Phishing i fałszywy SMS: jak rozpoznać oszustwo i gdzie je zgłosić

Od tego zacznij

Sześć wskazówek w grafikach. Kliknij wybraną, żeby ją powiększyć lub pobrać.

Przesuń grafiki w bok, aby zobaczyć kolejne.

Co to jest phishing?

Phishing to próba oszustwa przez podszywanie się pod kogoś, komu ufasz: bank, firmę kurierską, urząd albo znajomego. Oszust chce zdobyć hasło, dane karty lub pieniądze. Może też nakłaniać do instalacji aplikacji, która pozwoli mu uzyskać dostęp do urządzenia.

Możesz spotkać też nazwy smishing (oszustwo przez SMS) i vishing (przez telefon). Spoofing oznacza podszywanie się m.in. pod numer telefonu lub adres nadawcy. Dlatego numer banku wyświetlony na ekranie nie potwierdza, że to bank dzwoni.

Co powinno wzbudzić podejrzenia?

• Nacisk na szybkie działanie. „Konto zaraz zostanie zablokowane” lub „ktoś właśnie zleca przelew”. Rozmówca nie daje Ci czasu na sprawdzenie sytuacji.
• Prośba o hasło, PIN lub kod BLIK. Nie przekazuj ich osobie, która do Ciebie dzwoni lub pisze.
• Polecenie instalacji aplikacji. Program do zdalnej pomocy może dać obcej osobie dostęp do urządzenia. Nie instaluj go na prośbę rzekomego pracownika banku.
• Prośba o zachowanie tajemnicy. Szczególnie gdy ktoś każe ukryć rozmowę przed bliskimi lub pracownikiem oddziału banku.

Nie muszą wystąpić wszystkie te sygnały. Poprawna polszczyzna, logo banku i znajoma nazwa nadawcy również nie potwierdzają autentyczności wiadomości.

Jak sprawdzić link i stronę logowania?

Jeśli wiadomość dotyczy banku, otwórz jego aplikację lub skorzystaj z zapisanej wcześniej zakładki. Możesz też samodzielnie wpisać znany Ci adres. To bezpieczniejsze niż logowanie przez link z wiadomości.

• Sprawdź cały adres strony. Nazwa banku może być tylko dodatkiem do adresu należącego do oszusta. W przykładzie bank.example.oszust.example/logowanie domeną jest oszust.example, a nie bank.example. To fikcyjne adresy do celów edukacyjnych.
• Zwróć uwagę na literówki. Jedna zmieniona litera lub dodatkowe słowo mogą prowadzić na inną stronę.
• HTTPS i kłódka nie potwierdzają uczciwości strony. Informują o szyfrowaniu połączenia. Fałszywa strona również może je mieć.
• Nie omijaj ostrzeżeń przeglądarki. Jeśli strona została oznaczona jako niebezpieczna, zamknij ją. CERT Polska prowadzi listę ostrzeżeń, z której korzystają dostawcy internetu.

Telefon z banku i prośba o przelew na „bezpieczne konto”

Rozmówca twierdzi, że Twoje oszczędności są zagrożone. Każe przelać je na inne konto, wypłacić z bankomatu albo wpłacić gotówkę przy użyciu podanego kodu. Może znać Twoje imię i inne dane, żeby wzbudzić zaufanie.

Nie wykonuj takiej operacji. Bank nie poleca przeniesienia pieniędzy na inne konto po to, żeby ochronić je przed oszustem. Zakończ połączenie i samodzielnie zadzwoń na numer z karty lub oficjalnej strony banku. Nie używaj numeru podanego przez rozmówcę.

BLIK: sprawdź prośbę i to, co zatwierdzasz

Znajomy pisze na Messengerze, że potrzebuje pieniędzy i prosi o kod BLIK. Wiadomość może pochodzić z jego przejętego konta. Zadzwoń do niego na zapisany numer, żeby potwierdzić prośbę.

