CERT Polska, echipa națională de răspuns la incidente din Polonia, a publicat pe 23 septembrie 2026 analiza unei operațiuni de fraudă care merită citită în detaliu, nu pentru malware-ul în sine, ci pentru drumul pe care a ajuns la victime: o reclamă plătită pe Facebook sau Instagram și o aplicație descărcată din Google Play. Adică exact cele două canale pe care utilizatorii le consideră, în mod rezonabil, de încredere.
Cifrele documentate: 1235 de reclame Meta păstrate pentru analiză, dintre care 852 legate, prin cod sau infrastructură, de 17 aplicații. Dintre acestea, 6 aveau componente de fraudă recuperabile, iar 11 conțineau încărcătoare malițioase.
Ce făcea efectiv aplicația
Aplicația promovată se numea Messenger Pro, iar CERT Polska a raportat-o către Google. Merită numită, fiindcă un angajat poate verifica în două secunde dacă o are încă instalată. Aici este partea care schimbă discuția despre awareness: aplicația funcționa. Interfața de mesager rămânea vizibilă și se comporta normal, în timp ce în fundal se trimiteau SMS-uri și se deschideau pagini de facturare în componente web ascunse. Utilizatorul nu vedea nimic.
- SMS-uri cu suprataxă către numere scurte, la 30,75 zloți per mesaj.
- Abonare prin facturare la operator, la 17 zloți la fiecare șapte zile, printr-un serviciu terț.
- Ambele rute duceau la aceeași consecință: costuri recurente pe factura de telefon, fără un consimțământ conștient.
- Potrivit relatării The Register, fluxul de facturare la operator include și interceptarea codului de verificare necesar pentru aprobarea abonamentului — de aceea permisiunea pe SMS este cheia întregii scheme.
Lanțul de execuție avea patru etape, iar una dintre ele este relevantă direct pentru cititorul din România: după instalare, codul verifica codul de țară al cartelei SIM, iar un modul de politică decidea ce sarcină utilă se descarcă în funcție de țară. Polonia primea varianta implicită. CERT Polska precizează că operatorul putea reatribui țările între versiuni, printr-o schimbare de politică de la distanță.
Retragerea din magazin nu a rezolvat problema
CERT Polska a găsit primele reclame pe 14 septembrie și a raportat aplicația către Google pe 15 septembrie. Google a eliminat aplicațiile din Play, iar Meta a retras reclamele raportate. Rezultatul, în formularea echipei: au apărut pachete noi, infrastructura de comandă și control a rămas activă, iar copiile instalate înainte de retragere puteau încă să o contacteze.
Acesta este un detaliu operațional important. Dacă un angajat a instalat aplicația săptămâna trecută, faptul că ea nu mai există în magazin nu îl ajută cu nimic. Telefonul lui rămâne abonat și conectat.
Ce este confirmat și ce nu
- Confirmat de CERT Polska: reclamele, aplicațiile, lanțul de execuție, sumele facturate, comunicarea cu serverele de comandă, tentativele de SMS interceptate în laborator.
- Implementat în cod, dar neactivat în timpul testelor: interceptarea notificărilor și rutarea pe mai multe cartele SIM. Este o capabilitate, nu un comportament observat.
- Necunoscut: identitatea sau localizarea operatorului — nu s-a făcut nicio atribuire.
- Necunoscut: numărul de victime și pierderea financiară totală. Nu au fost publicate, deci nu trebuie estimate.
De ce este o problemă de companie, nu doar personală
Pare o fraudă de consumator, și în bună măsură este. Dar dacă telefonul are și emailul de serviciu, aplicația de autentificare în doi factori sau accesul la chatul intern, atunci o aplicație cu permisiuni pe SMS și cu un canal activ către un server extern este o problemă a organizației. Mai ales când capabilitatea de interceptare a notificărilor există deja în cod.
Comportamentele pe care le antrenezi
- Aplicațiile nu se instalează pornind de la o reclamă. Dacă ai nevoie de un cititor de PDF, cauți singur în magazin sau folosești ce oferă compania — nu apeși pe ce ți-a apărut în feed.
- O aplicație de mesagerie nu are nevoie de permisiuni pe SMS. Regula simplă de predat: dacă permisiunea cerută nu are legătură evidentă cu ce face aplicația, nu o acorzi și raportezi.
- „Aplicația a expirat" nu este un mesaj real. Aplicațiile legitime nu expiră și nu îți cer să instalezi o alta în locul lor.
- Verifică factura de telefon lunar. Frauda de acest tip se vede acolo, nu pe ecran — de asta funcționează.
- Cere operatorului blocarea serviciilor cu suprataxă, dacă nu ai nevoie de ele. Este o setare, nu o achiziție.
- Raportează chiar și după instalare. O aplicație ștearsă nu anulează un abonament activ, iar cu cât se raportează mai târziu, cu atât se plătește mai mult.
Exercițiul: 20 de minute, pe telefoane reale
Nu e nevoie de scenariu. Cere fiecărui participant să facă trei lucruri pe telefonul propriu, în sală.
- Pasul 1 — deschide lista aplicațiilor instalate și identifică una pe care nu-ți amintești de ce ai instalat-o. Discutați de unde a venit.
- Pasul 2 — verifică ce aplicații au permisiuni pe SMS și pe notificări. Pentru fiecare, întrebarea este dacă are sens.
- Pasul 3 — spune dacă știi unde vezi detalierea facturii de telefon și dacă ai verificat-o vreodată pentru servicii cu suprataxă.
Pasul 2 produce de obicei cele mai multe surprize, iar pasul 3 aproape întotdeauna primește „nu" ca răspuns. Acela este rezultatul exercițiului.
Ce măsori
- Procentul de angajați care știu să verifice permisiunile acordate unei aplicații pe telefonul lor.
- Numărul de aplicații cu permisiuni pe SMS sau pe notificări, pe dispozitivele care accesează resurse de lucru.
- Numărul de raportări de aplicații suspecte primite lunar — o creștere este un semnal bun.
- Timpul median dintre instalarea unei aplicații suspecte și raportare.
- Dacă există o regulă scrisă despre instalarea de aplicații pe dispozitivele care au acces la email sau la autentificarea companiei.
- Dacă blocarea serviciilor cu suprataxă este recomandată explicit în materialele interne.
Lecția nu este „nu instala aplicații". Este că două canale pe care le tratăm ca fiind verificate — reclama plătită și magazinul oficial — nu garantează nimic despre ce face aplicația după instalare. Iar când frauda este proiectată să fie invizibilă, singurul loc unde o vezi este factura.