Robert „Frisbee” Coleman a strălucit decenii în lumea frisbee-ului freestyle, atât de mult încât a ajuns membru al Hall of Fame-ului disciplinei. Astăzi cântă la pian la Willy D’s Piano Bar din Little Rock, Arkansas. Povestea împărtășită recent unei televiziuni locale nu are legătură nici cu sportul, nici cu muzica. Vorbește despre 25.000 de dolari care i-au dispărut din cont în câteva minute, după un singur apel.

Numărul afișat pe ecran era exact cel tipărit pe spatele cardului de la U.S. Bank. Vocea suna ca a oricărui angajat dintr-un departament de prevenire a fraudelor, calmă și profesionistă. La capătul conversației, Coleman a citit cu voce tare un cod primit prin SMS și aproape toate economiile sale au dispărut.

Un apel construit ca să înlăture orice îndoială

Coleman a recunoscut deschis, la postul afiliat CBS din regiune, THV11, cât de naturală a fost discuția. Persoana care vorbea cunoștea fragmente din numele lui complet, ultimele tranzacții, soldul aproximativ. Acest grad de cunoaștere a funcționat ca un cârlig psihologic, fiindcă scepticismul slăbește rapid când vocea de la celălalt capăt recită informații pe care le-ar avea, de obicei, doar cineva din interiorul instituției.

Tehnica are un nume sec, uzurpare de identitate bancară prin spoofing telefonic. Procuratura statului Arkansas și instituțiile federale americane o tratează ca pe o categorie distinctă de infracțiune, fiindcă mecanica ei depinde de doi factori pe care victimele nu îi pot controla. Primul este afișarea aparent legitimă a numărului apelantului. Al doilea, cantitatea uriașă de date personale pe care escrocii le pot cumpăra și folosi în timp real.

Un raport detaliat al cazului a fost publicat de Cryptology.ro, site-ul de știri și analize crypto în limba română, sub semnătura jurnalistului Mihai Popa, care monitorizează atent atât piața financiară tradițională cât și schemele moderne de fraudă ce vizează utilizatorii de pe orice exchange cripto sau platformă bancară digitală. Materialul subliniază că modul de operare seamănă izbitor cu tactici folosite frecvent și împotriva deținătorilor de criptomonede, dovadă că ingineria socială nu ține cont de tipul de cont vizat.

Decizia de a vorbi public

Coleman este obișnuit cu reflectoarele, cu instinctul de a citi rapid o sală. Hotărârea de a povesti totul, cu nume și prenume, are o valoare aparte. Multe victime ale fraudelor financiare aleg tăcerea, copleșite de o jenă care nu li se cuvine. „Nu credeam vreodată că o să cad într-o fraudă”, a spus el. O propoziție simplă, fără cosmetizare, care explică cel mai bine cum reușește un atac de inginerie socială.

Datele Federal Trade Commission arată că americanii au raportat în 2024 pierderi de aproximativ 12,5 miliarde de dolari din cauza fraudelor, iar cele cu uzurparea identității unei instituții formează categoria cu cea mai accelerată creștere. Tactici asemănătoare lovesc și piața crypto, după cum arată ghidul amplu despre cum să te protejezi de înșelătoriile din lumea criptomonedelor.

Spoofing-ul telefonic, un truc vechi care încă funcționează

Falsificarea numărului afișat la primirea unui apel, cunoscută în engleză drept caller ID spoofing, exploatează o slăbiciune structurală a rețelelor de telefonie. Standardul vechi nu prevedea autentificarea numărului expeditorului, iar telefonia prin internet, denumită VoIP, a transformat această slăbiciune într-o piață vie. Pentru câțiva dolari, un infractor poate cumpăra acces la un serviciu care îi permite să afișeze pe ecranul victimei aproape orice combinație de cifre, inclusiv numerele oficiale ale băncilor.

Federal Communications Commission a impus din 2021 un protocol numit STIR/SHAKEN, gândit să marcheze apelurile autentice și să filtreze cele falsificate. Implementarea rămâne neuniformă, iar o porțiune semnificativă din apelurile primite zilnic de americani trec prin operatori care nu validează corespunzător originea. Pentru un consumator obișnuit, faptul că pe ecran apare numărul tipărit pe cardul bancar oferă o falsă siguranță, greu de demontat în secundele scurte de început ale unei conversații.

