“Aplikacja PDF straciła ważność. Jeśli nie zaktualizujesz teraz, nie będziesz mógł otworzyć plików PDF.” Taki komunikat widzieli polscy użytkownicy Facebooka i Instagrama w reklamach, które prowadziły do sklepu Google Play. Instalowana stamtąd aplikacja udawała komunikator albo skaner dokumentów, a w tle próbowała wysyłać SMS-y premium po 30,75 zł. Jej kod był też przygotowany do zapisania właściciela telefonu na subskrypcję za 17 zł tygodniowo, doliczaną do rachunku. CERT Polska opisał kampanię 23 września. Z 1 235 zebranych reklam 852 promowały 17 powiązanych aplikacji. Google usunął je ze sklepu, ale kopie już zainstalowane mogły nadal łączyć się z serwerami przestępców. Jednym z zabezpieczeń jest blokada SMS premium u operatora, którą zlecisz sam. Pokazujemy, jak ją włączyć w czterech największych sieciach, co sprawdzić osobno i jak dochodzić zwrotu pieniędzy.
Jak działała kampania: reklama o “wygasłym PDF” i aplikacja z Google Play
Analiza CERT Polska opisuje schemat, który ekspertom jest znany jako toll fraud, czyli oszustwo na płatnych usługach operatora. Reklama w serwisach Meta straszyła utratą dostępu do plików PDF i odsyłała do aplikacji w oficjalnym sklepie Google. Główną z nich był Messenger Pro, który podawał się za komunikator SMS. To pozwalało mu bez podejrzeń prosić o dostęp do wiadomości.
Sama aplikacja w sklepie wyglądała niewinnie. Złośliwą część pobierała później, w kilku etapach, z zewnętrznego serwera. Ostatni etap uruchamiał się tylko na telefonach z kartą polskiego operatora. CERT uważa, że autorzy celowo oddzielili to, co widać w sklepie, od tego, co robi aplikacja po instalacji. Takie rozdzielenie utrudniało wykrycie zagrożenia podczas kontroli w Google Play, bo właściwy moduł oszustwa trafiał na telefon dopiero po instalacji.
Na tym polega najważniejsza lekcja z tej sprawy. Oficjalny sklep i reklama w dużym serwisie nie są dowodem, że aplikacja jest bezpieczna. Już przy fałszywej reklamie, którą Google dwa razy uznał za zgodną z zasadami, widać było, jak słabo działa filtrowanie reklam udających komunikaty systemu.
Ile to mogło kosztować: numery 92505, 92512, 92513 i subskrypcja za 17 zł tygodniowo
CERT wskazał dwa sposoby pobierania pieniędzy. Pierwszy to SMS-y premium na numery 92505, 92512 i 92513. Każdy taki SMS kosztuje 30,75 zł brutto, a wszystkie trzy numery figurują w publicznym rejestrze UKE. W kontrolowanym teście CERT złośliwy kod od razu próbował wysłać SMS-y, a po minucie ponowił próbę. Wiadomości zatrzymało środowisko analityczne, więc nie trafiły do sieci komórkowej.
Drugi sposób jest mniej widoczny. To subskrypcja rozliczana przez Teleaudio w modelu płatności doliczanej do rachunku, czyli Direct Carrier Billing, za 17 zł co 7 dni. CERT znalazł w kodzie kompletną ścieżkę jej zakładania. Kod miał pobrać numer telefonu, przechwycić kod potwierdzający z SMS-a i zatwierdzić zakup, bez żadnego kliknięcia właściciela. Tę część CERT opisał na podstawie analizy kodu, bez uruchamiania jej do końca.
CERT zaznacza jedną rzecz, której nie warto przeoczyć. Firmy przypisane do tych numerów to według analizy dostawcy rozliczeń, a nie operatorzy kampanii. Ich usługi zostały nadużyte, a przestępców trzeba szukać gdzie indziej. CERT nie podaje też liczby ofiar ani przykładów realnych obciążeń, bo dostępne dane “nie mogą służyć jako miara liczby ofiar”. Mechanizm był jednak gotowy do działania na telefonach z polską kartą.
