Martin sedel na letisku v Bratislave, čakal na boarding a chcel si skrátiť čas hrou. Cez verejnú Wi-Fi otvoril stránku, pridal si aplikáciu na plochu, prihlásil sa a vklad 50 eur zmizol bez toho, aby sa objavil v jeho hernom účte. Klasický scenár, ktorý sa opakuje častejšie, než by ste čakali. Príčinou nebol bug v hre ani podvod zo strany prevádzkovateľa, ale DNS hijack na verejnej sieti, ktorý ho presmeroval na falošnú doménu. Nižšie rozoberám, čo sa presne stalo, prečo je PWA inštalácia cez cudziu Wi-Fi riskantná a ako sa takejto strate vyhnúť.
Čo sa stalo na letisku a prečo to nebola chyba hry
Martin postupoval presne tak, ako mu odporúčal návod na stránke. Otvoril prehliadač, zadal adresu, klikol na “pridať na plochu” a spustil aplikáciu. Problém nastal v momente, keď sa pripájanie na server nešifrovalo tak, ako mal, alebo keď ho presmerovalo na inú adresu, než akú zadal. Na verejnej Wi-Fi v odletovej hale totiž niekto prevádzkoval podvodný DNS server, ktorý prepisoval odpovede na dotazy prehliadača.
DNS je telefónny zoznam internetu. Keď zadáte doménu, prehliadač sa najprv spýta DNS servera, na akú IP adresu má ísť. Ak je tento server pod kontrolou útočníka, môže vás poslať na akúkoľvek stránku, ktorá vizuálne vyzerá identicky. V Martinovom prípade to bola kópia prihlasovacej stránky, ktorá si vypýtala meno, heslo a následne aj vklad. Peniaze skončili na účte útočníka, nie v systéme Goldbet.
Goldbet aplikácia je progresívna webová aplikácia (PWA), ktorá sa inštaluje priamo z prehliadača. To znamená, že celý proces prechádza cez doménu a DNS. Na rozdiel od natívneho softvéru z Google Play alebo App Store nemá PWA podpisový certifikát distribútora, ktorý by prehliadač overil pri inštalácii. Ak sa prehliadač pripája na falošnú doménu, nainštaluje falošnú PWA. Bezpečnostné mechanizmy prehliadača vás v takom prípade neochránia, pretože technicky ide o legitímnu inštaláciu z pohľadu prehliadača.
Ako vyzerala falošná doména a prečo ju nikto nerozpoznal
Útočník použil doménu, ktorá sa od originálu líšila jedným znakom, napríklad zámenou “l” za “I” alebo pridaním pomlčky. V adresnom riadku na mobile to pri rýchlom pohľade nevidíte, obzvlášť keď sa ponáhľate na boarding. Navyše, ak je stránka načítaná cez HTTPS s certifikátom vydaným bezplatne cez Let’s Encrypt, prehliadač zobrazí zámok. Zámok v adresnom riadku neznamená, že ide o správnu doménu. Znamená len, že spojenie je šifrované.
Martin si pri spätnom pohľade spomenul, že ho prekvapilo, ako rýchlo stránka načítala a ako málo možností ponúkala. Namiesto plnohodnotného rozhrania dostal len prihlasovací formulár a tlačidlo na vklad. To je typický znak klonovanej stránky, ktorá slúži výhradne na zber údajov. Skutočná Goldbet aplikácia má pri prvom spustení viacero obrazoviek, overenie veku a nastavenia, ktoré falošná kópia neobsahuje.
Ako sa chrániť pri inštalácii PWA na cudzej sieti
Prvé pravidlo znie: PWA inštalujte iba na sieti, ktorej dôverujete, alebo cez VPN. Ak ste na letisku, v hoteli, v kaviarni či v nákupnom centre, zapnite si VPN skôr, než otvoríte prehliadač. https://goldbet-play.sk/aplikacia/ offers additional context worth reviewing. VPN šifruje celú komunikáciu vrátane DNS dotazov, takže útočník na miestnej sieti nevidí, kam idete, a nemôže vám podstrčiť falošnú odpoveď. Alternatívou sú mobilné dáta, ktoré sú v tomto smere bezpečnejšie, pretože DNS rieši operátor, nie neznámy router.
