Marketingový "průzkum" pro zjištění obětí na další útok

3.2.2018 04:32 | Přečteno: 2117× | vent | poslední úprava: 3.2.2018 04:32

Měl jsem dnes nevyžádaný telefonát, který se snažil vypadat a byl na začátku deklarován jako průzkum hospodářské situace v ČR. Místo slíbených 8 minut trval 22, obsahoval řádově 100 otázek, z nichž byli mnohé hodně citlivé a jsem si celkem jistý, že to byl "socially engineered recon" cílen na nalezení lidí, kteří používají mobilní bankovnictví nebo platby a nejsou moc technicky zdatní, tudíž představují lehké oběti - mobilní banking/platební aplikace de facto nejsou chráněny dvou-faktorovou ochranou, tudíž lze je mnohem jednodušeji napadnout než kombinaci internetbanking v PC + ověřovací SMS (na to potřebujete SS7 přístup nebo dva trojany na obou platformách).

Firma se představila jako Data Collect, číslo volajícího se zobrazovalo jako +420 778 168 002, které je pravděpodobně podvrženo (třeba přes VOIP bránu; nebo alespoň automaticky blokuje příchozí hovory). Nevyžádané hovory z čísla jsou celkem běžné. Blokování/spoofovaní čísla vypadá podezřele, ale firma uvádí jiné kontaktní telefonní číslo, to alespoň vyzvání. I když to vůbec nemusela být tahle firma a někdo jiný spoofnul její číslo.

Zákazníci pokud to chápu správně mají možnost dodat skript, podle kterého se budou operátoři call centra dotazovat.

Dotazník jsem absolvoval vymýšlením si odpovědí, abych vytvořil určitý profil, protože mě zajímá, jak fungují různé podvody.

Otázky začínají relativně nevinně

Na začátku vám sdělí údajný záměr: má se jednat o průzkum názoru na hospodářskou situaci v ČR. Otázky začínají v deklarovaném duchu, ptají se na věci, jestli jste si polepšili v zaměstnání za poslední rok platem, jestli si myslíte, že se to zlepší. Jaké máte vzdělání, formu příjmu (podnikatel/zaměstnanec). Ptají se, jaká je a jaká si myslíte že bude inflace. Zda spoříte a jestli plánujete koupi drahých věcí (elektronika, nemovitost, rekonstrukce nemovitosti...). Padne otázka, do jaké platové kategorie patříte (je to formulováno jako počet lidí v domácnosti a do jaké příjmové kategorie patříte). Zde jsem si představil skript, který čte telefonistka a viděl jsem větev, do které jsem vstoupil. Dává to přehled o vašich disponibilních naspořených financích. Red flag #1.

Tak to byl první zlom...

Otázky jsou křížově referencovány - nenapadá mě přesný český termín, ale ve výzkumech se tohle používá na detekci, jestli někdo neodpovídá úplně náhodně (nebo bez rozmyslu nelže). Údajně podle jednoho příspěvku na vyhledatcislo.cz zavěsili, pokud jim nezapadlo PSČ do jejich "množiny vhodných PSČ" (může to být ale atribut konkrétního průzkumu):

Volala mne pani, a řekla že je to nejaky pruzkum. (V jake obhodni centra chodim) Pak se zeptala na PSČ, a řekla že bydlim v meste, ktere nevyhovuje jejim požadavkum na ten pruzkum

Začnou se vyptávat, zda máte smartphone a jaký operační systém používáte. Následuje několik velmi podrobných otázek, zda používáte aplikace pro mobilní bankovnictví nebo jiné způsoby mobilních plateb (NFC, placené app store aplikace, atd). Red flag #2. Vůbec nesedí s deklarovaným původním záměrem hovoru. Red flag #3.

Just throw more red flags at me, will you?

Dále chtějí vědět jak hodnotíte různá rizika na mobilní platformě - phishing, spyware/malware, rizika sdílené wifi někde v restauraci, riziko hackerského útoku. Další otázky už jen v bodech:

• jestli jsem byl nějakou metodou z předchozích rizik již napaden, ohodnotit na škále nikdy - pravděpodobně ne - ... - pravděpodobně ano - určitě ano
• velmi podrobné dotazy na to, jaké způsoby obrany (aplikace) používáte - antiviry, firewally, různé jiné aplikace řešící třeba odcizení

Verdikt

If it looks like a duck, swims like a ducks and quicks like a duck, then it is a duck.

