Säljare på Blocket har de senaste månaderna utsatts för en ny typ av bedrägeriförsök, där bedragare försöker få användare att lämna ifrån sig känsliga uppgifter.
Enligt Säkerhetsstiftelsen SSF har flera tips kommit in om att personer blivit kontaktade av någon som utger sig för att representera Blocket och som påstår att en vara redan är såld.
I meddelandena uppmanas säljaren att klicka på en länk och fylla i sina betalkortsuppgifter för att kunna få betalt.
Klonade sajter ska se ut som Blocket
Problemet är att länkarna leder till falska webbplatser som är utformade för att se ut exakt som Blocket. Där visas till och med säljarens riktiga annons, vilket gör bluffen mer trovärdig.
Blocket är tydliga med att de aldrig ber om kortuppgifter för att genomföra utbetalningar. Trots det är det just den metoden bedragarna försöker utnyttja.
”Din vara är redan betald. Köparen har betalat för varan och frakten genom den säkra transaktionstjänsten. Du kan nu acceptera betalningen", skriver SSF på sin hemsida, om ett av citaten som kommer från en av de falska sidorna, som används i attackerna.
Falsk kundtjänst och Bank-id-försök
På de klonade webbplatserna finns även chattfunktioner som ska efterlikna kundtjänst. I vissa fall har bedragare använt den för att försöka få säljare att logga in med Bank-id.
”För att verifiera ditt konto måste vi utföra en simulerad transaktion", skriver bluffarna.
Utnyttjar kända betaltjänster
För att öka trovärdigheten har bedragarna även kopplat bluffen till Blockets tjänst Blocketpaketet och betaltjänsten Stripe.
På så sätt ser det ut som att en riktig transaktion pågår.
SSF beskriver att kombinationen av kopierade annonser, logotyper och riktiga produktbilder gör att även vana användare kan luras.
I flera fall har kontakten dessutom skett via sms som ser ut att komma från företaget Vend, som äger Blocket.
Enligt experter är sms i grunden ett osäkert system där avsändarinformation lätt kan förfalskas.
Inga tecken på intrång hos Blocket
Det finns i nuläget inga tecken på att Blocket har utsatts för något dataintrång. I stället tror man att bedragarna fått tag på kontaktuppgifter via offentliga register eller äldre dataläckor.
Blocket har samtidigt vidtagit flera åtgärder för att minska risken för nya bedrägerier, bland annat genom att ta bort telefonnummer i annonser och införa fler säkerhetsfunktioner.
– Vi har slutat visa mobilnummer i annonserna för att motverka denna typ av bedrägerier, säger Kitty Ehn, kommunikationsansvarig på Blocket till SSF.
Så skyddar du dig
SSF och Blocket själva uppmanar användare att vara extra försiktiga.
De viktigaste råden är att aldrig lämna ut kortuppgifter, inte klicka på länkar i sms eller mejl och alltid gå direkt via Blockets egen app eller webbplats.
Misstänkta sms kan även rapporteras till nummer 7726, som används av svenska mobiloperatörer för att stoppa nätfiske.
