První inzerát na bazaru, první reakce a první podvod

Každou chvilku se lze dočíst o podvodech na internetových bazarech, kdy místo toho, aby inzerent peníze získal, tak o ně paradoxně příjde. Jedinou útěchou budiž to, že mu fyzicky zůstane věc, kterou původně prodával. I když… pokud se snažíte prodat posilovací lavici a místo toho příjdete o 300 tisíc, tak to je asi slabá útěcha*…

Řada článků na toto téma ale nejde do detailu, tudíž si dovolím přidat vlastní zkušenost včetně obrázků a to z pokusu o podvod na internetovém bazaru bazoš.cz. Pro mě to byl na bazoš.cz dokonce zcela první inzerát, který jsem tam vložil a podvod se vyklubal z naprosto první reakce, kterou jsem na nabízené zboží dostal. Mimochodem to byla jediná reakce a zboží se mě nikdy nepodařilo prodat 😀

Jak to začalo

Začalo to reakcí na můj inzerát, která dorazila na WhatsApp už několik málo hodin po vložení inzerátu:

S podvodníkem jsem si hrál v podstatě od jeho první reakce. Co se mě nezdálo hned od začátku (minimálně je to hodně netypické) je fakt, že šlo o byznysový účet WhatsApp, což je patrné už v záhlaví WhatsApp okna, kde tato informace občas vyskočila (z obrázku není patrné). Abelie taky není typické jméno a komentář „I bambini…“ tomu taky moc nepřidá.

Můžeme i spekulovat, zda se takhle obléká typická česká rodina:

Kvalita psaného projevu taky není příliš zázračná. Navíc, proč by se měl někdo takhle blbě ptát, zda tu věc opravdu inzeruju a kde bydlím, když je to patrné ze samotného inzerátu? Pochopitelně jen proto, aby podvodník na základě reakcí usoudil, zda má smysl v oblbování pokračovat či ne. Tudíž, dělal jsem blbého a dokonce podvodníka naháněl, neboť si dovolil na několik hodin odmlčet.

Náklady na dopravu uhradím, peníze pošlu na kartu

Cílem útočníka je dostat inzerenta na stránku, která se vydává za dopravní společnost, která transport zboží údajně zajistí, přičemž v druhém kroku zadáte údaje o platební kartě, kam by měla být částka za zboží převedena.

V mém případě nabízel podvodník za inzerované zboží dokonce o několik stovek Kč vyšší částku, než kterou jsem požadoval.

No a tohle je poslední a dost možná klíčový dialog:

Jaká je pointa podvodu?

Klíčové jsou dva poslední obrázky. Pokud zadáte údaje z platební karty, jak je kázáno, ve skutečnosti sdělíte číslo platební karty, její expiraci i kontrolní kód (CVV/CVC), podvodníkovi. Tedy všechny údaje k tomu, aby mohl podvodník zneužít Vaši platební kartu a zahájit s ní nákupy na internetu. Resp. ještě musí překonat dvoufázové ověření, k čemuž si pomáhá posledním dialogem. Pointa je taková, že údaje o platební kartě, které podvodníkovi odevzdáte, začne okamžitě využívat (nákup na eshopu, převod na kryptoměnu, …), což vede k tomu, že Vám na mobilní telefon začnou chodit buď potvrzující SMS k transakcím, případě notifikace, které musíte k realizaci transakcí potvrdit. Pokud tak učinítě, případně SMS kód odešlete do formuláře, je vymalováno (na účtě)…

Zajímavosti

Pokud se uklepnete v čísle platební karty (=podvodník ji nemůže zneužít), dostával jsem přes WhatsApp reakce typu Zadejte prosím jiný účet, tento nemá funkci rychlého přijetí. Využití WhatsApp Business účtu souvisí patrně s tím, že tam lze použít API rozhraní a tudíž vést útok polo- či plně – automaticky (např. že ve skutečnosti Vám nepíše člověk, ale automat – bot).

* https://prachaticky.denik.cz/zlociny-a-soudy/muze-z-vimperka-obrali-pres-internet-o-tri-sta-tisic-slo-o-prodej-pres-bazar-202.html – takhle to bylo s tou posilovací lavicí…