Naukowcy udokumentowali długotrwałą kampanię, w ramach której wykorzystuje się fałszywe strony z testami CAPTCHA, aby nakłonić użytkowników urządzeń mobilnych do wysyłania w tle dziesiątek międzynarodowych wiadomości SMS.
Jeśli choć trochę czasu spędziłeś w dzisiejszym internecie, CAPTCHA może wydawać się czymś w rodzaju szumu w tle: kliknij kilka sygnalizacji świetlnych, udowodnij, że jesteś człowiekiem, i idź dalej. Oszuści nauczyli się to wykorzystywać w kampaniach typu ClickFix, w ramach których nakłaniają ofiary do zainfekowania własnych komputerów.
Ostatnio jednak naukowcy odkryli pewien haczyk, w wyniku którego prośba o „potwierdzenie, że jesteś człowiekiem” po cichu zamienia się w „narobienie międzynarodowego rachunku telefonicznego”. Badanie opisuje kampanię oszustwa polegającego na manipulowaniu udziałem w przychodach z połączeń międzynarodowych (IRSF). IRSF, znane również jako oszustwo typu „SMS pumping”, wykorzystuje skomplikowane struktury cenowe połączeń międzynarodowych i ruchu SMS-owego do generowania zysków poprzez sztuczne zawyżanie liczby wiadomości wysyłanych do określonych miejsc docelowych.
Zamiast instalować złośliwe oprogramowanie na urządzeniu ofiary, oszustwo to wykorzystuje sposób działania systemów rozliczeniowych operatorów telekomunikacyjnych oraz sieci partnerskich, przekształcając zwykły ruch internetowy w przychody z SMS-ów premium dla cyberprzestępców.
Jak to działa
Typowy przebieg tego oszustwa wygląda następująco:
- Ofiary trafiają na stronę, która wygląda jak zwykły CAPTCHA polegający na wyborze obrazków lub quizie, poprzez złośliwe reklamy lub przekierowania TDS, często z domen telekomunikacyjnych wykorzystujących błędy w pisowni.
- Aby „kontynuować”, użytkownicy są proszeni o naciśnięcie przycisku, który otwiera aplikację do obsługi wiadomości SMS z gotową treścią wiadomości i listą odbiorców.
- Nie chodzi tu o wysłanie jednej wiadomości SMS na jeden numer. Fałszywy CAPTCHA składa się z wielu etapów, a każda wiadomość jest wstępnie skonfigurowana tak, by trafiała na kilkanaście numerów międzynarodowych w 17 krajach znanych z wysokich opłat za połączenia przychodzące, w tym w Azerbejdżanie, Mjanmie i Egipcie.
W przypadku typowego planu taryfowego dla klientów indywidualnych może to oznaczać około 30 dolarów opłat za międzynarodowe wiadomości SMS na osobę, przy czym część opłat za zrealizowanie połączenia trafia z powrotem do sprawcy ataku w ramach umów o podziale przychodów.
Aby uniemożliwić użytkownikom po prostu cofnięcie się, strony wykorzystują specjalny mechanizm przejmowania kontroli nad przyciskiem „Wstecz”. Kod JavaScript zmienia historię przeglądarki i przekierowuje użytkownika z powrotem na fałszywą stronę, gdy ten próbuje ją opuścić. Badacze odkryli również, że kampania była podłączona do sieci partnerskiej typu Click2SMS, która reklamuje się hasłem „dopuszczalny każdy rodzaj ruchu” oraz rozliczeniami przez operatora, skutecznie przedstawiając IRSF jako kolejną opcję zarabiania dla podejrzanych wydawców.
W ramach tej operacji oszukiwani są zarówno klienci indywidualni, jak i operatorzy telekomunikacyjni. Ofiary otrzymują na swoich rachunkach nieoczekiwane opłaty za SMS-y premium i mogą mieć trudności z ustaleniem przyczyny. Operatorzy wypłacają sprawcom część przychodów i mogą ponosić straty wynikające z reklamacji klientów lub obciążeń zwrotnych.
Ochrona urządzeń mobilnych – zawsze i wszędzie.
Jak się chronić
Nigdy nie wysyłaj SMS-a, aby „udowodnić, że jesteś człowiekiem”. Prawdziwe CAPTCHA działają wyłącznie w przeglądarce. Nie uruchamiają one aplikacji do obsługi SMS-ów ani aplikacji do wybierania numerów.
Regularnie sprawdzaj rachunek za telefon komórkowy pod kątem niewielkich, nieznanych opłat za międzynarodowe SMS-y, a nie tylko w przypadku znacznych skoków kosztów. Jeśli zauważysz coś podejrzanego, szybko zgłoś reklamację i poproś operatora o zablokowanie międzynarodowych lub płatnych SMS-ów, jeśli nie są Ci potrzebne.
Korzystaj z aplikacji zabezpieczającej telefon, która blokuje znane złośliwe strony, takie jak domeny związane z tą kampanią:
sweeffg[.]onlinecolnsdital[.]comzawsterris[.]commegaplaylive[.]comruelomamuy[.]com
![Malwarebytes stronę ruelomamuy[.]com](https://www.malwarebytes.com/wp-content/uploads/sites/2/2026/04/ruelomamuycomblock.png)
Oszuści wiedzą o tobie więcej, niż ci się wydaje.
Malwarebytes Mobile Security Cię przed phishingiem, oszukańczymi wiadomościami tekstowymi, złośliwymi stronami internetowymi i nie tylko. Dzięki wbudowanej funkcji Scam Guard opartej na sztucznej inteligencji, działającej w czasie rzeczywistym.