Datele care dau credibilitate fraudei

Întrebarea pe care și-o pun aproape toate victimele, inclusiv Coleman, e simplă. De unde știau cei de la celălalt capăt al firului atâtea lucruri despre cont. Răspunsul ține de economia subterană a datelor personale. Scurgerile masive din ultima decadă, de la Equifax la Yahoo și T-Mobile, au pus în circulație miliarde de înregistrări care includ nume, adrese, numere de telefon și fragmente din istoricul de tranzacții. Pe forumurile criptate, infractorii cumpără pachete numite „fullz”, profilul aproape complet al unei persoane, la prețuri pornind de la câțiva dolari.

Aceeași logică se regăsește în lumea criptomonedelor, unde escrocheriile cu USDT fals analizate de Cryptology.ro profită de încrederea în branduri cunoscute pentru a obține acces la portofele digitale.

Codul SMS, momentul în care contul a fost pierdut

Punctul critic al întregii povești este momentul în care Coleman a citit cu voce tare un cod. Nu era o parolă pe care o cunoștea de dinainte, ci un One Time Password generat și trimis prin SMS chiar de sistemul real al U.S. Bank. Mecanismul funcționează simplu, dar diabolic. Escrocul, având deja datele de bază ale victimei și o parolă obținută probabil dintr-o scurgere veche, încearcă să se autentifice pe contul real al băncii. Sistemul cere o confirmare suplimentară, sub forma unui cod trimis pe telefonul titularului. Atacatorul ține victima la telefon și o convinge să citească imediat acel cod, sub pretextul „verificării identității”.

„Cred că, în clipa în care le-am citit codul, au avut acces complet la contul meu”, a spus Coleman, înainte să adauge că vocile pretindeau că aparțin „departamentului de fraude”. Tehnica este cunoscută specialiștilor sub denumiri diferite, de la authentication code phishing până la atacuri descrise drept SIM swap fără SIM swap. Fereastra de timp în care un cod SMS poate fi folosit este de circa șaizeci de secunde, suficient cât să golească un cont.

Atacuri similare au fost documentate și în spațiul crypto, cum este cazul jafurilor împotriva deținătorilor de criptomonede din California, prin conturi DoorDash sparte.

Reacția autorităților și complicațiile recuperării

Procurorul general al statului Arkansas, Tim Griffin, a făcut o declarație publică în care a avertizat populația asupra acestui tip de fraudă. „Locuitorii Arkansasului se pot proteja amintindu-și că nicio bancă sau uniune de credit legitimă nu vă va suna pentru a vă cere să mutați bani prin telefon”, a transmis el. Reacția corectă, a adăugat procurorul, este simplă, închiderea telefonului și un apel la un număr verificabil al instituției.

Mihai Popa, analist și editorialist al Cryptology.ro, a documentat în repetate rânduri cum recuperarea sumelor pierdute în astfel de fraude este un proces aproape niciodată complet. Legea americană face o distincție tăioasă între transferurile neautorizate, rambursabile integral conform Electronic Fund Transfer Act, și plățile autorizate dar înșelate, unde victima a confirmat ea însăși tranzacția pe baza unei minciuni. Coleman se află exact în această zonă gri, lucrând cu U.S. Bank pentru recuperarea unei părți din sumă.

Anchete recente arată că prăbușirile mari, precum falimentul firmei Goliath Ventures după acuzații de fraudă crypto de 328 de milioane de dolari, urmează aceeași logică, victimele rămânând prinse în proceduri lente și nesigure.

Cele câteva minute care fac diferența

Recomandarea lui Coleman, cu o simplitate rară, este și cea mai eficientă. La cea mai mică ezitare în timpul unui apel care pretinde că vine de la bancă, persoana sunată trebuie să închidă pur și simplu telefonul. Apoi, fără grabă, să formeze numărul tipărit pe spatele cardului, niciodată cel afișat pe ecranul apelului anterior. În acel moment, escrocul nu mai există, iar întreaga ipoteză a urgenței se evaporă.

Specialiștii recomandă suplimentar să nu se citească niciodată coduri SMS la telefon, indiferent cât de presant pare apelul. Mesajele de la bănci au întotdeauna o linie clară, care precizează că reprezentanții instituției nu vor cere niciodată acel cod. Faptul că victimele continuă totuși să-l ofere ține de presiunea conversațională, nu de lipsa avertismentului scris.

O lecție care depășește un singur caz

Povestea lui Coleman are valoarea unei mărturii individuale, dar reflectă o problemă sistemică. Când falsificarea numărului afișat este atât de simplă încât poate fi cumpărată ca serviciu lunar, încrederea naturală a publicului în instituțiile financiare devine o vulnerabilitate. Băncile, operatorii de telecomunicații și autoritățile sunt prinse într-un joc cu reguli inegale, în care infractorii investesc cu un avans de doi, trei ani față de regulatori.

