerne koden de trenger for å godkjenne overføringen ut av kontoen.

- En annen variant kan være at du mottar et anrop, eller blir lurt til å ringe tilbake til «banken».

- Her kan man bli bedt om å «bekrefte identiteten sin» med BankID som gjør at de kriminelle, mens de har deg på tråden, kan tappet kontoen din for penger. BankID kan også fungere som en aktiveringskode slik at de kriminelle selv kan installere banken sin app på egen telefon, og deretter gjennomføre betalinger fra kontoen de har fått tilgang til.

Jailbreak

- Telefoner blir levert fra leverandør med begrensninger i tilgang. Disse begrensningene er ofte tiltak for å sikre telefonen og dens data. Jailbreak betyr at man med programvare åpner opp telefonen for å øke tilgangen til seg selv som bruker, og dette kan medføre en sikkerhetsrisiko. ¨

Applikasjoner på telefonen kan da få økt tilgang og justere innstillingene.

- Små sårbarheter med liten innvirkning kan i stedet bli alvorlige sårbarheten. I praksis har man ødelagt en del av sikkerhetsrutinene på telefonen som normalt sett gjør telefonen mindre sårbar. En kan sammenligne sikkerhetsrutinene med en løk der hvert lag utgjør en sikkerhetsbarriere. Når du jailbraker telefonen er bare skallet igjen.

0-dagsangrep

- Et 0-dagsangrep (nulldag) betyr at en sårbarhet i programvare ikke er kjent og rettet opp i. Det kan være at angriper er den eneste som kjenner til sårbarheten. Å beskytte seg mot disse sårbarhetene er vanskelig, og det kan gi en angriper full tilgang til telefonen uten at en bruker kan beskytte seg.

Disse type sårbarhetene finnes ikke ofte, og de blir fikset så raskt de blir kjent, ifølge eksperten.

- Men når de først er kjent så vil mange flere benytte seg av angrepstypen. Derfor er det viktig a holde telefonen oppdatert så kjente sårbarheter ikke kan brukes mot telefonen. De kriminelle kan potensielt sett utnytte sårbarheten til å ta kontroll på mobilen, og nettbanken kan bli sårbar for angrep. Angriperen gis såkalte «systemprivilegier» der det ikke er noen begrensninger for hva de kriminelle kan gjøre på mobilen.

Nedlastning av usignerte applikasjoner fra useriøse markedsplasser

- For at en app skal kunne installertes på en telefon må den godkjennes\autoriseres av Apple eller Google, avhengig av telefon. App som ikke er autorisert kan installeres ved at brukeren tillater usignerte applikasjoner. Da kan bruker laste ned fra andre kilder enn App Store og Google Play Store. Dette er en betydelig sikkerhetsrisiko da app lastet ned fra andre kilder ikke har samme kvalitetskontroll og sjekk for ondsinnet innhold. Apper kan da være trojanisert, det vil si at de gir seg ut for å være en type app, men i virkeligheten er noe annet.

Typisk for dette er spill som ibakgrunnen stjeler brukerens informasjon, bilder og data. Ved å tillate usignerte apper så er det mye lettere å få brukeren til å installere en ondsinnet app - som Flubot, sier eksperten.

- Flubot er et eksempel på ondsinnet applikasjon, som i realiteten er en banktrojaner, og er designet for å stjele informasjon fra telefonen og spre viruset videre via SMS eller MMS.

En usignert app, eller en app som er gitt for mye rettigheter på telefonen enten ved hjelp av bruker eller utnyttelse av plattformen, kan stjele informasjon fra telefonen, understreker Busch.

- De kan oppføre seg som en legitim app og tilby tjenester og funksjoner som forventet, men i realiteten sende data, passord, navn, alt av informasjon til kriminelle. I tillegg så er det andre måter de kan stjele informasjon som for eksempel skjermdump, logging av tastetrykk, bruk av mikrofon og kamera og å sende nettverkstrafikk fra legitime apper til angriper som kan manipulere den.

Bankens egne systemer

En mer komplisert, men ikke usannsynlig angrepsflate, er bankens egne systemer. Da kan det tenkes at angriper kan sende ut SMS fra banken, blokkere SMS fra banken, sende ut phishing linker eller gjennomføre transaksjoner. Disse type angrepene er alvorlige og utgjør en stor trussel da den kan ramme mange. Her må man stole på banken og dens sikkerhetspersonale til å finne og å stoppe eventuelle angrep.

Kilde: Telenor

Krever mer av oss som aktør

Markedssjef i Tise Norge, Victoria Haug, forteller at de er kjent med svindelmetoden.

– Dessverre forekommer det svindel på markedsplasser som Tise og vi har sett en økning i forsøk på utspekulerte svindelforsøk de siste årene. Økning i svindelforsøk krever mer av både oss som aktør og at vi har en sikker løsning, men også at brukerne er bevisste, sier Haug til Nettavisen.

Selskapet oppfordrer alle til å benytte seg av den integrerte løsning for frakt og betaling.

– Da håndteres både forsendelsen og betalingen gjennom oss, og pengene holdes trygt inntil kjøper har mottatt og godkjent varen. Med denne løsning blir både kjøper og selger beskyttet dersom noe skulle oppstå noe. Ved bruk av den integrerte løsningen skjer alt av budgiving og bestilling av frakt i appen, aldri utenfor, avslutter markedssjefen.