Czy mam na telefonie jedną z 17 aplikacji
CERT zgłosił Google aplikację Messenger Pro 15 września, a potem wszystkie pozostałe, i Google usunął je ze sklepu. Meta zdjęła zgłoszone reklamy, choć CERT zastrzega, że inne reklamy z tej samej operacji mogły zostać. Usunięcie ze sklepu nie odinstalowuje aplikacji z telefonów. W sześciu z nich CERT potwierdził moduł do oszustw na usługach premium, w 11 kolejnych powiązane złośliwe moduły ładujące. To pełna lista:
- Cool Wallpaper, Text Chat, Seed Text Messages, Max Messenger, Instant Messages, Messenger Pro,
- Phone Cleaner Master, PDF Scanner Art, Short Messages, Text Messages, Quick Chat Message,
- PDF Scanner Pro, Text Magic Messages, Go Cleaner Pro, Text Message Pro, Quick Message Pro, Lite PDF Scanner.
Nazwy są ogólne, więc lepiej zajrzeć do listy zainstalowanych aplikacji niż polegać na pamięci. Jeśli któraś z nich jest w telefonie, odinstaluj ją. Sprawdź też w ustawieniach, która aplikacja jest domyślną aplikacją do SMS-ów. Powinna to być ta, której używałeś wcześniej. Potem sprawdź rachunek i poproś operatora o wyłączenie wszystkich aktywnych subskrypcji, bo ani deinstalacja, ani nowa blokada nie muszą anulować tej założonej wcześniej. Dopiero na koniec włącz blokadę na przyszłość.
Jak włączyć blokadę SMS premium u operatora
Blokadę usług premium włączysz sam, bez wizyty w salonie. Poniższe instrukcje pochodzą ze stron pomocy operatorów, a T-Mobile i Plus piszą wprost, że samo włączenie blokady jest bezpłatne.
Jak zablokować SMS premium w Play
Play obsługuje blokady kodami wpisywanymi jak numer telefonu. Kod 111971# blokuje przychodzące wiadomości premium, a 111321# wysyłanie wiadomości premium. Połączenia na numery premium zablokujesz kodem 11198*1#. Każdą blokadę wyłącza się tym samym kodem z cyfrą 2 na końcu zamiast 1.
Jak zablokować SMS premium w T-Mobile
W T-Mobile wystarczy bezpłatny SMS na numer 80450. Treść “W ALL START” blokuje wszystkie wychodzące usługi premium, a “W SMS START” same SMS-y premium. To samo ustawisz w aplikacji Mój T-Mobile, w sekcji “Limit i zgoda na doliczanie do rachunku”, a dalej “Blokady Premium”.
Jak zablokować SMS premium w Orange
Orange kieruje do aplikacji Mój Orange, w której blokady są pod ścieżką Zarządzaj, a potem Pakiety i Usługi. Operator zastrzega, że włącza je w ciągu 24 godzin. Blokadę można też zlecić konsultantowi.
Jak zablokować SMS premium w Plusie
W Plusie wysyłasz bezpłatny SMS na numer 2601 o treści “LIMIT SMS 0”. Tak ustawiasz zerowy limit ceny SMS-a premium. Blokadę założy też konsultant pod numerem 601 102 601 albo pracownik salonu. Plus podaje, że domyślny miesięczny limit na usługi premium wynosi 35 zł.
Jedna uwaga dotyczy wszystkich sieci. Blokada SMS-ów premium i zgoda na płatności doliczane do rachunku to często osobne ustawienia. Subskrypcja z tej kampanii szła właśnie tą drugą drogą. Zapytaj więc operatora także o blokadę albo zerowy limit płatności doliczanych do rachunku, jeśli z nich nie korzystasz. W T-Mobile ta sekcja aplikacji nazywa się wprost “Limit i zgoda na doliczanie do rachunku”.
