Dostajesz wiadomość, że Twoje konto zostanie zablokowane, jeśli nie potwierdzisz danych. Logo się zgadza, a pod przyciskiem czeka znajomy formularz logowania. Z kolei na służbową skrzynkę może trafić równie przekonująca prośba o pilne opłacenie faktury. W obu sytuacjach oszust liczy na to, że zareagujesz, zanim zastanowisz się na chłodno i sprawdzisz szczegóły. Zobacz, jak rozpoznać phishing i bezpiecznie weryfikować takie prośby, a także co zrobić, jeśli już podasz dane.
Czym jest phishing i dlaczego fałszywa wiadomość może wyglądać jak prawdziwa?
Przestępcy podszywają się pod banki, sklepy, urzędy i osoby, którym ufasz. W ten sposób próbują nakłonić Cię na przykład do ujawnienia hasła, przekazania kodu BLIK albo wysłania pieniędzy. Na tym polega phishing: zamiast pokonywać zabezpieczenia urządzenia, oszust wykorzystuje wiarygodnie przedstawioną historię, aby skłonić Cię do “połknięcia haczyka” działania.
Nie musi przy tym wymyślać niczego nadzwyczajnego. Gdy czekasz na paczkę, informacja o problemie z doręczeniem pasuje do Twojej sytuacji. Jeśli zajmujesz się rozliczeniami, prośba kontrahenta o przelew może wyglądać jak kolejna sprawa do załatwienia. Taki kontakt łatwo potraktować rutynowo, zwłaszcza w codziennym natłoku obowiązków.
Dlatego szukanie literówek i niezgrabnych zdań nie wystarcza. Fałszywa wiadomość może być napisana poprawnie, zawierać znajome logo i trafić do Ciebie w odpowiednim momencie. Nie musi też przyjść e-mailem ani SMS-em. Zdarza się, że do oszustwa prowadzi reklama, kod QR lub prośba wysłana z przejętego konta znajomego na Facebooku.
Sama nazwa nadawcy nie potwierdza więc autentyczności kontaktu. Zanim odpowiesz na prośbę, sprawdź, czego dotyczy i gdzie masz ją wykonać.
Czy samo kliknięcie w link jest groźne?
Jeśli otworzysz podejrzaną stronę, nie musisz od razu zakładać, że ktoś przejął Twój telefon albo opróżnił konto. W typowym phishingu oszust potrzebuje jeszcze Twojego udziału. Chce, żebyś wypełnił formularz, zatwierdził operację lub zainstalował wskazany program. Samo wyświetlenie witryny zwykle nie wystarcza do kradzieży pieniędzy czy zainfekowania urządzenia.
Są jednak wyjątki: przestępca może wykorzystać błąd w przeglądarce lub systemie, aby zainfekować sprzęt już podczas otwierania strony, bez podawania danych czy instalowania czegokolwiek przez użytkownika. Takie ataki są rzadkie i zwykle wymierzone w konkretne osoby, ale i tak trzeba na nie uważać. Dlatego potrzebne są również regularne aktualizacje, które usuwają znane luki bezpieczeństwa.
Czego naprawdę chce oszust?
Phishing może prowadzić do utraty pieniędzy, przejęcia konta albo kradzieży tożsamości. Aby to osiągnąć, oszust przedstawia swoją prośbę jako zwykłą czynność: logowanie, drobną płatność czy weryfikację danych. Zobacz, co może się za nią kryć:
Przejęcie konta. Wiadomość odsyła Cię do podrobionego panelu logowania. Gdy wpisujesz tam na przykład hasło do poczty, bankowości lub firmowego systemu, przekazujesz je przestępcy.
Kradzież danych karty. Rzekomy kurier żąda niewielkiej dopłaty. Formularz wygląda jak płatność za dostawę, ale służy do przejęcia numeru karty, daty ważności i kodu CVV. Dzięki tym danym oszust może później próbować płacić Twoimi pieniędzmi.
Wyłudzenie pieniędzy przez BLIK. Ktoś twierdzi, że potrzebuje Twojego kodu, żeby przesłać Ci zapłatę za sprzedany przedmiot. W rzeczywistości kod służy do płatności lub wypłaty z Twojego konta, a nie do odbierania przelewów.
Zatwierdzenie operacji bankowej. Oszust przekonuje, że musisz wpisać kod z wiadomości SMS, żeby odebrać pieniądze. W rzeczywistości możesz w ten sposób zatwierdzić na przykład dodanie jego urządzenia do Twojej bankowości. Dlatego przeczytaj całą wiadomość od banku: sprawdź, do czego służy kod, a jeśli dotyczy płatności, również kwotę i odbiorcę.
Kradzież tożsamości. Pod pretekstem weryfikacji ktoś żąda Twojego numeru PESEL, zdjęcia dowodu lub selfie z dokumentem. Później może wykorzystać te informacje, aby podszyć się pod Ciebie, na przykład przy próbie wyłudzenia pożyczki.
Zainstalowanie szkodliwego programu. Oszust przesyła „aplikację banku” lub „aktualizację” do pobrania poza oficjalnym sklepem. Zamiast obiecanego narzędzia możesz zainstalować oprogramowanie służące do kradzieży danych.
