Fałszywa wiadomość nie musi zawierać błędów, dziwnego logo ani nieporadnego tłumaczenia. Może trafić do wątku, w którym wcześniej przychodziły prawdziwe powiadomienia, zwracać się do odbiorcy po imieniu i prowadzić do strony z kłódką. Dlatego nie rozstrzyga się jej autentyczności po wyglądzie. Trzeba sprawdzić, czy komunikat ma sens w danym kontekście, dokąd rzeczywiście prowadzi oraz czy jego treść można potwierdzić niezależnym kanałem.
Wiadomość może wyglądać prawdziwie i nadal być oszustwem
Nie istnieje jeden szczegół, który sam potwierdza prawdziwość SMS-a lub e-maila. Nazwę nadawcy można podszyć, wygląd znanej strony skopiować, a dane o zamówieniu pozyskać z innych źródeł albo po prostu odgadnąć, wysyłając tę samą treść masowo. CERT Polska opisywał już wiadomości o rzekomym mandacie, które dzięki podszyciu pod nazwę nadawcy pojawiały się w istniejącym wątku powiadomień mObywatela. Sam fakt, że komunikat znajduje się obok prawdziwych wiadomości, nie kończy więc sprawdzania.
Tak samo należy traktować poprawną polszczyznę, znajome logo, stopkę firmy, imię odbiorcy czy numer przesyłki. Błędy językowe nadal bywają użytecznym sygnałem ostrzegawczym, lecz ich brak nie jest dowodem bezpieczeństwa. Współczesne kampanie phishingowe potrafią być starannie przygotowane, a niektóre naśladują dokładnie ten proces, którego odbiorca się spodziewa: dopłatę do paczki, odnowienie subskrypcji, blokadę konta, mandat albo wiadomość od banku. *Phishing* jest szerszym określeniem wyłudzania przez podszywanie się, *smishing* dotyczy zwykle wiadomości SMS, a *spoofing* oznacza fałszowanie informacji o nadawcy. Dla czytelnika ważniejszy od terminologii jest wniosek: warstwa wizualna może zostać podrobiona, dlatego decyzję trzeba oprzeć na czymś, czego oszust nie kontroluje.
Najpierw oceń kontekst, nie estetykę komunikatu
Zacznij od prostego pytania: czy rzeczywiście rozpocząłeś sprawę, której dotyczy wiadomość? Jeżeli nie czekasz na paczkę, nie odnawiasz abonamentu i nie logowałeś się do wskazanego serwisu, komunikat wymaga szczególnej ostrożności. Jeśli jednak czekasz na przesyłkę, nadal nie klikaj automatycznie. Oszust nie musi wiedzieć, że ją zamówiłeś. Wystarczy, że wyśle tysiące powiadomień o dopłacie, aby część trafiła do osób oczekujących właśnie na kuriera.
Kolejny test dotyczy działania, do którego nadawca próbuje skłonić odbiorcę. Presja czasu, groźba natychmiastowej blokady, dopłata niewielkiej kwoty, prośba o odpowiedź w celu „aktywowania” linku, polecenie zainstalowania aplikacji spoza oficjalnego sklepu albo żądanie podania pełnych danych karty zwiększają ryzyko. Szczególnie niebezpieczne jest połączenie wiarygodnej historii z nietypowym kanałem wykonania operacji. Firma kurierska może informować o problemie z przesyłką, lecz nie oznacza to, że numer karty należy wpisywać na stronie otwartej z przypadkowego SMS-a. Bank może ostrzegać o transakcji, ale jej potwierdzenie powinno odbyć się w znanej aplikacji lub przez numer znaleziony samodzielnie, a nie podany w podejrzanej wiadomości.
Pośpiech jest częścią mechanizmu oszustwa, nie argumentem za wykonaniem płatności.