Druhé pravidlo sa týka samotnej adresy. Goldbet je dostupný na viacerých doménach a nie všetky patria rovnakému prevádzkovateľovi. Goldbet prevádzkuje Goldkey Technologies Limitada, ktorá je registrovaná v Kostarike, a platforma funguje na základe licencie z Anjouanu. Adresa goldbet.it patrí talianskej firme Intralot a goldbet.com.au je samostatná austrálska stávková kancelária. Ak hľadáte oficiálne stránky pre slovenský trh, informačný sprievodca goldbet-play.sk odkazuje na správne domény. Pri inštalácii si vždy overte, že ste na doméne, ktorú ste zamýšľali, a to vrátane koncovky.
Tretie pravidlo je najjednoduchšie a najčastejšie sa porušuje: prihlásenie a vklad robte až po overení, že aplikácia funguje správne. Skutočná Goldbet aplikácia po inštalácii vyžaduje overenie veku, pretože hranie je povolené osobám starším ako 18 rokov. Ak vás falošná stránka pustí do rozhrania bez akejkoľvek kontroly veku alebo bez výzvy na nastavenie biometrického prihlásenia, je to červená vlajka. Goldbet Lion a ďalšie funkcie sú dostupné len v riadnej aplikácii, nie v klonoch.
Reálne riziká a praktické postupy pri mobilnom hraní
Goldbet nie je dostupný v Google Play a App Store. To je pri PWA bežné a nie je to samo o sebe problém. Problém je, že používatelia sú zvyknutí na overené obchody a pri PWA im chýba práve tá vrstva kontroly, ktorú obchod poskytuje. Ak niekto ponúka goldbet apk na stiahnutie mimo oficiálnej stránky, je to takmer vždy podvod. Inštalačný súbor APK, ktorý koluje na fórach, nemá nič spoločné s oficiálnou aplikáciou a často obsahuje malware.
Pri inštalácii cez Safari na iPhone alebo cez Chrome na Androide postupujte takto: overte HTTPS a presnú doménu, zapnite VPN alebo mobilné dáta, pridajte na plochu, spustite aplikáciu a skontrolujte, či sa pri prvom spustení objavia očakávané obrazovky. Ak aplikácia žiada o prístup k fotoalbumu, kontaktom alebo mikrofónu bez jasného dôvodu, nepokračujte. PWA na hranie potrebuje len prihlásenie a prípadne biometriu (Face ID alebo odtlačok), nič viac.
Po prihlásení si nastavte dvojfaktorové overenie, ak ho platforma ponúka. Zmena hesla pri podozrení na kompromitáciu je prvý krok, druhý je kontaktovať podporu a nahlásiť podvodnú doménu. Slovenský Úrad pre reguláciu hazardných hier vedie zoznam legálnych prevádzkovateľov, no Goldbet na tomto zozname nie je, pretože pôsobí na základe licencie z Anjouanu, nie slovenskej. To neznamená, že ide o podvod, ale znamená to, že ochrana spotrebiteľa je slabšia a sťažnosti sa riešia cez zahraničného regulátora.
Verejná Wi-Fi na letisku je pohodlná, ale z pohľadu bezpečnosti patrí medzi najhoršie miesta na inštaláciu čohokoľvek, čo pracuje s peniazmi. Ak si chcete zahrať počas čakania, urobte to cez mobilné dáta alebo cez VPN. Inštaláciu PWA odložte na domov, kde máte vlastnú sieť a čas skontrolovať každý detail. Martin prišiel o 50 eur, pretože klikol na “pridať na plochu” o dve minúty skôr, než mal. Vy tú istú chybu urobiť nemusíte.