Fałszywą aplikację „Bankowość uniwersalna Polska” odkryto 20 marca br. Jak wskazują eksperci, mogła w sposób znaczący pozbawić pieniędzy wielu nieświadomych użytkowników. Jak tłumaczy Lukas Stefanko (badacz zagrożeń z firmy ESET), za jej pomocą użytkownik spośród aż 21 polskich banków mógł wybrać ten, w którym posiada swój rachunek bankowy. Następnie był proszony o dane uwierzytelniające, czyli login i hasło. Te dane były wysyłane do hakera, a proces logowania do rachunku w ogóle nie miał miejsca.

Aplikacja potrafiła omijać dwuskładnikowe uwierzytelnienie - użytkownik nie widział SMS-ów z banku, natomiast dostęp do nich zyskiwał cyberprzestępca. Z ich pomocą mógł wyprowadzić pieniądze z rachunków swoich użytkowników.

Zobacz również:

• Palo Alto wzywa pilnie użytkowników jej zapór sieciowych, aby jak najszybciej zaktualizowali zarządzające nimi oprogramowanie
• Banki korzystają coraz częściej z usług botów
• Z usług bota ChatGPT będzie można korzystać bez konieczności rejestrowania się na witrynie OpenAI

Ekspert z ESET jednocześnie uspokaja – aplikacja została pobrana nie więcej niż sto razy i usunięta z Google Play w dniu jej odkrycia. Nadal jest jednak dostępna w tzw. drugim obiegu, czyli w nieautoryzowanych sklepach z aplikacjami. Dlatego nie powinno się jej pod żadnym pozorem pobierać i uruchamiać, gdyż może to drogo kosztować.

Warto przypomnieć, że do podobnego ataku doszło w listopadzie zeszłego roku. Dotyczył on wówczas użytkowników czternastu polskich banków. Został przeprowadzony za pomocą aplikacji dostępnych w oficjalnym sklepie Google Play: CryptoMonitor oraz StorySaver.

Informatycy z ESET wykryli wtedy, że obie aplikacje, podobnie jak „Bankowość uniwersalna Polska”, potrafiły również przechwytywać wiadomości SMS, zawierające kody do autoryzowania transakcji online.

Źródła: ESET, Dagma