Nazwa nadawcy, numer i wątek nie potwierdzają autentyczności
W SMS-ie widoczna nazwa może być inna niż techniczny identyfikator użyty do wysłania wiadomości. Telefon grupuje komunikaty według informacji o nadawcy, więc sfałszowana nazwa może wprowadzić fałszywy SMS do prawdziwego wątku. W e-mailu podobny efekt daje pole wyświetlanej nazwy: napis „Biuro Obsługi” nie mówi jeszcze, z jakiej domeny wysłano list. Trzeba rozwinąć dane nadawcy i obejrzeć pełny adres. Również adres wyglądający znajomo nie przesądza sprawy, ponieważ może różnić się jednym znakiem, korzystać z mylącej subdomeny albo zostać technicznie podszyty. W bardziej niejasnych przypadkach znaczenie mają nagłówki e-maila i wyniki mechanizmów uwierzytelniania, lecz przeciętny odbiorca nie musi samodzielnie prowadzić analizy technicznej. Bezpieczniej potwierdzić komunikat w oficjalnym panelu klienta lub u nadawcy, korzystając z danych kontaktowych znalezionych niezależnie.
Nie odpowiadaj na wiadomość tylko po to, by zapytać, czy jest prawdziwa. W kampaniach kurierskich opisywanych przez CERT Polska odpowiedź miała sprawić, że telefon zaczął traktować dalszy link jako aktywny. Odpowiedź może też potwierdzić przestępcom, że numer jest używany. Jeżeli komunikat rzekomo pochodzi od banku, urzędu, przewoźnika lub sklepu, otwórz samodzielnie jego aplikację, wpisz znany adres w przeglądarce albo zadzwoń pod numer z karty, umowy lub oficjalnej strony. Nie korzystaj z numeru telefonu, przycisku ani danych kontaktowych umieszczonych w wiadomości, którą dopiero weryfikujesz.
Jak sprawdzić link bez otwierania go?
Najważniejszą częścią adresu jest domena, a nie logo strony ani słowo marki widoczne na początku długiego ciągu. Oszust może umieścić nazwę banku w subdomenie, ścieżce lub parametrze, podczas gdy strona należy do zupełnie innego właściciela. Przykładowy zapis bank[.]pl.logowanie[.]przyklad[.]com nie prowadzi do domeny bank.pl, lecz do domeny należącej do przyklad.com. Nawiasy kwadratowe celowo unieszkodliwiają adres. Przy krajowych i złożonych końcówkach sama reguła „dwóch ostatnich członów” może być myląca, dlatego w razie wątpliwości nie zgaduj. Przejdź do usługi samodzielnie przez znany adres lub aplikację.
Na komputerze miejsce docelowe odnośnika można zwykle podejrzeć po najechaniu kursorem bez klikania. Na telefonie dłuższe przytrzymanie często pokazuje podgląd adresu, ale zachowanie zależy od aplikacji, a nieostrożny ruch może otworzyć stronę. Skracacze linków, kody QR i wielostopniowe przekierowania dodatkowo ukrywają cel. Nie ma potrzeby rozplątywać ich samodzielnie, gdy tę samą sprawę da się sprawdzić w aplikacji usługodawcy. Nie należy również traktować ikony kłódki jako certyfikatu uczciwości. HTTPS szyfruje połączenie z daną stroną, ale strona wyłudzająca dane także może korzystać z szyfrowania.
| Sygnał | Co naprawdę oznacza | Właściwy wniosek |
|---|---|---|
| Nazwa znanej firmy jako nadawca | Telefon lub poczta wyświetla wskazaną nazwę | Nadawcę nadal trzeba potwierdzić niezależnie |
| Wiadomość w prawdziwym wątku SMS | System pogrupował ją według identyfikatora nadawcy | Wątek nie jest dowodem autentyczności |
| Kłódka i HTTPS | Połączenie z otwartą domeną jest szyfrowane | Nie potwierdza to uczciwości właściciela strony |
| Poprawny język i znajome logo | Treść została starannie przygotowana | Oceniaj proces, domenę i żądanie, nie estetykę |
| Dane o paczce lub imię | Nadawca zna część danych albo trafił przypadkiem | Sprawdź status w oficjalnej aplikacji lub serwisie |
Żądanie płatności sprawdza się poza wiadomością
Przed zapłatą porównaj cztery rzeczy: zdarzenie, kwotę, odbiorcę i miejsce autoryzacji. Czy istnieje zamówienie, mandat albo abonament, którego może dotyczyć komunikat? Czy należność jest widoczna po samodzielnym zalogowaniu do oficjalnego konta? Czy nazwa odbiorcy i kwota na ekranie banku odpowiadają temu, co zamierzasz opłacić? Czy powiadomienie BLIK lub autoryzacja karty opisują dokładnie tę operację, którą przed chwilą rozpocząłeś? Niewielka „dopłata” bywa przynętą do przejęcia pełnych danych karty. W kampanii podszywającej się pod usługę subskrypcyjną fałszywa strona nie ograniczała się do rzekomego anulowania opłaty, lecz zbierała dane osobowe i płatnicze.
