Uwaga na złośliwe kody QR na bankomatach, których nikt nie widział

To, że jakiś atak jest teoretycznie możliwy, nie oznacza, że ktoś go stosuje. Widzieliście ostrzeżenia przed skanowaniem kodów QR na bankomatach? Opowiemy Wam dziś, jak policja i banki przyczyniły się do powstania fake newsa, który obiegł polskie media.

Pod koniec ubiegłego roku na stronie Związku Banków Polskich (ZBP) pojawił się Komunikat w sprawie skanowania przez użytkowników smartfonów kodów QR z naklejek bezprawnie umieszczanych na bankomatach, który umknął uwadze mediów. Niedługo potem informację o niemal identycznej treści opublikowały Polska Izba Informatyki i Telekomunikacji (PIIT) oraz Policja. Na tę ostatnią zaczęli powoływać się dziennikarze, którzy podłapali temat. Nawet w chwili, gdy zaczynaliśmy pisać ten tekst, ostrzeżenie przed kodami QR zajmowało pierwsze miejsce w rankingu najczęściej czytanych artykułów na stronie policja.pl.

Można się z niego dowiedzieć, że naklejki z niebezpiecznymi kodami QR „w ostatnim czasie bezprawnie umieszczane są na bankomatach”. Policja, ZBP i PIIT – posługując się niezbyt staranną polszczyzną – tłumaczą, że

Informację tę bez większych zmian podało wiele serwisów – nic dziwnego, skoro Polska Agencja Prasowa (PAP) zamieściła ją na swojej stronie z materiałami do bezpłatnego wykorzystania w mediach. Niektóre dość kreatywnie, choć niezgodnie z faktami, uzupełniły policyjny komunikat o pewną dozę dramatyzmu. „Wystarczy skan i pieniądze znikną z konta” – alarmował TVN24 BiS. „Naklejki z kodami pojawiły się w wielu miejscach w Polsce” – podkreślała Panorama TVP, która chcąc uwiarygodnić przekaz, poprosiła o komentarz paru ekspertów. „Wczytanie takiego kodu może narazić właściciela telefonu na utratę pieniędzy” – ostrzegała Rzeczpospolita. „Zdarzały się przypadki, że ludzie tracili w ten sposób po kilka tysięcy złotych” – straszył katowicki oddział Wyborczej, który już zdecydowanie odpłynął. O groźnych kodach QR informowały m.in. Wirtualna Polska, Interia, Radio ZET, Polskie Radio, RMF 24, Radio ESKA, Bankier.pl, Wprost, Komputer Świat i szereg innych stron.

Temat odżył, gdy media zauważyły, że ostrzeżenia o podobnej treści zaczęły w swoich serwisach publikować banki – najpierw BOŚ, Citi Handlowy i Bank Pocztowy, a ostatnio także PKO BP. Do tych pierwszych wysłaliśmy maile z prośbą o więcej szczegółów na temat ataków. Odpisała nam tylko Agnieszka Mędrzecka z Biura Zarządu i Komunikacji Banku Pocztowego:

Innymi słowy, bank nie zetknął się jeszcze z omawianym zagrożeniem, ale postanowił ostrzec przed nim klientów, sugerując się cytowanym wyżej komunikatem Policji, ZBP i PIIT. Zapytaliśmy podpisane pod nim podmioty, skąd mają informacje o groźnych kodach QR, które – jak głosi ostrzeżenie – „w ostatnim czasie bezprawnie umieszczane są na bankomatach”. Poprosiliśmy o adresy stron i dokładniejszy opis usług premium, do których te kody kierują. Ciekawiło nas, czy autorzy komunikatu dysponują zdjęciami złośliwych naklejek – chcieliśmy Wam je pokazać i poprosiliśmy o udostępnienie przynajmniej jednego.

Policja: Nie mamy takich zgłoszeń

Z upoważnienia Rzecznika Prasowego Komendanta Głównego Policji skontaktował się z nami kom. Dawid Marciniak – najpierw telefonicznie, potem mailowo. Okazało się, że Policja nie otrzymała dotąd żadnych zgłoszeń dotyczących naklejek z kodami QR umieszczanych na bankomatach. W związku z tym nie ma żadnych zdjęć ani nie może nam podać szczegółów na temat usług premium aktywowanych po zeskanowaniu złośliwych kodów, a opublikowane ostrzeżenie ma charakter prewencyjny. Z treścią e-maila, który otrzymaliśmy, możecie zapoznać się poniżej.

Pod koniec jednego z materiałów telewizyjnych, dostępnych na stronie TVP Info, przedstawiciel Policji stwierdza wprost: „Nie mamy takich zgłoszeń”. Sam materiał utrzymany jest jednak w tonie lekkiej sensacji. Jego twórcy pokusili się nawet o pokazanie naklejki ze złośliwym kodem QR. Skąd ją wzięli? W sierpniu ubiegłego roku Niebezpiecznik poinformował krótko o naklejce, którą zdybał na bankomacie jeden z czytelników tego serwisu. Widniał na niej napis „Zgarnij Iphona X za Darmo!”, a strona, do której kierował kod, zajmowała się wyłudzaniem danych osobowych – nie było mowy o kradzieży pieniędzy lub wyłudzaniu SMS-ów premium.

Zagrożenie, przed którym ostrzegała Policja, miało działać inaczej – chodziło o „uruchomienie aplikacji wysyłającej SMS Premium bez wiedzy użytkownika”. Szkopuł w tym, że takich ataków nie odnotowano, informacje o nich pojawiły się tylko „w przestrzeni publicznej” (cokolwiek ten zwrot znaczy). I owszem, są możliwe, ale to nie powód, żeby siać panikę. Byłoby zdecydowanie lepiej, gdyby policyjne ostrzeżenie dotyczyło zagrożeń, z którymi Polacy naprawdę mają do czynienia – ataków niebezpiecznych i masowych, jak choćby oszustwa z wykorzystaniem fałszywych paneli płatności Dotpay, które obszernie opisywaliśmy przez cały zeszły rok. Niestety w serwisie policja.pl nie poświęcono im żadnej wzmianki, a były to ataki prawdziwe, nie hipotetyczne. Dlaczego organy powołane do dbania o nasze bezpieczeństwo wymyślają nieistniejące zagrożenia, zamiast ostrzegać przed tymi, które już istnieją? Nie mamy pojęcia.

ZBP wyjaśnia, lecz też ataków nie widział

Udało się nam także skontaktować z przedstawicielami ZBP. Na nasze pytania odpowiedział Piotr Marek Balcerzak, dyrektor Zespołu Bezpieczeństwa Banków – z treścią otrzymanego przez nas maila możecie zapoznać się poniżej.

PIIT do chwili publikacji tego tekstu na zadane przez nas pytania nie odpowiedziała. Jeśli sami widzieliście na którymś bankomacie naklejki z kodami QR, to zapraszamy do kontaktu i nadsyłania zdjęć. Chętnie zaktualizujemy ten artykuł o dostarczone przez Was dowody wskazujące, że mamy do czynienia z realnym zagrożeniem, nie z legendą miejską. Pozdrawiamy także wszystkie redakcje i instytucje kolportujące opisanego powyżej newsa – weryfikacja informacji przed ich publikacją to trudne zadanie.

Źródło: zaufanastronatrzecia.pl