Paano Iwasan ang OTP Phishing at Fake Agent

Ano ang OTP at bakit ito ang puntirya

Ang OTP o one-time password ay ang code na ipinapadala sa phone mo para kumpirmahin ang login o bayad. Ito ang huling susi. Kahit alam na ng manloloko ang number at MPIN mo, hindi pa rin niya magagalaw ang pera hangga't wala ang code na iyon. Kaya ang buong modus ay isang kuwento para ibigay mo ang code sa loob ng ilang minutong valid ito.

Basahin din ang mismong text na may OTP. Kadalasan nakasulat doon kung para saan ang code, halimbawa login sa bagong device o pagpapadala ng pera. Kung hindi mo ginagawa ang nakasulat, may ibang gumagawa nito gamit ang account mo.

Paano dumarating ang phishing

Text na nagsasabing naka-hold ang account o ang withdrawal mo, may kasamang link.
Tawag mula sa 'customer service' na alam ang pangalan mo.
Chat mula sa 'agent' na magve-verify daw bago i-release ang bonus.
Post o ad na 'claim your free credits' na may form.
QR code na payment request pala at hindi payout.

Ang magkakatulad sa lahat ng iyan: sila ang lumapit sa iyo, at may kasamang pagmamadali. Ang totoong abiso mula sa operator o sa wallet ay makikita mo rin kapag ikaw mismo ang nagbukas ng app o ng site mula sa sarili mong bookmark, nang hindi dumadaan sa link.

Ano ang nangyayari sa likod ng link

Bubukas ang kopya ng login page ng casino o ng e-wallet. Ita-type mo ang number at MPIN. Habang nangyayari iyon, ginagamit na ng manloloko ang mga detalye mo sa totoong app, kaya may darating na totoong OTP sa phone mo. Hihingin ng pekeng page ang code para raw 'makumpleto ang verification'. Kapag na-type mo, tapos na ang login niya, hindi ang sa iyo.

Sino ang fake agent

Ang fake agent ay account sa Telegram, Facebook o Messenger na nagpapanggap na kinatawan ng isang casino. May logo, may 'official' sa pangalan, may group na libo-libo ang miyembro. Mag-aalok siya ng mas malaking bonus, mas mabilis na withdraw, o 'top-up rate', basta ipadala mo ang pera sa GCash o Maya number niya at siya na raw ang maglo-load.

Minsan totoo ang unang maliit na load para makuha ang tiwala mo. Sa pangalawa at mas malaking padala, mawawala na siya. Dahil ikaw mismo ang nagpadala sa isang indibidwal, walang transaction na mababawi ang operator.

Tandaan: ang dami ng miyembro sa group, ang mga 'proof of payout' na screenshot at ang mga nagko-comment ng 'legit' ay hindi patunay. Madaling bilhin o gawin ang lahat ng iyan.

Mga linya ng manloloko at ang tamang sagot

Sinasabi nila	Bakit hindi totoo	Gawin mo
'Pakibasa po ang code para ma-verify'	Ang OTP ay para lang sa iyo; hindi ito kailangan ng totoong staff	Ibaba ang tawag o i-block
'Sa akin mo i-send, ako ang magloload'	Ang deposit ay dumadaan sa cashier ng operator, hindi sa personal na wallet	Huwag magpadala; mag-deposit lang sa loob ng site
'Mag-e-expire na ang account mo sa loob ng 30 minuto'	Pagmamadali ang taktika; ang totoong abiso ay nasa loob ng account	Huwag pindutin ang link; mag-log in gamit ang bookmark
'May bayad para ma-release ang withdrawal'	Ang totoong bayarin ay ibinabawas sa balance, hindi hinihingi bilang bagong padala	Huwag magbayad
'Screen share tayo para matulungan kita'	Makikita nila ang OTP at balance mo nang live	Tumanggi

Mga ugaling nagpoprotekta sa iyo

I-bookmark ang na-verify na address ng operator at iyon lang ang gamitin. Huwag mag-log in mula sa link.
Gumamit ng password sa casino na hindi mo ginagamit sa iba.
Buksan ang e-wallet app nang direkta kapag may abiso; huwag dumaan sa link sa text.
Huwag i-post sa public ang reklamo na may kasamang number o reference; doon ka hinahanap ng mga pekeng support.
Kapag may tumawag, ikaw ang tumawag pabalik gamit ang contact na nasa loob ng app.
I-on ang mga security feature ng wallet at ng casino account kung mayroon.

Walang isa sa mga ito ang mahirap o may bayad. Ang kailangan lang ay gawin mong ugali bago pa may dumating na kahina-hinalang mensahe, dahil kapag nagmamadali ka na, mahirap nang mag-isip nang maayos.

Ano ang hindi hinihingi ng totoong KYC

Normal na humingi ang lisensyadong operator ng ID at selfie sa loob ng account mo, dahil obligasyon iyon sa ilalim ng anti-money-laundering rules. Pero hindi kailanman kasama sa totoong KYC ang mga ito:

OTP, MPIN o password.
Bayad o 'verification deposit'.
ID na ipapadala sa personal na chat ng agent.
Pag-install ng app para sa remote access.

Kung naibigay mo na ang code o nakapagpadala ka na

Buksan agad ang wallet app at palitan ang MPIN. Kung hindi ka makapasok, gamitin ang opisyal na help channel ng wallet para ma-lock ang account.
Palitan ang password ng casino account at tingnan kung sa iyo pa ang withdrawal details.
I-screenshot ang chat, ang profile, ang link at ang transaction na may reference number.
Mag-report agad sa Help Center sa loob ng app ng wallet. Mas mabilis, mas may tsansa.

Huwag mahiyang mag-report kahit maliit ang halaga. Ang number at account na ginamit sa iyo ay gagamitin din sa iba, at bawat report ay dagdag na dahilan para ma-block iyon.

Saan magre-report, sunod-sunod

Support ng operator, sa loob mismo ng site nito, kung apektado ang casino account.
Help center o helpline sa loob ng app ng e-wallet. Huwag tumawag sa numerong ibinigay ng kausap mo.
Complaint channel na nakalathala sa website ng PAGCOR, kung lisensyadong operator ang sangkot o may gumagamit ng pekeng lisensya.
PNP Anti-Cybercrime Group o NBI Cybercrime Division para sa mismong panloloko. Tumatanggap din ng scam report ang CICC Inter-Agency Response Center sa hotline 1326.

Mag-ingat din sa mga 'recovery agent' na mag-aalok na bawiin ang pera mo kapalit ng bayad. Ikalawang yugto iyon ng parehong scam.