Jeśli na oficjalnym koncie nie ma takiej należności, nie płać „na wszelki wypadek”. Zadzwoń do instytucji pod samodzielnie znaleziony numer i opisz treść bez odczytywania haseł, kodów SMS ani pełnego numeru karty. Prawdziwy konsultant nie potrzebuje kodu BLIK, hasła do bankowości czy kodu autoryzacyjnego, aby wyjaśnić, czy firma wysłała powiadomienie. Z kolei prośba znajomego o pilny przelew powinna zostać potwierdzona innym kanałem, najlepiej rozmową pod znanym numerem. Przejęte konto komunikatora może pisać poprawnym stylem właściciela i znać kontekst wcześniejszych rozmów.
Co zrobić po odczytaniu, kliknięciu albo podaniu danych?
Samo otrzymanie i przeczytanie treści najczęściej nie oznacza przejęcia telefonu ani konta. Nie klikaj, nie odpowiadaj, nie pobieraj załącznika i nie skanuj kodu QR. Potwierdź sprawę poza wiadomością, zachowaj potrzebne dowody, zgłoś próbę, a następnie ją usuń. Nie można jednak z każdego przypadku wyprowadzić gwarancji zerowego ryzyka, ponieważ aplikacje pocztowe mogą ładować zewnętrzne elementy śledzące, a podatności oprogramowania się zdarzają. Aktualny system i aplikacje ograniczają to ryzyko.
Jeśli link został otwarty, ale nie podano danych, nie pobrano pliku i nie zaakceptowano żadnego monitu, zamknij stronę. Sprawdź listę pobranych plików oraz to, czy przeglądarka nie poprosiła o zgodę na powiadomienia, instalację profilu lub aplikacji. Nie wracaj na stronę, aby „zobaczyć jeszcze raz”. Samo kliknięcie nie jest równoznaczne z utratą pieniędzy, ale granica zmienia się, gdy użytkownik coś zainstalował, zalogował się, wpisał dane karty albo zatwierdził operację.
Po podaniu hasła zmień je niezwłocznie z zaufanego, aktualnego urządzenia, wyloguj inne sesje i włącz uwierzytelnianie wieloskładnikowe. Jeżeli to samo hasło było używane gdzie indziej, zmień je także w tych usługach, zaczynając od poczty, ponieważ skrzynka często służy do resetowania pozostałych kont. Po ujawnieniu danych karty, kodu BLIK, danych bankowości albo zatwierdzeniu podejrzanej operacji natychmiast skontaktuj się z bankiem przez oficjalny numer, zastrzeż lub zablokuj instrument płatniczy zgodnie z instrukcją banku i sprawdź transakcje. Po instalacji nieznanej aplikacji, profilu zarządzania lub programu do zdalnego pulpitu odłącz urządzenie od sieci i skorzystaj z fachowej pomocy. Jeżeli doszło do straty pieniędzy, kradzieży tożsamości lub innego przestępstwa, zawiadom Policję albo prokuraturę. Szczegółowy plan pierwszych działań rozwija materiał Kliknąłem podejrzany link lub podałem dane: co robić krok po kroku?.
Gdzie zgłosić phishing i jakie dowody zachować?