Nikdo omylem nevytvoří takhle zavádějící dotazník začínající nevinně a vedoucím dotazující se na velmi citlivá data. Jedná se rozhodně o sbírání informací před útokem. Těžko s jistotou říct, jestli bude útok cílit na obrání vás přes mobilní platební aplikace, vybrat vám byt, nebo jinak odposlouchávat/sledovat. Nebo třeba zjišťovali, zda víte o tom, že máte smartphone napaden? (ne moc pravděpodobné)

Zajímalo by mě, kam ty výsledky povedou. Má smysl se jich ptát na velikost vzorku?

• když je v tom firma nevinně, tak asi nebudou lhát
• když je spolupachatel, bude lhát
• když bylo číslo spoofnuto místo originální firmy, nebude o tomhle "průzkumu" nic vědet, ale stejně o nějaké studii nemusí vědet ani osoba, kterou se na to budete ptát (neprůkazné; taky může lhát pokud je spolupachatel)
• jak by útočník mohl využít Data Collect na profilování obětí? Použít několik malých množin cílových čísel a pak z toho odvodit správné kandidáty? (podobně jako týpek, co zacílil Facebook reklamy na svého spolubydliče)

Kdybych si měl tipnout, je to profilování obětí před útokem, nebo alespoň studie proveditelnosti/dopadu útoku tohoto typu. Pravděpodobně by to cílilo phishing na nějaké staré Androidy, kde po nainstalování aplikace již lokální eskalace privilegií není složitá.        

Anketa

Komentáře

[ZAH]

To víš, volali partneři české sociologické společnosti.

[pushkin]

Odkud máme Vaše telefonní číslo? Telefonní čísla, která používáme, pocházejí obvykle z náhodného generátoru čísel nebo z veřejně dostupných zdrojů. Někdy také používáme na žádost zadavatelů výzkumu jeho databázi kontaktů.

Takže standardní zm*di. Jinak v mém případě většinou hovory probíhají velmi krátce:

Operátor: "Dobrý den, (rychlé blablabla, aby bylo možno přeslechnout jméno společnosti), měl byste čas na krátký monitorovaný rozhovor?"

Já: "Promiňte, můžete mi zopakovat to jméno společnosti?"

Operátor: (Samozřejmě neznámá společnost.)

Já: "Odkud máte moje číslo?"

(prodleva)

Operátor: (Nějaká podobná výmluva jako výše.)

Já: "Z veřejně dostupných zdrojů ho určitě nemáte, neboť mám u svého čísla výslovně uvedený zákaz kontaktu z důvodů telemarketingu a v případě, že je číslo náhodně generováno si s Vámi nemám co říci. Nashledanou."

(túú túú túú)

Občas se ale stane, že má operátor číslo z "databáze":

Operátor: "Vaše číslo bylo vybráno z naší databáze."

Já: "Nevím o tom, že bych s Vámi měl něco společného, jak se tedy moje číslo dostalo do Vaší databáze?"

(prodleva)

Operátor: (improvizovaná výmluva)

Já: "OK, já jsme Vám své číslo nedal, to znamená, že jste odněkud zakoupili databázi čísel, což je nelegální. Pokud tedy nechcete mít problémy, tak mě z Vaší databáze okamžitě vymažte a už nikdy mne nekontaktujte. Sbohem."

Stačilo podle stejného scénáře postupovat párkrát před pár lety a od té doby mám ročně tak jeden podobný hovor, jinak jde vesměs o kontakty se společnostmi, kterými mám zájem být kontaktován

[ml]

To ještě měli trpělivost. Já jsem jednou zažil hovor přibližně v této podobě:
operátor: Dobrý den, tady firma XY máme pro vás dárek za to, že jste nám vyplnil anketu. Můžete mi říct adresu, abychom ho vám mohli poslat. (+ dalších pár vět než jsem mohl nějak reagovat a celé to bylo mnohem košatější)
já: Já si nevzpomínám, že bych v poslední době nějakou anketu vyplňoval, můžete mi prosím říct jaká anketa to byla... (víc jsem stačit neřekl)
tůtůtůtůtůtůtů....

Mám spamových hovorů naprosté minimum (cca 1x do roka asi mě maji v databázi těch, kterým nemá smysl volat), ale je zajímavé, že se pokaždé trefí do doby, kdy očekávám hovor od případně i neznámého čísla. Včetně čísla ze slovenska (předvolba +421), byť mi bylo divné, proč mi ten slovák od kterého jsem hovor toho dne víceméně čekal nevolá ze svého českého mobilu.

