בשבועות האחרונים לקוחות Airbnb קיבלו מייל על כך שהחברה מעדכנת את מדיניות הפרטיות שלה בעקבות תקנות ההגנה על פרטיות הגולשים באירופה (GDPR). מי שניצל את זה היו כמה עבריינים שראו בכך הזדמנות לגנוב פרטי כרטיס אשראי ומידע אישי מהלקוחות באמצעות אתרים מתחזים.
מאחר שתקנות הגנת הנתונים הכלליות של האיחוד האירופי (GDPR) נכנסות לתוקף ב -25 במאי 2018, מאות חברות וארגונים ממהרים לעדכן את מדיניות הפרטיות שלהם. התקנות החדשות צפויות להרחיב את זכויות המשתמשים לפרטיות ולהפעיל לחץ נוסף על חברות המטפלות במידע אישי על ידי כך שהן תהיינה אחראיות יותר להגנה על נתוני המשתמשים. כתוצאה מכך, חברות רבות החלו ליידע את המשתמשים שלהם לגבי שינויים אלה, וכן קראו להם לאשר את מדיניות הפרטיות החדשה שלהם.
לרוע המזל, עברייני הרשת מודעים לעובדה כי תקנות ההגנה על נתונים עומדות להיכנס לתוקפן ממש בימים הקרובים. על פי הדיווחים האחרונים, הם החלו לנצל את התקנות החדשות להונאה ולהערים על לקוחות Airbnb לתת את השם, הכתובת, פרטי כרטיס האשראי ומידע אישי אחר בעזרת הודעות דוא"ל המתחזות לשירות האמיתי ומנסים לדלות פרטים באמצעות אתרים זדוניים.
אחת הדוגמאות הללו התגלתה על ידי מומחי אבטחה, הודעות דוא"ל מתחזות המשתמשות בשם Airbnb כדי לסחוט את מידע יקר על משתמשים.
פושעים משתמשים בהנדסה חברתית כדי לגרום לדוא"ל המזויף להיראות אמין
עבריינים מודעים לעובדה כי לקוחות רבים מצפים לסוג כזה של הודעות דוא"ל. לכן זה הופך להיות הרבה יותר קל לפתות משתמשים להאמין לתוכן המייל, לגרום להם להקליק על הקישור בלי לבדוק אותו ולאפשר לגנוב את הנתונים האישיים שלהם.
הדוא"ל המזויף נראה די דומה לזה שנשלח על ידי Airbnb וטוען כי, בשל כניסת תקנות ה-GDPR, המשתמשים צריכים לקבל מדיניות פרטיות חדשה. אחרת, הזמנותיהם ומסריהם לא יתקבלו. בנוסף, הקורבנות מתבקשים ללחוץ על קישור "לחץ כאן כדי לקבל את הקישור החדש למדיניות הפרטיות" בסוף ההודעה.
הקורבנות מתבקשים להזין פרטי חשבון ופרטי כרטיס אשראי. גם אם מסך הכניסה עשוי להיראות לגיטימי, זה לגמרי מזויף ותוכנן בחוכמה. למרבה הצער, משתמשים רבים צפויים ללחוץ על הקישור מיד כי העיצוב של הדוא"ל נראה אמיתי. עם זאת, בבדיקה מעמיקה יותר, ניתן להבחין כי המייל נשלח מכתובת שהיא אינה הכתובת הרשמית של Airbnb – הנוכלים משתמשים בכתובת @mail.airbnb.work במקום @airbnb.com. בנוסף, הדוא"ל המקורי כולל הרבה יותר פרטים על השינויים הצפויים בעקבות GDPR ואינו דורש לקוחות להזין פרטים או להיכנס לקישור על מנת לאשר את המדיניות החדשה.
מימין ההודעה האמיתית של Airbnb ומשמאל הודעת הפישינג
סביר להניח שבתקופה הקרובה נראה עוד הונאות מסוג זה
Airbnb עודדה את כל המשתמשים לדווח על הונאה ולהעביר את הדוא"ל לכתובת report.phishing@airbnb.com. בנוסף, החברה סיפקה כמה טיפים על האופן שבו ניתן לזהות את הודעת ההתחזות.
ככל שכניסת תקנות הגנת הנתונים האירופאיות מתקרבת, אנחנו מאמינים כי עברייני הרשת ימשיכו להתחזות לארגונים ומותגים פופולריים כדי להטעות משתמשים ולגנוב את הנתונים או פרטי האשראי שלהם. בנוסף, ייתכנו הונאות נוספות שישתמשו במיילים מתחזים על כניסת התקנות כדי להפיץ תוכנות זדוניות, כולל נוזקות כופר או כורי מטבעות וירטואליים, על מנת לסחוט כסף או נתונים של הקורבנות.