Pierwsza Misja AI · Kodożercy
Zagrożenia AI rozumie ten, kto wie, jak ona działa
Kurs Pierwsza Misja AI ma osobną lekcję o ciemnej stronie AI: halucynacje, deepfakes, manipulacja. Zanim zaczniesz się bać, zacznij rozumieć.
Poznaj pełny program →
Jak dochodzić zwrotu pieniędzy za SMS-y premium
Jeśli jedna z tych aplikacji była na twoim telefonie, zacznij od rachunku albo historii doładowań w aplikacji operatora. Szukaj SMS-ów na numery 92505, 92512 i 92513 oraz pozycji z płatnościami doliczanymi do rachunku. Zrób zrzuty ekranu, zanim cokolwiek zgłosisz.
Potem złóż reklamację u operatora. Zgodnie z informacjami Centrum Informacji Konsumenckiej UKE masz na to 12 miesięcy. Operator ma 30 dni na odpowiedź. Jeśli nie odpowie w tym terminie, reklamację uważa się za uwzględnioną. W piśmie napisz wprost, że usług nie zamawiałeś i że obciążenia wynikają z działania złośliwej aplikacji opisanej przez CERT Polska. Dołącz link do analizy i poproś o wyłączenie wszystkich aktywnych subskrypcji.
Jeśli operator odrzuci reklamację, UKE wskazuje dwie dalsze drogi. Pierwsza to bezpłatne pozasądowe rozwiązanie sporu konsumenckiego, druga to pozew do sądu. Pozasądowa droga jest zwykle szybsza i tańsza. Przy kilkudziesięciu złotych to praktycznie jedyna, która ma sens.
Reklama w dużym serwisie nie jest rekomendacją sklepu
Ta kampania zadziałała, bo połączyła dwa miejsca, którym ludzie ufają. Reklama była w serwisie, z którego korzystają codziennie, a aplikacja w sklepie, który uchodzi za bezpieczny. Zabezpieczenia obu platform tej kampanii nie zatrzymały, bo złośliwy moduł docierał na telefon dopiero po instalacji.
Dla zwykłego użytkownika wniosek jest praktyczny. Reklamę, która ostrzega przed “wygasłą aplikacją”, traktuj jako sygnał ostrzegawczy. Aktualizacje uruchamiaj w Google Play, z listy zainstalowanych aplikacji, a nie z linku w reklamie. Aplikacja do skanowania PDF-ów nie potrzebuje też dostępu do SMS-ów. Gdy o niego prosi, to wystarczający powód, żeby ją usunąć.
Podsumowanie
CERT Polska opisał 23 września kampanię, w której 852 reklamy w serwisach Meta promowały 17 powiązanych aplikacji w Google Play. Aplikacje próbowały wysyłać SMS-y premium na numery 92505, 92512 i 92513 po 30,75 zł, a ich kod był przygotowany do zakładania subskrypcji za 17 zł co tydzień, doliczanej do rachunku. Google usunął je ze sklepu, ale zainstalowane wcześniej kopie mogły dalej łączyć się z serwerami przestępców, więc warto przejrzeć listę aplikacji w telefonie. Blokada SMS premium działa u wszystkich czterech operatorów. W Play włączają ją kody USSD, w T-Mobile SMS na 80450, w Plusie SMS na 2601, a w Orange aplikacja Mój Orange. Osobno warto wyłączyć płatności doliczane do rachunku. Zwrotu pobranych pieniędzy można dochodzić reklamacją u operatora, a po odmowie w bezpłatnym postępowaniu pozasądowym.
Newsletter · DevstockAcademy & Kodożercy
Bądź na bieżąco ze światem IT, AI i automatyzacji
Co wtorek: newsy z branży, praktyczne tipy i narzędzia które warto znać. Zero spamu.
