CLI spoofing

CLI spoofing (od ang. Calling Line Identification, czyli identyfikacja numeru dzwoniącego) to podszywanie się pod cudzy numer telefonu. Oszust dzwoni do Ciebie, a na ekranie wyświetla Ci się numer, którego on wcale nie ma – infolinia Twojego banku, numer komisariatu, biura maklerskiego albo firmy, której ufasz. Czasem telefon od razu podpisuje taki numer nazwą z Twoich kontaktów, np. „Bank”, i wtedy pułapka działa jeszcze lepiej.

Piszę o tym na blogu o inwestowaniu z prostego powodu: ofiarami tego typu oszustw bardzo często padają ludzie, którzy mają oszczędności, konta maklerskie i portfele krypto. Czyli Ty i ja.

Jak działa CLI spoofing

Numer, który widzisz przy połączeniu przychodzącym, nie jest „twardym” dowodem tożsamości. To po prostu informacja przesyłana razem z połączeniem przez sieć telekomunikacyjną. Przy połączeniach realizowanych przez internet (VoIP) i przez bramki z zagranicy da się ją ustawić praktycznie dowolnie. Światowa sieć telefoniczna powstawała w czasach, gdy nikt nie zakładał, że operatorzy będą musieli sprawdzać każdą taką informację – i to jest luka, z której korzystają przestępcy.

Typowy scenariusz wygląda tak:

• dzwoni „pracownik działu bezpieczeństwa banku” – i na ekranie naprawdę widzisz numer z odwrotu Twojej karty,
• słyszysz, że ktoś właśnie próbuje wziąć kredyt na Twoje dane albo wyprowadzić pieniądze z konta,
• „ratunkiem” ma być przelew na „bezpieczne konto techniczne”, podanie kodu BLIK, potwierdzenie operacji w aplikacji albo instalacja programu do zdalnego pulpitu (AnyDesk, TeamViewer i podobne),
• często w drugiej części rozmowy pojawia się „policjant” lub „prokurator”, który – też z prawdziwie wyglądającego numeru – potwierdza historię i prosi o dyskrecję.

Cała sztuczka polega na tym, że wyświetlony numer wyłącza Twoją czujność. Myślisz: „to przecież mój bank, numer się zgadza”. A potem już tylko presja czasu i strach robią resztę.

Wersje „inwestycyjne”, na które uważam najbardziej

W świecie tradingu i krypto widziałem kilka odmian tego schematu:

• Fałszywy opiekun z giełdy kryptowalut – „wykryliśmy nieautoryzowane logowanie, musimy zabezpieczyć Twoje środki, przenieś je na podany adres”. Żadna poważna giełda nie dzwoni do Ciebie z prośbą o przelanie krypto na inny portfel.
• Fałszywe biuro maklerskie – telefon z numeru łudząco podobnego do znanej instytucji, propozycja „zarządzanego rachunku” i wpłaty na platformę, która z prawdziwym brokerem nie ma nic wspólnego.
• „Odzyskiwanie utraconych środków” – ktoś, kto już raz stracił pieniądze, dostaje telefon od rzekomej kancelarii, policji albo instytucji nadzoru, która „odzyska” pieniądze… po wpłacie opłaty. To drugi raz to samo oszustwo.

Co na to prawo w Polsce

Od 25 września 2023 r. obowiązuje u nas ustawa z 28 lipca 2023 r. o zwalczaniu nadużyć w komunikacji elektronicznej. Wprost zakazuje ona CLI spoofingu i nakłada na operatorów obowiązek blokowania takich połączeń albo ukrywania podrobionego numeru przed odbiorcą. Najwięksi operatorzy podpisali też z Prezesem UKE porozumienie o wspólnym wykrywaniu tego procederu.

To realnie utrudniło życie oszustom, ale nie traktuję tego jako gwarancji. Przestępcy przenoszą się tam, gdzie filtry działają słabiej: do komunikatorów (WhatsApp, Telegram, Messenger), gdzie łatwo ustawić zdjęcie i nazwę „Bank”, do połączeń z zagranicy i do SMS-ów z podrobioną nazwą nadawcy. Zasada się nie zmienia: to, co widzisz na ekranie, nie jest dowodem, kto naprawdę dzwoni.

Moje zasady obrony

1. Rozłączam się i oddzwaniam sam. Na numer z karty, z oficjalnej strony banku albo z aplikacji – nigdy przez „oddzwoń” w historii połączeń i nigdy na numer podany przez rozmówcę. Prawdziwy pracownik banku nie obrazi się, że chcesz to sprawdzić.
2. Bank nigdy nie prosi o przelew na „bezpieczne konto”. Takie konto nie istnieje. Jeśli słyszysz to hasło – to jest oszustwo, koniec dyskusji.
3. Nie podaję kodów. BLIK, kody SMS, kody z aplikacji, hasła, frazy seed do portfela krypto – nikt uczciwy o nie nie prosi przez telefon.
4. Nie instaluję niczego na prośbę dzwoniącego. Program do zdalnego pulpitu na telefonie albo komputerze to dla oszusta klucze do Twoich kont.
5. Presja czasu = czerwona lampka. „Musi Pan działać teraz, za 10 minut będzie za późno” to klasyczna socjotechnika. Uczciwa instytucja da Ci czas na sprawdzenie.
6. Policja nie prowadzi „akcji” Twoimi pieniędzmi. Żaden funkcjonariusz nie poprosi Cię o wypłatę gotówki, przelew czy kupno krypto „w ramach śledztwa”.

W tradingu mam zasadę, że przed wejściem w pozycję sprawdzam plan, a nie emocje. Przy telefonie od „banku” robię dokładnie to samo – najpierw weryfikacja, potem ewentualne działanie. Tak samo jak stop loss chroni kapitał na rynku, tak odruch „rozłączam się i oddzwaniam” chroni oszczędności poza nim.

Co zrobić, jeśli już dałeś się nabrać

• natychmiast dzwonisz do banku (na oficjalny numer) i blokujesz konto, karty i aplikację – im szybciej, tym większa szansa na zatrzymanie przelewu,
• jeśli ktoś miał dostęp do Twojego urządzenia, odinstalowujesz program do zdalnego pulpitu i zmieniasz hasła z innego, czystego urządzenia,
• przy krypto od razu przenosisz to, co zostało, na nowy portfel z nową frazą seed,
• zgłaszasz sprawę na policję i do CERT Polska (incydent.cert.pl); podejrzane SMS-y możesz bezpłatnie przesłać na numer 8080,
• uważasz na kolejne telefony z „ofertą odzyskania pieniędzy” – to bardzo często ci sami ludzie.

CLI spoofing nie wymaga od oszusta żadnej wiedzy hakerskiej. Wystarczy mu tani dostęp do bramki VoIP i dobra gadka. Dlatego najskuteczniejszą ochroną nie jest technologia, tylko nawyk: nie ufam numerowi na ekranie, ufam numerowi, który sam wybrałem.