Twój 10-letni syn zaczął grać w Roblox, gdy nagle odkrywa, że cała jego wirtualna waluta, Robux, zniknęła. Gdy próbujesz dowiedzieć się, co się stało, mówi, że niedawno obiecano mu dodatkowe Robuxy, jeśli kliknie w link na YouTube. Gdy zalogował się na stronie z linku, został przeniesiony na stronę Roblox jak zwykle, ale nie było śladu dodatkowej waluty. Padł ofiarą oszustwa, w którym użytkownicy Roblox – wielu z nich to dzieci – są celem ataków na ich dane logowania. Dzięki tym danym przestępcy mogą ukraść wirtualną walutę i dane osobowe graczy.

W Roblox gracze używają Robuxów do kupowania wirtualnych przedmiotów, takich jak skórki czy animacje dla swojego awatara. Walutę można zdobyć w grze, ale można ją też kupić. W sklepie internetowym Roblox można nabyć pakiety kosztujące nawet 199,99 funtów. Korzystając z gotowych zestawów kupionych w dark webie, oszuści tworzą fałszywą stronę logowania, która wygląda identycznie jak legalna strona Roblox.

„Dziecko wpisze swoje dane, a fałszywa strona przekieruje je na legalną stronę Roblox” – mówi Gerald Kasulis, wiceprezes ds. globalnych w firmie zajmującej się cyberbezpieczeństwem NordVPN. „Ostatecznie dziecko trafi tam, gdzie chce.” Jednak w tym momencie przestępcy mają już dane potrzebne do oszustwa.

Badacze z NordVPN twierdzą, że w ciągu siedmiu dni znaleźli prawie 200 adresów sprzedających gotowe strony phishingowe, które dostarczają narzędzi do oszukiwania użytkowników Roblox. Często linki do stron phishingowych znajdują się w komentarzach pod filmami na YouTube lub TikTok albo w czatach na Discordzie, aplikacji do rozmów dla graczy. Wiadomość może głosić, że dostępne są darmowe Robuxy, jeśli gracz kliknie w podany link. Jak w wielu oszustwach, często pojawia się element pilności, na przykład oferta jest ważna tylko przez kilka godzin, aby zachęcić ofiarę do działania bez pełnego przemyślenia konsekwencji.

Z tego linku dziecko zostanie przeniesione na fałszywą stronę logowania, która prawdopodobnie będzie identyczna z legalną stroną Roblox. Adres zwykle zawiera nazwę Roblox, na przykład „Roblox-verify” lub „login-Roblox”. Gdy znajdą się na stronie oszustwa, dziecko zostanie poproszone o nazwę użytkownika i hasło, ale może też zostać poproszone o podanie kodów uwierzytelniania dwuskładnikowego – mówi NordVPN. Potem jednak dziecko trafia na legalną stronę Roblox, aby mogło grać normalnie, co pozostawia niewiele wskazówek, że coś jest nie tak. Gdy oszust ma dane logowania, może je sprzedać lub użyć do przeniesienia Robuxów na inne konto.

„Jednym z najprostszych nawyków jest zachęcanie dzieci do otwierania Roblox bezpośrednio przez oficjalną aplikację lub stronę internetową, a nie logowania się przez wysłane linki” – mówi Marijus Briedis, dyrektor ds. technologii w NordVPN. „Uwierzytelnianie dwuskładnikowe pozostaje ważną ochroną, ale kody uwierzytelniające i zapasowe należy traktować jak hasła i nigdy nie przekazywać ich komuś innemu.”

Jeśli twój gracz stracił Robuxy na rzecz hakera, wydaje się mało prawdopodobne, że je odzyska. Roblox twierdzi, że nie ma „żadnego obowiązku” pomagania osobom, których konta zostały przejęte, chyba że wymaga tego prawo. „Roblox nie gwarantuje, że konto danej osoby zostanie przywrócone do poprzedniego stanu ani że Roblox będzie w stanie odzyskać utracone wirtualne przedmioty lub wirtualną walutę” – czytamy. W „bardzo ograniczonych okolicznościach” Roblox może odzyskać utracone przedmioty lub ich wartość.

Rzecznik Roblox mówi, że istnieją środki bezpieczeństwa zapobiegające phishingowi, takie jak uwierzytelnianie dwuskładnikowe i funkcja, która uniemożliwia przestępcom logowanie się na twoje konto z innego miejsca. „Nadal pracujemy nad nowymi sposobami minimalizowania ryzyka kradzieży kont i aktywnie zachęcamy użytkowników Roblox do przestrzegania najlepszych praktyk bezpieczeństwa, w tym nieklikania w linki i niepobierania niczego od nieznanych nadawców lub ze stron internetowych” – dodaje rzecznik.