Black Friday og sesongen – se opp for «pengeforespørsel»-svindel fra PayPal

Gitt at vi går inn i høysesongen for detaljhandel, vil du finne advarsler om nettsikkerhet med et "Black Friday"-tema over hele internett ...

…inkludert, selvfølgelig, her på Naked Security!

Som vanlige lesere vil vite, er vi imidlertid ikke veldig opptatt av netttips som er spesifikke for Black Friday, fordi cybersikkerhet er viktig 365 og et kvarter i året.

Ikke ta cybersikkerhet seriøst bare når det er Thanksgiving, Hannukah, Kwanzaa, jul eller annen gaveutdeling, eller bare for nyttårssalget, vårsalget, sommersalget eller andre sesongbaserte rabattmuligheter.

Som vi sa da detaljhandelsesongen startet tidligere denne måneden i mange deler av verden:

Den beste grunnen til å forbedre cybersikkerheten din i forkant av Black Friday er at det betyr at du vil forbedre cybersikkerheten resten av året, og vil oppmuntre deg til å fortsette å forbedre deg gjennom 2023 og utover.

Når det er sagt, handler denne artikkelen om en PayPal-merket svindel som ble rapportert til oss tidligere denne uken av en vanlig leser som mente det ville være verdt å advare andre om, spesielt for de med PayPal-kontoer som kanskje er mer tilbøyelige til å bruke dem på denne tiden av året enn noen annen.

Det som er bra med denne svindelen er at du skal få øye på det for hva det er: oppdiktet tull.

Det dårlige med denne svindelen er at det er forbløffende enkelt for kriminelle å sette opp, og det unngår nøye å sende falske e-poster eller lure deg til å besøke falske nettsteder, fordi skurkene bruker en PayPal-tjeneste til å generere sin første kontakt via offisielle PayPal-servere.

Her går.

Spoofing forklart

A falsk e-post er en som insisterer på at den er fra et kjent selskap eller domene, vanligvis ved å legge inn en troverdig e-postadresse i From: linje, og ved å inkludere logoer, slagord eller andre kontaktdetaljer kopiert fra merket den prøver å etterligne.

Husk at navnet og e-postadressen vises i en e-post ved siden av ordet From er faktisk bare en del av selve meldingen, slik at avsenderen kan legge nesten alt de liker der, uavhengig av hvor de egentlig sendte meldingen fra.

A forfalsket nettsted er en som kopierer utseendet og følelsen til den ekte varen, ofte ganske enkelt ved å rive av nøyaktig nettinnhold og bilder fra det originale nettstedet for å få det til å se så piksel-perfekt ut som mulig.

Svindelnettsteder kan også prøve å få domenenavnet du ser i adressefeltet til å se minst vagt realistisk ut, for eksempel ved å plassere det forfalskede merket på venstre side av nettadressen, slik at du kan se noe som paypal.com.bogus.example, i håp om at du ikke sjekker den høyre enden av navnet, som faktisk bestemmer hvem som eier nettstedet.

Andre svindlere prøver å skaffe seg lignende navn, for eksempel ved å erstatte dem W (ett W-for-Whisky-tegn) med VV (to V-for Victor-tegn), eller ved å bruke I (skriver en stor bokstav I-for-India-tegn) i stedet for l (en liten bokstav L-for-Lima).

Men forfalskningstriks av denne typen kan ofte oppdages ganske enkelt, for eksempel ved:

• Lær hvordan du undersøker de såkalte overskriftene til en e-postmelding, som viser hvilken server en melding faktisk kom fra, i stedet for serveren som avsenderen hevdet at de sendte den fra.
• Sette opp et e-postfilter som automatisk skanner etter svindel i både overskriftene og brødteksten i hver e-postmelding som noen prøver å sende deg.
• Surfing via et nettverk eller endepunktbrannmur som blokkerer utgående nettforespørsler til falske nettsteder og forkaster innkommende nettsvar som inneholder risikabelt innhold.
• Bruke en passordbehandler som knytter brukernavn og passord til bestemte nettsteder, og kan dermed ikke la seg lure av falskt innhold eller lignende navn.

E-postsvindlere går derfor ofte ut av deres måte å sikre at deres første kontakt med potensielle ofre involverer meldinger som virkelig kommer fra ekte nettsteder eller nettjenester, og som lenker til servere som virkelig drives av de samme legitime nettstedene...

...så lenge svindlerne kan finne på en måte å opprettholde kontakten på etter den første meldingen, for å holde svindelen i gang.

Romantiske svindlere, som prøver å lokke ofre inn i falske nettrelasjoner for å bli kvitt penger, kjenner dette trikset altfor godt. De starter vanligvis med å ta kontakt på en konvensjonell måte på en ekte datingside, ved å bruke andres bilder og nettidentitet. Der sjarmerer de sine ofre til å forlate den komparative sikkerheten til det legitime nettstedet og bytte til en uovervåket en-til-en direktemeldingstjeneste.

