Fałszywą aplikację „Bankowość uniwersalna Polska” odkryto 20 marca br. Jak wskazują eksperci, mogła w sposób znaczący pozbawić pieniędzy wielu nieświadomych użytkowników.
- Za jej pomocą użytkownik spośród aż 21 polskich banków mógł wybrać ten, w którym posiada swój rachunek bankowy. Następnie był proszony o dane uwierzytelniające, czyli login i hasło. Te dane były wysyłane do hakera, a proces logowania do rachunku w ogóle nie miał miejsca. Aplikacja potrafiła omijać dwuskładnikowe uwierzytelnienie - użytkownik nie widział SMS-ów z banku, natomiast dostęp do nich zyskiwał cyberprzestępca. Z ich pomocą mógł wyprowadzić pieniądze z rachunków swoich użytkowników – tłumaczy Lukas Stefanko, badacz zagrożeń z ESET.
Ekspert dodaje, że aplikacja została pobrana nie więcej niż sto razy i usunięta z Google Play w dniu jej odkrycia. Nadal jest jednak dostępna w tzw. drugim obiegu, czyli w nieautoryzowanych sklepach z aplikacjami. Poniżej lista banków, których klienci mogli paść ofiarami oszustwa.
Do podobnego ataku doszło w listopadzie zeszłego roku. Dotyczył on wówczas użytkowników czternastu polskich banków. Został przeprowadzony za pomocą aplikacji dostępnych w oficjalnym sklepie Google Play: CryptoMonitor oraz StorySaver.
Obie aplikacje, oprócz obiecywanych funkcjonalności, wyświetlały swoim ofiarom fałszywe powiadomienia systemowe, które wyglądały identycznie jak te generowane przez popularne w Polsce aplikacje bankowe. Dodatkowo złośliwe aplikacje podsuwały swoim ofiarom fałszywe formularze logowania do rachunków bankowych, by docelowo przechwycić wprowadzane za ich pośrednictwem loginy i hasła.