[petr_p]

Dotazníková firma prostě spojila dva průzkumy do jednoho hovoru, aby ušetřila. Dnes v době deep learning technologií se nedělají průzkumy stylem „Myslíte si, že bude lépe, nebo hůře? Děkujeme, nashledanou.“ Dnes nejen že jsou dotazníky rozsáhlé, ale dotazníková firma si k odpovědím přidá telefonní číslo jako jednoznačný identifikátor a data si nechá, aby vám mohla později znovu zavolat s jiným dotazníkem a odpovědi spárovat s předešlými. Pak se pokouší hledat korelace a prodávat výsledky neobjednaných průzkumů na vlastní pěst. Kdyby úřad na ochranu osobních údajů byl co k čemu, tak by je museli všechny dávno zavřít.

[limit_false]

Tohle je zajímavé, ale dává to smysl.

[Odin1918]

Doufam, ze za poskytnuti smyslenych odpovedi, kterymi jste spolecnosti, jez si pruzkum objednala, zpusobil nemalou skodu, budete hnat k odpovednosti a tu skodu zaplatite.

[mln]

V texte sa nikde nepise ze by uzavreli medzi sebou zmluvu s poziadavkou na poskytnutie pravdivych udajov vymenou za nejaku protihodnotu. Podla vsetkeho si len tak nezavazne pokecali. Odin, ak ste kreativny a nemate co na praci. skuste zazalovat za podvod nejaku marketingovu firmu :)

[Petr Tomášek]

Přesně. Navíc lhaní samo o sobě není trestné...

[Odin1918]

Zde se jedna o poskozeni cizi veci dle § 228.

[Petr]

K poskozeni jake veci doslo?

[Odin1918]

Doslo k poskozeni sbiranych dat. Vzorek bude (vzhledem k delce rozhovoru) spise maly a jim udane smyslene odpovedi vysledek velmi zkresli. Firma, ktera si pruzkum objednala, tak jiste necinila bezduvodne a dle vysledku bude cinit nejake rozhodnuti. limit_false by mel naklady spojene s celym timto rozhodnutim uhradit.

[Petr Tomášek]

To je hovadina, už jen proto, že ve chvíli toho rozhovoru ta "věc" ještě neexistuje, takže ji není možné poškodit. To by ti každý soudce smetl ze stolu...

[Bedňa]

Stojím za Odinem aj keby zrovna kecal, preto že píše moc pekné pičoviny

[Odin1918]

Souhlasil se zucastnenim se pruzkumu a nasledne umyslne odpovidal nepravdive, cimz zpusobil skodu. Jedna se o poskozeni cizi veci dle § 228.

[y.]

Nemuzes otevrit trestni zakonik na nahodne strance, zavrit ocit, ukazat nahodne prstem a rict, ze to je ono.

[Bedňa]

Nemuzes otevrit trestni zakonik na nahodne strance, zavrit ocit, ukazat nahodne prstem a rict, ze to je ono.

To myslím nie je nijak v rozpore s trestním právom.

[Petr]

Mám jednoduchou zásadu:
Dotazníky nevypňuju. Ani telefonicky, ani ústně, ani přes internet, ani nijak jinak.
Ať si trhnou. Do mě nikomu nic není.

[Petr]

A velice se divím, že to VŠICHNI nemají nastavené stejně jako já.

[limit_false]

Doteď jsem to bral tak, že pro neskreslení statistické vzorky mi až tak nevadí odpovídat, ale tyhle otázky byly až moc na tělo. Úplně si nedovedu představit "výzkum", kde se adminů ptají, jak mají nastavený firewall a jiné ochranné prvky v síti.

[Petr]

Nechápu.
Ať si trhnou.
K čemu jim ty průzkumy jsou? I když nejsem jediným respondentem (což se klidně může stát. Personálky a spol.), stejně to slouží vždycky jen k prospěchu někoho jiného. Např k tomu, aby na mě mohl lépe cílit svůj marketing.

[Petr Tomášek]

Na takové zmetky mám ve svém Asterisku něco jako:

        same =>n,Answer()
        same =>n,StartMusicOnHold()
        same =>n,Wait(4)
        same =>n,StopMusicOnHold()
        same =>n,While(1)
        same =>n,Playback(tt-allbusy)
        same =>n,StartMusicOnHold()
        same =>n,Wait(7)
        same =>n,StopMusicOnHold()
        same =>n,EndWhile()

Těch 7 sekund MOH mezi těma příšernejma hláškama je přesně voleno tak, aby to bylo co nejotravnější

[R]

Pouzijem cervene tlacidlo na mobile v momente, ked zistim, ze ide o spam.

[Tomáš]

Máš ten rozhovor nahraný nebo jsi to lovil z paměti? V případě jedna by stálo za to porovnat to s jinými respondenty, kteří by ti mohli potvrdit/vyvrátit, že sled otázek závisí na odpovědích (např. podle výše příjmu).