Phishing i smishing: jak rozpoznać fałszywą wiadomość, zanim klikniesz

Wiadomość o niedopłacie za paczkę, blokadzie konta bankowego czy zaległej opłacie wygląda znajomo, prawda? To typowe przykłady phishingu, czyli wyłudzania danych przez podszywanie się pod zaufaną instytucję. Gdy atak odbywa się przez SMS, mówimy o smishingu, a przez telefon o vishingu. Oszuści liczą na pośpiech i emocje, dlatego najlepszą obroną jest spokojna analiza przed kliknięciem.

Jak działają oszuści

Schemat jest niemal zawsze podobny. Dostajesz wiadomość, która ma wywołać strach, ciekawość lub chęć szybkiego zysku. Zawiera link lub załącznik i wezwanie do natychmiastowego działania. Po kliknięciu trafiasz na stronę łudząco podobną do prawdziwej, na której masz podać login, hasło, dane karty albo kod autoryzacyjny. Dane trafiają do przestępców, a ci próbują wykorzystać je na twoim koncie.

Do najczęstszych pretekstów należą:

• rzekoma konieczność dopłaty do przesyłki lub potwierdzenia adresu dostawy,
• informacja o zablokowanym koncie bankowym lub podejrzanej transakcji,
• fałszywe faktury, przypomnienia o płatnościach i wezwania do zapłaty,
• zwrot podatku, nagroda w konkursie lub nadpłata do odebrania,
• wiadomość od „znajomego” lub „członka rodziny” z prośbą o pilny przelew albo kod BLIK.

Sygnały ostrzegawcze

Żaden z poniższych elementów osobno nie przesądza o oszustwie, ale ich suma powinna zapalić czerwoną lampkę.

Pierwszy to presja czasu: „konto zostanie zablokowane w ciągu godziny”, „ostatnie ostrzeżenie”. Prawdziwe instytucje zwykle dają rozsądny termin i inne kanały kontaktu. Drugi to nietypowy adres nadawcy. W e-mailu sprawdź nie tylko nazwę wyświetlaną, ale też faktyczny adres, a w domenie szukaj literówek, dodatkowych słów i niecodziennych końcówek. Trzeci to ogólnikowe zwroty zamiast twojego imienia i szczegółów, które znałby prawdziwy nadawca. Czwarty to błędy językowe i dziwne formatowanie, choć niektóre ataki są dziś napisane bardzo poprawnie, więc brak błędów nie gwarantuje bezpieczeństwa.

Najważniejszy sygnał to link. Zanim go otworzysz, w komputerze najedź na niego kursorem i sprawdź adres docelowy. Skrócone linki, adresy ze zlepkiem dziwnych znaków albo domeny podobne do znanych marek należy traktować jako podejrzane. W telefonie, zamiast klikać, lepiej samodzielnie otworzyć aplikację lub wpisać adres serwisu.

Co robić, gdy dostaniesz podejrzaną wiadomość

1. Nie klikaj i nie odpowiadaj. Nawet odpowiedź „STOP” może potwierdzić, że numer jest aktywny.
2. Zweryfikuj niezależnym kanałem. Zaloguj się do serwisu przez własną zakładkę lub aplikację albo zadzwoń na numer podany na oficjalnej stronie lub karcie płatniczej.
3. Nie podawaj kodów. Kod z SMS-a, BLIK czy aplikacji bankowej służy do zatwierdzania operacji. Nikt, kto działa uczciwie, nie poprosi o jego podanie.
4. Zgłoś wiadomość. Przekaż ją operatorowi, bankowi lub właściwym służbom zajmującym się cyberbezpieczeństwem w Polsce, a następnie ją usuń.
5. Ostrzeż bliskich. Seniorzy i dzieci są często celem takich ataków.

Co zrobić po kliknięciu lub podaniu danych

Jeśli zorientujesz się, że padłeś ofiarą oszustwa, działaj szybko. Zmień hasło do konta, które mogło zostać ujawnione, najlepiej z innego, bezpiecznego urządzenia. Skontaktuj się z bankiem i poproś o zablokowanie karty lub dostępu do konta, jeśli podałeś dane płatnicze. Sprawdź historię operacji i zgłoś nieautoryzowane transakcje. Włącz uwierzytelnianie dwuskładnikowe tam, gdzie go nie było. Jeśli kliknąłeś w link i pobrałeś plik, przeskanuj urządzenie programem antywirusowym i zaktualizuj system. W razie straty pieniędzy zgłoś sprawę na policję.

Pamiętaj, że oszuści coraz częściej dzwonią i podszywają się pod konsultantów banku lub policjantów. Jeśli rozmówca każe zainstalować aplikację do zdalnego dostępu, przelać pieniądze na „bezpieczne konto” albo zachować rozmowę w tajemnicy, rozłącz się. Następnie samodzielnie zadzwoń na numer z oficjalnej strony instytucji i zapytaj, czy ktoś naprawdę się z tobą kontaktował.

Nawyki, które chronią na co dzień

Przyjmij zasadę, że instytucje nie wymagają od ciebie logowania przez link z wiadomości. Korzystaj z aplikacji i zakładek. Włącz powiadomienia o transakcjach, aby szybko zauważyć nieprawidłowości. Ustaw limity dla płatności internetowych na rozsądnym poziomie. Regularnie aktualizuj oprogramowanie i korzystaj z filtrów antyspamowych. Wreszcie, rozmawiaj z rodziną o tym, jak wyglądają oszustwa. Wspólna wiedza jest skuteczniejsza niż jakiekolwiek oprogramowanie.

Oszuści zmieniają scenariusze, ale ich mechanizm pozostaje ten sam: wywołać emocje i skłonić do pośpiechu. Chwila zatrzymania i weryfikacja w niezależnym źródle wystarczą, aby uniknąć większości pułapek.