May mabilis na lumalaganap na scam sa Pilipinas na nagsisimula sa mensaheng mukhang opisyal. May nagpapanggap na galing sa SSS, GSIS, BIR, LTO, ang eGov PH app, GCash o ang iyong bangko na kinokontak ka sa text, tawag o Messenger — madalas na nagbababalang masu-suspend ang iyong account, na may nakabinbin kang benepisyo o refund, o na kailangan mong i-'verify' ang iyong mga detalye agad.
Sinadya ang pagmamadali. Para 'ayusin' ang problema, sinasabihan ka nilang mag-install ng app mula sa link na ipinapadala nila — hindi mula sa opisyal na Google Play Store o App Store. Ang file na iyon ay isang nakatagong APK: isang pekeng bersyon ng government o banking app na sa totoo ay may malware.
Sa panahon ng pag-install, hinihiling ng app na i-on mo ang 'Install from unknown sources' at magbigay ng makapangyarihang mga permission — pinaka-mapanganib ang Android Accessibility Service, kasama ang access sa iyong SMS at ang kakayahang mag-draw sa ibabaw ng ibang apps. Ibinibigay ito ng mga tao dahil mukhang totoo ang app at ang 'agent' sa linya ay ginagabayan sila rito.
Iyon ang sandaling nangyayari ang pagnanakaw. Habang akala mong nag-lo-log in ka o 'nagve-verify', ang malware ay gumagana nang kasabay: binabasa nito ang one-time passwords (OTPs) na dumarating sa SMS, kinukuha kung ano ang tini-type mo, at pwede pa ngang magpakita ng pekeng login screen sa ibabaw ng iyong totoong banking app o i-remote-control ang iyong telepono. Gamit ang iyong mga OTP at credentials, nagli-log in ang mga scammer sa iyong bank at e-wallet accounts at inililipat ang pera palabas — minsan habang pinapanatili kang nasa tawag para 'hindi mo maistorbo ang verification'.
Pare-pareho ang mga red flag. Ang mga government agency at bangko ay hindi kailanman nagpapadala ng app-download links sa SMS o DM, at ang kanilang totoong apps ay nasa opisyal na Google Play Store o App Store lamang. Walang lehitimong ahensya na hihiling sa iyong i-enable ang Accessibility para sa isang app, mag-install ng APK mula sa link, o basahin nang malakas ang iyong OTP. At ang tunay na problema sa account ay hindi kailanman naaayos sa pamamagitan ng 'i-install ang app na ito sa loob ng limang minuto'.
Paano mo mapoprotektahan ang sarili mo: mag-install lamang ng financial at government apps mula sa opisyal na store, at sundin lamang ang opisyal na mga link na nakapaskil sa sariling pahina ng bawat provider — ang mga kaparehong nililista namin para sa bawat kompanya sa aming e-wallets at bank listings. Huwag kailanman mag-sideload ng APK, huwag kailanman magbigay ng Accessibility permission sa isang app na sinabi sa iyo ng estranghero na i-install, at huwag kailanman ibahagi ang OTP kaninuman — kahit sa nagpapanggap na 'support'.
Kung nakapag-install ka na ng kahina-hinalang app: ilipat agad ang iyong telepono sa airplane mode para putulin ang koneksyon nito, tapos i-uninstall ito (i-restart papuntang safe mode kung ayaw mawala). Mula sa ibang, malinis na device, palitan ang iyong online-banking at e-wallet passwords. Tawagan agad ang iyong bangko at wallet providers para i-freeze ang mga account at i-dispute ang anumang hindi awtorisadong paglilipat.
Pagkatapos ay i-report ito — sa iyong bangko o e-wallet, sa consumer assistance channel ng BSP, at sa PNP Anti-Cybercrime Group o sa NBI Cybercrime Division. Ang mabilis na pag-report ay nagbibigay ng pinakamagandang pagkakataong pigilan o ibalik ang isang paglilipat, at tumutulong magbabala sa iba bago sila mabiktima ng parehong pekeng app.