Kod BLIK służy do rozpoczęcia płatności lub wypłaty. W typowym oszustwie przestępca wpisuje otrzymany kod, a następnie namawia Cię do zatwierdzenia operacji w aplikacji banku. Samo przekazanie kodu nie oznacza, że pieniądze zostały wypłacone. Nie jest jednak bezpieczne: ktoś może próbować użyć go do własnej transakcji.

Przed zatwierdzeniem sprawdź kwotę, rodzaj operacji i pozostałe szczegóły wyświetlone przez bank. Jeśli nie rozpoznajesz transakcji, odrzuć ją. Kod nie jest potrzebny do odebrania zwykłego przelewu na telefon BLIK.

Co zrobić po kliknięciu linku lub podaniu danych?

Dalsze kroki zależą od tego, co się stało:

• Tylko otwarta strona: zamknij ją. Nie wpisuj danych, nie otwieraj pobranych plików i nie zezwalaj na powiadomienia. Zgłoś wiadomość. Samo kliknięcie nie oznacza automatycznie przejęcia konta.
• Podane hasło: zmień je przez prawdziwą stronę usługi, korzystając z zaufanego urządzenia. Zmień je także tam, gdzie było używane ponownie. Wyloguj inne sesje, sprawdź dane odzyskiwania konta i włącz uwierzytelnianie dwuskładnikowe.
• Podane dane bankowe, dane karty lub zatwierdzona obca transakcja: od razu skontaktuj się z bankiem. Powiedz dokładnie, co się stało. Ustal z bankiem blokadę karty lub dostępu do konta i zgłoś podejrzane operacje.
• Zainstalowana podejrzana aplikacja: odłącz urządzenie od internetu. Zadzwoń do banku z innego telefonu i zmieniaj hasła na innym, zaufanym urządzeniu. Poproś o pomoc w sprawdzeniu telefonu; samo usunięcie aplikacji może nie wystarczyć.
• Ujawniony PESEL lub dane dokumentu: skorzystaj z usługi zastrzeżenia PESEL. Ogranicza ona skutki wykorzystania danych m.in. przy kredytach i pożyczkach, ale nie blokuje wszystkich rodzajów oszustw ani operacji na koncie.

Jeśli doszło do oszustwa, zachowaj wiadomości, numery telefonów i potwierdzenia transakcji. Złóż zawiadomienie na policji. Zgłoszenie do CERT Polska pomaga zwalczać zagrożenie, ale nie zastępuje kontaktu z bankiem ani zawiadomienia o przestępstwie.

Gdzie zgłosić podejrzaną wiadomość?

• SMS: przekaż go w niezmienionej formie na bezpłatny numer 8080. Skorzystaj z opcji „Przekaż” lub „Prześlij dalej”.
• Fałszywa strona, e-mail lub inne zdarzenie: wypełnij formularz na incydent.cert.pl.
• Zagrożone pieniądze: najpierw skontaktuj się z bankiem. Nie czekaj na odpowiedź na zgłoszenie do CERT Polska.

Jak zadbać o bezpieczeństwo w organizacji?

Podobne oszustwa trafiają do fundacji i firm: pilny przelew od „prezesa”, faktura ze zmienionym numerem konta lub fałszywa wiadomość o zablokowaniu strony na Facebooku.

• Zmianę konta do przelewu potwierdzaj u kontrahenta, korzystając ze znanego wcześniej numeru telefonu.
• Ustal, kiedy przelew powinna sprawdzić druga osoba. Nie pomijaj tej zasady pod presją czasu.
• Włącz 2FA na poczcie i kontach administratorów. Jeśli usługa pozwala, wybierz klucz bezpieczeństwa lub passkey, które chronią przed wyłudzeniem danych logowania na fałszywej stronie.

Zobacz też listę zabezpieczeń strony do sprawdzenia i bezpłatną ocenę bezpieczeństwa dla organizacji. O sprawdzaniu zdjęć, nagrań i wiadomości piszemy w poradniku o dezinformacji.