Podejrzany SMS zawierający złośliwy link można przekazać do CERT Polska na numer 8080, używając funkcji przekazania lub udostępnienia wiadomości. Numer przyjmuje SMS-y, a nie połączenia ani MMS-y. Podejrzaną stronę, e-mail i inne zdarzenie można zgłosić przez formularz incydent.cert.pl. Zgłoszenia przyjmuje również usługa „Bezpiecznie w sieci” w aplikacji mObywatel. CERT analizuje zagrożenie i może wykorzystać zgłoszenie do ochrony innych użytkowników, lecz zgłoszenie do zespołu reagowania nie zastępuje pilnego kontaktu z bankiem ani zawiadomienia organów ścigania, gdy doszło już do szkody.
Przed usunięciem wiadomości zachowaj to, co może mieć znaczenie: zrzut ekranu, datę i godzinę, widocznego nadawcę, pełny adres e-mail, treść, adres strony zapisany w bezpiecznej postaci oraz identyfikatory transakcji. W przypadku e-maila warto zachować oryginalną wiadomość wraz z nagłówkami, a nie wyłącznie jej zdjęcie. Nie przesyłaj znajomym aktywnego linku ani podejrzanego załącznika „do oceny”, bo w ten sposób zwiększasz ryzyko kolejnego kliknięcia. Gdy pieniądze już wyszły z rachunku, historia operacji, potwierdzenia kontaktu z bankiem i chronologia zdarzeń mogą pomóc przy reklamacji i zawiadomieniu.
Najbezpieczniejsza wiadomość to nie ta, która wygląda znajomo, lecz ta, której treść udało się potwierdzić poza nią.
Najczęstsze pytania o podejrzane wiadomości
Samo odczytanie treści najczęściej nie prowadzi do przejęcia konta ani telefonu. Ryzyko wyraźnie rośnie po kliknięciu, pobraniu pliku, instalacji aplikacji, podaniu danych lub zatwierdzeniu operacji. System i aplikacje warto aktualizować, a zewnętrznych elementów podejrzanej wiadomości nie otwierać.
Tak. Podszycie pod identyfikator nadawcy może sprawić, że telefon umieści fałszywy SMS w istniejącym wątku znanej instytucji. CERT Polska opisywał takie przypadki. Wątek, nazwa nadawcy i logo nie zastępują niezależnej weryfikacji.
Nie. Kłódka i HTTPS oznaczają szyfrowane połączenie z otwartą domeną, ale nie potwierdzają uczciwości właściciela strony. Witryna phishingowa również może mieć poprawny certyfikat.
SMS ze złośliwym linkiem można przekazać do CERT Polska na numer 8080. Najlepiej użyć funkcji przekazania lub udostępnienia wiadomości, aby zachować jej treść. Inne incydenty zgłasza się przez incydent.cert.pl albo usługę Bezpiecznie w sieci w aplikacji mObywatel.
Zamknij stronę, nie akceptuj monitów i sprawdź, czy nie pobrano pliku, nie włączono powiadomień ani nie zainstalowano aplikacji lub profilu. Zaktualizuj przeglądarkę i system. Jeśli coś pobrano albo urządzenie zachowuje się nietypowo, skorzystaj z pomocy technicznej.
Nie jest to rola CERT Polska. Zespół analizuje i ogranicza zagrożenia. Po ujawnieniu danych płatniczych lub utracie pieniędzy trzeba natychmiast skontaktować się z bankiem, zabezpieczyć konta i zawiadomić Policję albo prokuraturę. Zgłoszenie incydentu nadal warto wysłać do CERT.
Sprawdzamy
Źródła
- Kontakt i zgłaszanie incydentów
- Lista ostrzeżeń przed niebezpiecznymi stronami
- Czym jest phishing i jak nie dać się nabrać na podejrzane wiadomości e-mail oraz SMS-y
- Bezpiecznie w sieci
- SMS o mandacie? To może być próba wyłudzenia danych
- Dostałeś wiadomość, że nie udało się dostarczyć twojej paczki?
- Uważaj na fałszywe powiadomienia z serwisów streamingowych
Udostępnij artykuł
Preferowane źródła Google
Chcesz częściej trafiać na odpowiedzi Dociekliwie?
Dodaj Dociekliwie do swoich preferowanych źródeł Google.
