InPost wciąż na tapecie oszustów – uwaga na fałszywe SMS‑y

Treść SMS-a sugeruje, że do odbioru przesyłki niezbędne jest wygenerowaniu kodu z poziomu aplikacji InPostu. Chociaż w oficjalnej aplikacji mobilnej faktycznie istnieje możliwość odczytania tego kodu, firma nie przypomina o takiej możliwości SMS-ami. Nieświadomy użytkownik da się jednak zapewne przekonać, że niezbędne jest odwiedzenie strony, do której link zamieszczono w SMS-ie. Niestety, witryna została spreparowana.

Na stronie, która nieudolnie udaje oficjalną witrynę InPostu, znaleźć można link do pobrania aplikacji. Ten kieruje do kolejnej spreparowanej strony – tym razem Sklepu Play. W chwili pisania niniejszego tekstu, witryna wciąż jest dostępna w internecie, ale przeglądarki ostrzegają już o fakcie, że jest niebezpieczna. Nie można jednak wykluczyć, że atakujący zarejestrowali więcej niż jeden adres i inne nie zostały jeszcze poprawnie oznaczone przez przeglądarki. Warto więc mieć się na baczności.

Jak nietrudno się domyślić, aplikacja InPostu nie jest autentyczna. Mowa w praktyce o pliku APK, który wymaga ręcznej instalacji w smartfonie i wyrażenia zgody na wgrywanie aplikacji z niezaufanych źródeł. Jeśli użytkownik nieświadomie lub machinalnie to zrobi, zamiast aplikacji pozwalającej wygodniej korzystać z paczkomatów, zainstaluje w telefonie szkodliwe oprogramowanie. Jak wynika z raportu Meta Defender, w tym przypadku jest to trojan bankowy Cerberus.

Zgodnie z ubiegłoroczną analizą CERT Polska, to oprogramowanie może zaszkodzić użytkownikowi na wiele sposobów. Uprawnienia pozwalają mu bowiem między innymi odczytywać SMS-y, wykonywać połączenia, odczytywać zawartość ekranu, czy przydzielać dalsze uprawnienia. W efekcie, szczególnie jeśli użytkownik obsługuje przez smartfon swoją bankowość, istnieje ryzyko, że atakujący zdobędą dane logowania do jego konta i w efekcie pozbawią og oszczędności.

Oficjalną aplikację InPost Mobile na Androida i iOS-a można znaleźć w naszym katalogu oprogramowania.