Blog

Fałszywe maile i SMS-y udające banki, kurierów, urzędy czy znane sklepy trafiają dziś do niemal każdego z nas. Na szczęście większość oszustw zdradza się kilkoma powtarzalnymi cechami. Poznaj dziewięć sygnałów ostrzegawczych oraz prosty sposób postępowania, gdy wiadomość wzbudzi Twoje wątpliwości.

Sygnały widoczne w samej treści

Oszuści liczą na to, że zadziałasz szybko i bez namysłu. Dlatego wiadomości często wywołują strach, ciekawość lub poczucie pilności. Zwróć uwagę na cztery rzeczy.

• 1. Presja czasu i groźby. Komunikaty w stylu „konto zostanie zablokowane”, „masz 24 godziny” czy „ostatnie ostrzeżenie” mają odebrać Ci spokój. Rzetelne instytucje zwykle dają czas na reakcję i oferują kilka sposobów kontaktu.
• 2. Ogólnikowe zwroty. „Szanowny kliencie” albo „Drogi użytkowniku” zamiast Twojego imienia to częsty znak masowej wysyłki. Pamiętaj jednak, że oszuści potrafią też użyć Twojego imienia, jeśli wyciekły ich dane, więc jego obecność niczego nie gwarantuje.
• 3. Dziwny język i błędy. Literówki, brak polskich znaków, nienaturalne zdania czy styl przypominający automatyczne tłumaczenie powinny wzbudzić czujność. Coraz więcej fałszywych wiadomości jest jednak napisanych poprawnie, więc brak błędów nie oznacza, że wiadomość jest bezpieczna.
• 4. Oferta zbyt dobra, by była prawdziwa. Wygrana w konkursie, w którym nie brałeś udziału, niespodziewany zwrot pieniędzy albo ogromna zniżka na popularny sprzęt to klasyczne przynęty.

Sygnały związane z nadawcą i linkami

Nawet najlepiej napisana wiadomość musi skądś przyjść i dokądś prowadzić. Tu oszuści najczęściej się potykają.

• 5. Podejrzany nadawca. Sprawdź prawdziwy adres e-mail, a nie tylko wyświetlaną nazwę, którą łatwo sfałszować. Uważaj na adresy z podmienionymi znakami (na przykład cyfra zero zamiast litery „o”), dziwnymi domenami lub losowymi ciągami liter. W przypadku SMS-ów niepokój powinien budzić zwykły numer komórkowy lub zagraniczny, z którego rzekomo pisze instytucja.
• 6. Niepokojący link. Skrócone adresy, długie ciągi znaków, dodatkowe człony w nazwie domeny czy drobne przekręcenia znanej nazwy to typowe ślady oszustwa. Na komputerze możesz najechać kursorem na link, nie klikając, aby zobaczyć jego rzeczywisty adres. Na telefonie często da się to zrobić przez dłuższe przytrzymanie. Bezpieczniej jest jednak w ogóle nie korzystać z linku, tylko wpisać adres strony ręcznie lub otworzyć oficjalną aplikację.
• 7. Nieoczekiwany załącznik. Faktura za coś, czego nie kupowałeś, „potwierdzenie przelewu”, spakowany plik albo dokument z prośbą o włączenie edycji czy makr mogą zainstalować na urządzeniu złośliwe oprogramowanie. Jeśli nie spodziewasz się takiego pliku, nie otwieraj go.

Sygnały dotyczące tego, o co Cię proszą

Najważniejsze pytanie brzmi: czego ta wiadomość ode mnie chce? Odpowiedź często wystarcza, by rozpoznać próbę oszustwa.

• 8. Prośba o poufne dane. Hasła, kody z SMS-ów, kody do płatności mobilnych, pełne dane karty czy dane logowania do bankowości nie powinny być podawane w odpowiedzi na wiadomość ani w formularzu, do którego prowadzi link z maila lub SMS-a. Rzetelna instytucja nie prosi o takie informacje w ten sposób.
• 9. Drobna dopłata lub „weryfikacja”. Prośba o symboliczną opłatę za doręczenie przesyłki, o potwierdzenie danych do zwrotu pieniędzy albo o zainstalowanie aplikacji, która ma „pomóc w zabezpieczeniu konta”, to częsty scenariusz. Strona płatności może wyglądać bardzo wiarygodnie, a mała kwota ma uśpić czujność. Prawdziwym celem są dane Twojej karty lub dostęp do konta.

Co zrobić, gdy wiadomość wygląda podejrzanie

Nie musisz być ekspertem od bezpieczeństwa. Wystarczy trzymać się kilku prostych zasad.

1. Zatrzymaj się. Nie klikaj, nie odpowiadaj i nie dzwoń pod numer podany w wiadomości.
2. Sprawdź niezależnie. Wejdź na oficjalną stronę, wpisując jej adres samodzielnie, lub skorzystaj z numeru telefonu z karty płatniczej, umowy albo oficjalnej witryny. Jeśli wiadomość rzekomo przyszła od znajomego, zapytaj go innym kanałem, czy faktycznie ją wysłał.
3. Zgłoś. Oznacz wiadomość jako spam lub phishing w programie pocztowym. W przypadku SMS-ów warto sprawdzić, jak aktualnie można je przekazać operatorowi lub instytucjom zajmującym się cyberbezpieczeństwem, ponieważ zasady zgłaszania mogą się zmieniać.
4. Usuń wiadomość. Gdy sprawa jest załatwiona, pozbądź się jej, aby przypadkiem nie kliknąć później.

Co robić, jeśli już kliknąłeś lub podałeś dane

Zdarza się to nawet ostrożnym osobom, a szybka reakcja może znacznie ograniczyć szkody.

• Jak najszybciej skontaktuj się z bankiem, korzystając z oficjalnego numeru, i w razie potrzeby zastrzeż kartę lub zablokuj dostęp do konta.
• Zmień hasło do zaatakowanego konta, a także wszędzie tam, gdzie używałeś tego samego hasła. Jeśli to możliwe, włącz dodatkowe potwierdzanie logowania.
• Sprawdź historię transakcji i ostatnie logowania, a w razie wątpliwości zgłoś sprawę na policję.
• Jeśli otworzyłeś podejrzany załącznik lub zainstalowałeś nieznaną aplikację, przeskanuj urządzenie programem zabezpieczającym i odinstaluj to, czego nie rozpoznajesz.

Szczegółowe procedury reklamacyjne i zasady odpowiedzialności za nieautoryzowane transakcje zależą od przepisów oraz regulaminu Twojego banku, dlatego warto sprawdzić aktualne informacje u źródła.

Podsumowanie

Phishing działa wtedy, gdy czujemy się zagonieni w kozi róg. Najlepszą obroną jest więc spokój i nawyk weryfikowania: sprawdź nadawcę, nie ufaj linkom, nie podawaj poufnych danych i potwierdzaj każdą ważną sprawę innym, własnym kanałem. Jeśli coś w wiadomości budzi Twój niepokój, to zwykle wystarczający powód, by jej nie otwierać.