Ostu-müügikeskkondade pettused

Ostu-müügi keskkondade pettused on väga laialt levinud. Tutvu ostu-müügi keskkondades levinud pettustega, et ohumärke ära tunda.

Pettused ostu-müügikeskkondades (Pettused Facebook Marketplace’is)

Keskkonda säästva mõtteviisi levides on taaskasutus muutunud üha populaarsemaks ja mitmed internetipõhised platvormid (näiteks Facebook Marketplace, Yaga, E-bay jne) pakuvad asjade edasimüümiseks mugavat võimalust.

Ostu-müügikeskkondade kaudu lepitakse kokku maksete teostamine, pakkide saatmine ning kauba eest tasumine, mis meelitab ligi pettureid. Neil platvormidel toimetavad nii üksiküritajatest petturid kui ka organiseeritult ja automatiseeritult tegutsevad rühmitused.

Üksiküritajatest petturid müüvad näiteks kaupa, mida nad ei plaanigi tarnida (või saadavad ostajale mingi suvalise väärtusetu eseme). Teise levinud skeemi puhul avaldavad petturid soovi kaupa osta, kuid jätavad selle eest maksmata, saates müüjale võltsitud maksekorralduse pildi ja paludes kauba kiirelt posti panna. Sageli tegutsevad sellised inimesed pikalt ja süstemaatiliselt ning nende kohta on sotsiaalmeedia gruppides ka hoiatavaid postitusi või isegi jõustunud kohtuotsuseid.

Organiseeritud kurjategijad ründavad üldjuhul automatiseeritult, kasutades uusi (või üle võetud) kontosid ja reageerides automaatselt uutele lisatud müügikuulutustele. Nad suunavad kasutaja vajutama õngitsuslingile ja sisestama oma kaardiandmeid või sisenema võltsitud internetipanka.

Õngitsuspettused ostu-müügikeskkondades

Õngituspettused, näiteks Facebook Marketplace’is levivad petuskeemid, on üldjuhul automatiseeritud ja nende eesmärk on kätte saada kasutaja krediitkaardi andmed või pangakontole sisenemiseks vajalikud andmed. Sisult on Facebooki Marketplace’i pettused kavalam ja aeganõudvam versioon kullerfirmade nimel tehtud õngitsustest.

Suurem osa inimestele suunatud õngitsustest on saadetud suvaliselt. Näiteks Eestis saadavad petturid massiliselt e-kirja või SMS-i teel laiali õngitsusi, mis jäljendavad Eesti pankasid või kullerteenuseid. Petturitel on erinevad andmebaasid, mis sisaldavad tuhandeid Eesti elanikele kuuluvaid meiliaadresse ja telefoninumbreid. Selle strateegia edu sõltub nii õnnest kui ka juhusest: kui pettur saadab suvalise oraganisatsiooni nimel e-kirja või SMS-i, aga sõnumi saajal puudub seos antud ettevõttega, siis pigem sõnumit ignoreeritakse ja õngitsuslingile ei klikita.

Õngitsuslingile klikkimise tõenäosuse suurendamiseks leiutavad kurjategijad järjest uusi viise, näiteks kasutatakse erinevaid ostu-müügikeskkondi (eelkõige Facebook Marketplace-i, aga ka muid Eestis kasutatavaid platvorme), kus kuulutuse lisaja ootab ostuhuviliselt sõnumit. Selle asemel, et suvaliselt õngitsusi laiali saata, otsivad petturid kuulutusi ja võtavad kauba müüjaga ühendust, väites, et soovivad kauba ära osta. Seejärel leiavad nad erinevaid ettekäändeid, et miks just müüja esimesena raha peab maksma (nt kauba kohaletoimetamine või kindlustus) või pakuvad petturid, et maksavad ise kõik kinni, aga ohver peab enne tellimuse vormistama nende saadetud lingil. Eesmärk on neil tegevustel sama: meelitada kasutaja õngitsuslingile klikkima ja saada kätte tema krediitkaardiandmed või panka sisse logimiseks vajalikud andmed (Mobiil-ID või Smart-ID PIN-1 ja PIN-2).

Sellised petuskeemid toimivad üldjuhul järgmiselt:

Samm	Näited
Petis võtab ühendust inimesega, kes Facebookis kaupa müüb ja väidab talle, et soovib kauba ära osta. See on sõnum, mida müüja on oodanud ja ta tahaks tehingu kiirelt lõpule viia.
Seejärel teatab ostja, et ei saa kaubale ise järele tulla ja pakub lahendusena kullerteenuse kasutamist;küsib hulga andmeid „paki vormistamiseks“ vm põhjusel, ja saadab õngitsuslingi (enamasti ostu-müügikeskkonna suhtlusrakenduses, aga esineb ka e-posti teel saatmist). Sellise tegevuse eesmärk on valmistada ohver ette õngitsuslingi saamiseks, et suurendada klikkimise ja andmete sisestamise tõenäosust.
Seejärel saadab „ostja“ õngitsuslingi, mis viib õngitsuslehele. NB! Vaata näites toodud sõnumis olevat õngitsuslinki! Ostja põhjendused võivad sealjuures olla erinevad: ostja on juba kauba ja tarne eest maksnud kullerteenuse pakkujale ja müüjal tuleb ainult ostja antud lingil kõik kinnitada;ostja väidab, et müüja peab paki kindlustama või maksma kohaletoimetamise tasu ja link suunab õngitsuslehele oma pangakaardiandmeid sisestama või tegema makse lingil viidatud keskkonnas;… mõni muu põhjendus, mis suunab midagi kinnitama või andmeid sisestama. Oluline on sellist sõnumit ignoreerida ja mitte lingile vajutada!
Kui müüja on klikkinud õngitsuslingile, kuvatakse talle õngitsusleht (NB! Vaata lehe aadressi!), mis jäljendab kujunduse poolest kullerteenuse pakkujat (nt Omniva või DPD vms). Kuna lehe kujundus on tuttav ja äravahetamiseni sarnane päris teenusepakkujaga ning kuvatavad summad klapivad müügikuulutuses olnud infoga, otsustab müüja „tehingu“ lõpuni viia. Müüja täidab lehel kõik vajalikud lahtrid.Müüja saab valida, kas kinnitab „tehingu“ Smart-ID või Mobiili-ID abil. Kui müüja sisestab oma andmed õngitsuslehele, siis petturid kasutavad saadud andmeid ohvri pangakontole sisse saamiseks ja kannavad sealt ära nii palju raha kui võimalik.
Ohver avastab internetipangas, et tema kontole ei ole laekunud lubatud summat, vaid kontolt on hoopis kadunud suurem summa raha. Selliste pettustega võivad kahjud ulatuda tuhandete eurodeni.

Mida jälgida, et vähendada pettuse ohvriks langemise tõenäosust?

Kasutades internetipõhiseid ostu-müügi keskkondi, ei ole võimalik täielikult välistada pettuse ohvriks langemist, kuna pettused arenevad pidevalt, aga teadlikult ja tähelepanelikult tegutsedes on võimalik seda ohtu siiski oluliselt vähendada. Selleks, et pettuse ohvriks langemist vältida, jälgi järgmist:

Mida jälgida	Selgitus
Ostja/müüja konto loomise aeg	Väga uus konto võib olla spetsiaalselt pettuste jaoks loodud.
Ostja/müüja konto sisu	Kui tegu on pikalt eksisteerinud kontoga ja seal on näha ka tegevust, on suurem tõenäosus, et tegu on päris inimese kontoga. NB! Tänapäeval piiravad paljud inimesed oma kontole ligipääsu, mistõttu info puudumine ei tähenda alati, et konto on pettuseks loodud.
Arveldamise viis	Arvelda ostajaga/müüjaga otse – pangaülekandega, sularahaga või kasutades ostu-müügikeskkonnas deposiidi võimalust. Kui ostja saadab sulle (kullerteenuse) veebilingi või palub mingeid andmeid kuhugi sisestada, siis see on õngitsus, mille ohvriks langemisel võib kaotada oluliselt rohkem, kui müüdava asja hind.
Pangakonto, kuhu makset soovitakse	Kui maksta pangakontole, siis võiks kasutada Eestis tegutseva panga kontot ja konto omaniku nimi peaks olema sama, mis müüja nimi. Kui makset soovitakse kellegi teise kontole või välispanga kontole (kontonumber ei alga tähisega “EE”) võib tegu olla pettusega ja müüjalt tasub küsida lisaselgitusi või tehingust loobuda. Reaalses elus võib ette tulla olukordi, kus müüja kasutab välispanga kontot täiesti mõistlikel põhjustel, kuid need juhtumid on haruldased. Arvesta sellega, et ka Eesti-sisestel pankadevahelistel maksetel ei pruugi pangad alati kontrollida konto kasutaja nime ja kontonumbri vastavust.
Enne ülekande tegemist uuri internetis müüja tausta	Kui müüjat nime järgi otsides (nii otsingumootoris kui ka näiteks sotsiaalmeedias) tuleb välja, et ta on seotud pettuste või muu kahtlase käitumisega, on suur tõenäosus petta saada.
Müümisel kontrolli enne kauba saatmist alati makse laekumist	Kontrolli alati enne kauba üleandmist või saatmist, et raha on sinu pangakontole laekunud. Petturid saadavad sageli koopia maksekorraldusest, mis on võltsitud.

Mida teha, kui oled sattunud ostu-müügikeskkonnas pettuse ohvriks?

kui saad aru, et oled sattunud õngitsuse ohvriks ja võimaldanud petturile ligipääsu oma kontole, ära sisesta enam ühtegi Mobiil-ID ega Smart-ID PIN-koodi ja võta kohe ühendust oma pangaga nende ametlikul lehel (kasuta otsingumootorit!) oleva kasutajatoe numbri kaudu;
kui avastad pangakontolt kahtlased tehingud või arvad, et sinu kaardiandmed võivad olla lekkinud, võta kohe ühendust oma pangaga, et pangakaart sulgeda: võimalik, et saad oma raha tagasi või vähemalt väldid edasisi vargusi;
tee teavitus (ka väiksema summa kaotuse puhul) Politsei-ja Piirivalveameti küberkuritegude büroole: https://cyber.politsei.ee/;
vajadusel võta ühendust cert@cert.ee ja RIA eksperdid annavad nõu, kuidas edasi toimida. Samuti võib sinu edastatud teave aidata kurjategijaid tabada ja tulevasi intsidente vältida;
hoia alles kõik tõendid varguse kohta, näiteks kuvatõmmised, meilid, vms;
räägi juhtunust oma lähedastele ja tuttavatele – nii tõstad ka nende teadlikkust ning aitad sarnaseid olukordi vältida.