«Money request»-svindelen

Slik fungerer PayPals «pengeforespørsel»-svindel:

• Svindleren oppretter en PayPal-konto og bruker PayPals «money request»-tjeneste å sende deg en offisiell PayPal-e-post der du blir bedt om å sende dem noen midler. Venner kan bruke denne tjenesten som en uformell, men relativt trygg måte å dele utgifter etter en kveld på, be om hjelp til å betale en regning, eller til og med å få betalt for små oppgaver som rengjøring, hagearbeid, dyrepass og så videre.
• Svindleren får forespørselen til å se ut som en eksisterende avgift for et ekte produkt eller en tjeneste, men ikke en du faktisk bestilte, og sannsynligvis for noe som ser ut som en usannsynlig eller urimelig pris.
• Svindleren legger til et kontakttelefonnummer i meldingen, tilsynelatende tilbyr en enkel måte å kansellere betalingsforespørselen hvis du tror det er svindel.

Så e-posten stammer faktisk fra PayPal, og gir den en følelse av autentisitet, og lokker deg til å reagere ved å ringe skurkene tilbake, i stedet for å svare på selve e-posten.

Som dette:

Gitt at du er ganske godt klar over at betalingsforespørselen aldri ble godkjent av deg, kan du godt rapportere den til PayPal...

…men det er også fristende å ringe "bedriften" som sendte gjennom forespørselen for å fortelle dem om ikke å slå deg opp igjen neste uke eller neste måned når deres "poster" viser at "regningen" fortsatt ikke er betalt.

Tross alt er telefonsamtalen gratis (i Storbritannia, som i mange andre land, angir -800- ringekoden en gratis samtale), og hvis noen du kjenner virkelig har prøvd å kjøpe nettbasert cybersikkerhetsprogramvare og lade den til din krone, hvorfor ikke prøve å komme til bunns i det og stoppe «betalingen»?

Selvfølgelig er det hele en pakke med løgner: det finnes ikke noe antivirusprogram; det var ikke noe kjøp; og ingen betalte faktisk ut £550 til noen for noe.

Skurkene har rett og slett funnet en måte å misbruke PayPals gratis Pengeforespørsel tjeneste for å generere e-poster som virkelig kommer fra PayPal, som inkluderer ekte PayPal-koblinger, og som bruker meldingsfeltet i forespørselen for å gi deg en offisiell måte å kontakte dem direkte på...

...akkurat som en romantikksvindler som lurer deg på armlengdes avstand på en datingside, og deretter overbeviser deg om å gå over til å sende dem direkte, der datingplattformen ikke lenger kan overvåke eller regulere interaksjonene dine.

Hva gjør jeg?

Den raskeste og enkleste tingen å gjøre er selvfølgelig ingenting!

PayPal-pengeforespørsler er akkurat det de sier: en måte for venner, familie, noen, hvem som helst, å invitere deg til å sende dem penger på en rimelig sikker måte.

De er ikke fakturaer; de er ikke betalingskrav; de er ikke kvitteringer; og det er de ikke relatert til eksisterende kjøp du gjorde eller ikke gjorde via PayPal eller andre steder.

Hvis du ganske enkelt ikke gjør noe, blir ingenting utbetalt og ingen mottar noe, så svindelen mislykkes.

Vi anbefaler likevel at du rapporterer falske forespørsler av denne typen til PayPal, noe som vil bidra til å få stengt den fornærmende kontoen og for å sikre at ingen andre enten betaler opp av frykt eller ringer det gitte telefonnummeret "i tilfelle".

Hva enn du gjør, ikke send noen penger, og definitivt ikke ring de kriminelle tilbake, fordi deres sanne mål er å etablere direkte kontakt slik at de kan begynne å overtale deg til deg for å lure deg til å avsløre personlig informasjon som til slutt kan koste deg mye mer enn £549.67.

Bør du fortelle myndighetene?

Enten det er under Black Friday-sesongen eller når som helst på året, oppfordrer vi deg til å vurdere å rapportere svindel av denne typen til den relevante regulatoren eller etterforskningsorganet i ditt land.

Det føles kanskje ikke som om du gjør mye for å hjelpe, og du har sannsynligvis ikke tid til å rapportere hver og en, men hvis tilstrekkelig mange mennesker gir noen bevis til myndighetene, er det minst en sjanse for at de vil gjøre noe med det.

På den annen side, hvis ingen sier noe, så vil eller kan ingenting gjøres.

Nedenfor har vi listet opp koblinger for svindelrapportering for forskjellige engelskspråklige land:

  AU: Scamwatch (Australian Competition and Consumer Commission) https://www.scamwatch.gov.au/about-scamwatch/contact-us CA: Canadian Anti-Fraud Center https://antifraudcentre-centreantifraude.ca/index-eng. htm NZ: Consumer Protection (Ministry of Business, Innovation and Employment) https://www.consumerprotection.govt.nz/general-help/scamwatch/scammed-take-action/ UK: ActionFraud (National Fraud and Cyber ​​Crime Reporting Centre) https://www.actionfraud.police.uk/ USA: ReportFraud.ftc.gov (Federal Trade Commission) https://reportfraud.ftc.gov/ ZA: Financial Intelligence Center https://www.fic.gov.za /Resources/Pages/ScamsAwareness.aspx

---