Deze bijdrage is bedoeld voor mensen die Googlen (of een andere zoekmachine gebruiken) naar genoemd telefoonnummer, CLSID etcetera, en om security.nl lezers te waarschuwen (voor zover nodig) of om ervaringen te delen in deze nieuwe thread. Want helaas blijven dit soort scammers actief.

Afgelopen dagen ben ik meerdere keren gebeld (op een vaste lijn) door Engels-sprekende (met Indiaas accent) medewerkers van "Windows support". Mijn computer zou allemaal malware bestanden van internet downloaden, en die zouden mijn firewall kunnen laten crashen waarna hackers overal bij zouden kunnen.

Eerst belde een mevrouw (telefoonnummer onderdrukt/anoniem) die mij event viewer liet starten, kennelijk om mij op foutmeldingen in event logs te wijzen. Omdat ze letter voor letter spelde wat ik moest intikken, ik haar slecht verstond en omdat ik haar sowieso zo lang mogelijk aan de lijn wilde houden, duurde dit erg lang. Ze dirigeerde mij naar Windows logs -> security, maar daar kreeg ik -tot haar verbazing- een "access denied" melding (mijn account voor dagelijks gebruik is geen lid van de groep Administrators, als dat wel zo zou zijn had ik de gebeurtenissen kunnen bekijken). Affijn er was toch echt een probleem met mijn computer; of ik Google Chrome wilde starten. Die heb ik niet. Dan maar Internet Explorer. Of ik daarmee naar de volgende website wilde gaan: "t", "e", ... ik vulde haar mondeling aan: teamviewer.com.

"You are smart" zei ze. Ik: "And you should be ashamed of yourself stealing from people". Toen hing ze op.

Voor de minder ervaren lezer: deze scammers laten je software installeren waarmee zij letterlijk kunnen meekijken op jouw computer. Veel gebruikt worden TeamViewer en Ammyy Admin (zie bijv. https://www.strato.nl/server/de-beste-teamviewer-alternatieven/ voor meer van dat soort tools). Daarmee lossen deze cybercriminelen helemaal geen problemen voor je op, maar nemen je identiteit over en plunderen je bankrekening.

Niet veel later werd ik door een meneer gebeld. Ik vertelde dat ik net door een collega van hem was gebeld. Helaas waren er volgens die meneer veel nep-calls, maar hij was echt van Microsoft en er was echt een probleem met mijn computer. Hij begon een verhaal over CLSID's, de Customer License ID dat uniek is voor mijn computer en alleen Microsoft en ik kennen (dus bewijs dat hij van Microsoft is). De lijn was heel slecht waardoor we elkaar nauwelijks konden verstaan en hij uiteindelijk ophing.

Een CLSID is echter helemaal geen Customer License ID, maar een "CLasS ID" - een enorm aantal (hexadecimale) getallen die wereldwijd uniek zijn en voor allerlei toepassingen worden gebruikt die toevallig dezelfde naam zouden kunnen hebben. Vermoedelijk wilde deze meneer mij een command prompt venster laten openen, en het commando assoc laten uitvoeren. Een van de laatste regels luidt dan namelijk:
(zie ook https://www.security.nl/posting/40392/Internetaangifte+na+MS+scam uit 2013).

Die code is op elke Windows computer hetzelfde (met de commando's assoc en ftype kun je de asdociaties tussen bestandnaamextensies en de te starten programma's bekijken: assoc .txt (spatie tussen c en de punt) normaal gesproken 'txtfile' als output, vervolgens laat ftype txtfile zien welk programma er gestart wordt als je op een .txt file dubbel-klikt). Kortom, dit is geen licentiecode en zo'n beller werkt niet voor Microsoft.

Gisteren nam mijn vriendin op, en zei al snel "No no no!" en hing op. Jammer, ik had graag gehoord of het om dezelfe man ging - vermoedelijk wel.

Vanochtend belde die meneer opnieuw (onderdrukt/anoniem nummer). Ik had geen zin en zei dat het een scam was en hij zich moest schamen, maar daar wilde hij niets van weten en begon weer over CLSID's. Ik heb de telefoon neergelegd en hem laten blaten. Dat duurde even, na een paar keer "hello?" hing hij op.

Maar even later belde hij nogmaals (hoezo bord voor z'n kop), nu vanaf telefoonnummer 0517-369378 (kengetal/netnummer 0517 is in Friesland, zonder streepje: "0517369378" - voor de zoekmachines). Ik heb hem weer laten raaskallen, uiteindelijk hing hij weer op en heeft vanochtend (tot nu toe) niet meer teruggebeld.

Daarna heb ik zelf gebeld naar 0517-369378 en kreeg de bekende drietoon, een niet bestaand nummer dus. Slechte zaak overigens dat fraudeurs zomaar met niet bestaande nummers kunnen bellen; waarom wordt dat niet geblokkeerd?

Wat moet je doen als je gebeld wordt door iemand die zegt dat er een probleem is met je computer?

Je kunt niet uitsluiten dat jouw bank jou belt i.v.m. een verdachte transactie, of dat jouw ISP (Internet Service Provider) jou belt omdat er echt een probleem is met jouw computer, modem, draagbaar device of IoT apparaat. Als zoiets aan de hand lijkt, zeg dan dat je terugbelt naar het nummer dat jij kent van de betreffende organisatie (of opzoekt op hun website). Negeer telefoonnummers en domeinnamen van websites die de beller jou vertelt! Wel kun je informeren naar welke persoon of afdeling je moet vragen als je zelf belt.

Als het om nep gaat: noteer het nummer (indien getoond, en vertel het ons hieronder) en hang op. Of zeg dat je weet dat het om een scam gaat en hang dan op (hopelijk voorkomt dit dat ze terugbellen).

Als je tijd hebt, kun je ze aan de praat houden (in die tijd kan deze persoon niet iemand anders een oor aannaaien, en hoe meer mensen dit doen, hoe minder lucratief hun "business" wordt). Als je jouw computer erbij betrekt, vertel dan niets waar ze iets aan zouden kunnen hebben, en installeer niets natuurlijk!

Desgewenst kun je zo'n incident melden bij de Fraude Helpdesk, zie https://www.fraudehelpdesk.nl/fraude/ik-heb-contact-gehad-met-een-helpdesk/ (ik heb dat nu overigens niet gedaan).

Als je onverhoopt zover gegaan bent dat je iets geïnstalleerd hebt, zet je computer dan uit, neem onmiddelijk contact op met je bank en doe aangifte.