Cei 25.000 de dolari par, statistic, modești în comparație cu fraudele de șapte cifre apărute uneori în presă. Pentru Coleman, însă, erau totul. „Erau toți banii pe care îi aveam în lume, practic”, a spus el. Faptul că muzicianul cântă în continuare la pian și are concerte programate la festivaluri precum Byrdfest din Ozark îl ține pe linia de plutire, dar nu compensează șocul psihologic. Studiile arată că pierderile cauzate de astfel de fraude sunt urmate, în peste 60% din cazuri, de simptome de anxietate.

Coleman a ales să povestească tocmai ca alți oameni să închidă, la timp, un telefon pe care altfel l-ar fi păstrat la ureche prea mult. Decizia lui nu îi recuperează banii, dar îi dă șansa să-și transforme experiența într-un instrument util pentru ceilalți. Iar instrumentul este simplu, gestul mâinii care apasă butonul roșu, urmat de o respirație și de un apel format cu calm către numărul real al băncii.

Întrebări frecvente

Cum a pierdut Robert Coleman cei 25.000 de dolari?

Coleman a primit un apel pe care l-a crezut a fi de la U.S. Bank, fiindcă numărul afișat era exact cel de pe spatele cardului său. Apelantul, prezentat drept reprezentant al departamentului de fraude, cunoștea ultimele tranzacții și soldul aproximativ. Coleman a citit cu voce tare un cod primit prin SMS, oferind astfel acces complet la cont. În minutele următoare, contul a fost golit prin transferuri pe care el însuși le-a confirmat fără să bănuiască scopul lor.

Ce este spoofing-ul telefonic?

Spoofing-ul telefonic, sau caller ID spoofing, este o tehnică prin care atacatorii afișează pe ecranul victimei un alt număr decât cel real al apelantului. Tehnologia se sprijină pe servicii VoIP comerciale ușor de procurat, care exploatează lipsa autentificării în vechiul protocol al telefoniei. Standardul STIR/SHAKEN, impus de FCC din 2021, ar trebui să blocheze astfel de apeluri, dar implementarea rămâne neuniformă între operatori.

De ce e periculos să citești un cod OTP la telefon?

Codul One Time Password trimis prin SMS este generat în momentul în care cineva încearcă să acceseze contul real. Dacă victima îl citește la telefon unui escroc care are deja parola, atacatorul finalizează autentificarea și obține controlul complet. Băncile precizează în mesajele SMS că nu vor cere niciodată acel cod, însă presiunea conversațională îi face pe mulți să ignore avertismentul scris.

Ce trebuie să faci dacă primești un apel suspect de la bancă?

Reacția corectă este închiderea telefonului fără ezitare și sunarea înapoi la numărul tipărit pe spatele cardului, niciodată la numărul afișat pe ecranul apelului anterior. Procurorul general al Arkansasului a subliniat public că nicio bancă legitimă nu va suna pentru a-ți cere să muți bani prin telefon. Verificarea independentă, prin canale oficiale, dezactivează aproape complet riscul.

Cât din suma pierdută poate fi recuperată?

Recuperarea depinde de modul în care banca clasifică tranzacțiile. Transferurile considerate neautorizate sunt rambursabile integral conform Electronic Fund Transfer Act, dar plățile autorizate, chiar și pe baza unei minciuni, intră într-o zonă gri. Multe instituții americane au început să adopte politici mai prietenoase față de victimele fraudelor de inginerie socială, dar uniformitatea lipsește încă.

Cum reușesc escrocii să cunoască atâtea detalii despre conturile victimelor?

Datele provin din scurgerile masive ale ultimului deceniu, de la Equifax la Yahoo și T-Mobile, precum și din alte breșe ale comercianților online. Pe forumuri criptate, infractorii cumpără pachete de date numite „fullz”, care conțin profilul aproape complet al unei persoane, la prețuri care încep de la câțiva dolari, apoi le combină cu informații publice și fragmente din apeluri precedente.

Cum poți preveni o fraudă similară?

Trei reflexe simple oferă protecția cea mai bună. Nu citi niciodată coduri SMS la telefon, indiferent de presiunea apelantului. Tratează orice apel care îți cere să muți bani sau să confirmi tranzacții ca pe o tentativă de fraudă, până la proba contrară. Sună întotdeauna înapoi la numărul oficial al băncii, formând cifrele manual, fără să folosești istoricul de apeluri.