Uzyskanie zdalnego dostępu. Rzekomy konsultant prosi o uruchomienie programu, dzięki któremu ma „pomóc” w rozwiązaniu problemu. Jeśli udzielisz mu dostępu, może wykonywać działania na Twoim komputerze, a więc na przykład wysyłać wiadomości z konta pocztowego, instalować złośliwe oprogramowanie albo kopiować firmowe lub prywatne dokumenty.
Uruchomienie niebezpiecznego polecenia. Podrobiona captcha, czyli test mający sprawdzać, czy jesteś człowiekiem, każe skopiować tekst i wkleić go do okna systemowego. To nie jest weryfikacja: wklejona komenda może uruchomić instalację złośliwego oprogramowania.
Nie oceniaj więc prośby wyłącznie po jej uzasadnieniu. Sprawdź, co faktycznie zatwierdzasz, komu udostępniasz informacje i na jakiej stronie je wpisujesz.
Jak sprawdzić, na jakiej stronie naprawdę jesteś?
Jeśli strona otwarta z linku w wiadomości budzi Twoje podejrzenia, nie wpisuj na niej danych. Nawet gdy wygląda dokładnie tak, jak serwis Twojego banku czy sklepu, może być jego kopią. W rozpoznaniu oszustwa pomaga sprawdzenie adresu widocznego w pasku przeglądarki.
Sprawdź domenę, czyli nazwę strony w adresie. Posłużymy się wymyślonym przykładem: Twój bank korzysta z domeny mojbank-fajnefinanse.com. Adres mojbank-fajnefinanse.com.potwierdzenie.com prowadzi jednak do witryny potwierdzenie.com. Znajoma nazwa na początku ma Cię przekonać, że jesteś we właściwym miejscu. Dlatego nie wystarczy znaleźć w adresie słowa kojarzącego się z daną firmą. Trzeba porównać całą domenę z tą, której rzeczywiście używa.
Jeśli nie pamiętasz prawidłowego adresu, nie ryzykuj. Otwórz używaną wcześniej aplikację lub skorzystaj z zapisanej, sprawdzonej zakładki. Nie traktuj też pierwszego wyniku wyszukiwania jako potwierdzenia: oszuści mogą wykupić reklamę prowadzącą do fałszywej strony.
Po czym poznać podejrzaną prośbę?
Oprócz adresu przyjrzyj się temu, jak nadawca próbuje skłonić Cię do działania. Ostrożność powinny wzbudzić w szczególności:
Presja czasu – groźba blokady konta lub odesłania przesyłki z powrotem do nadawcy ma sprawić, że zareagujesz bez zastanowienia.
Silne emocje – wiadomość o nieznanej transakcji albo problemach bliskiej osoby wywołuje strach, a obietnica wygranej zachęca do szybkiego odebrania nagrody.
Niewielka dopłata – kilka złotych może wydawać się kwotą niewartą sprawdzania, podczas gdy oszustowi tak naprawdę chodzi o dane podawane przy płatności.
Nieznany kontakt – na przykład wiadomość z numeru lub adresu e-mail, którego nie rozpoznajesz. Szczególną ostrożność zachowaj, gdy nadawca podaje się za kogoś bliskiego.
Nietypowy sposób załatwienia sprawy – rzekomy kupujący chce przenieść rozmowę z serwisu ogłoszeniowego na komunikator i tam przesyła instrukcje odbioru zapłaty.
Błędy językowe lub nietypowy styl – dziwne sformułowania, nienaturalna składnia czy sposób pisania wyraźnie odbiegający od wcześniejszych wiadomości mogą sugerować, że ktoś podszywa się pod nadawcę.
Brak tych sygnałów nie oznacza, że wiadomość jest bezpieczna. Oszust może pisać poprawnie i bez ponaglania. Może też korzystać z przejętego konta znajomego, więc nawet znany nadawca nie daje pewności, kto naprawdę się z Tobą kontaktuje.
Dlatego prośbę o pieniądze lub dane potwierdź inną drogą. Do znajomego zadzwoń pod numer, który masz już zapisany. Z bankiem lub sklepem skontaktuj się przez używaną wcześniej aplikację albo sprawdzoną stronę. Nie korzystaj przy tym z numerów ani linków podanych w wiadomości, którą chcesz zweryfikować.
Phishing w firmie: co działa inaczej?
Do wyłudzenia firmowych pieniędzy nie zawsze potrzebna jest fałszywa strona. Oszust może podszyć się pod dostawcę i poinformować, że fakturę trzeba opłacić na nowy rachunek. Pracownik wykonuje pozornie zwykłe zadanie, ale przelew trafia do przestępcy.
Dlatego firma powinna mieć stałą zasadę potwierdzania zmian danych do płatności. Zanim księgowość użyje nowego numeru konta, powinna sprawdzić go u kontrahenta, dzwoniąc pod znany wcześniej numer. Podobnej weryfikacji wymaga nietypowa prośba o przelew od osoby podającej się za przełożonego. Presja czasu ani stanowisko nadawcy nie powinny zwalniać z tego obowiązku.
Pracownicy muszą też wiedzieć, komu zgłaszać podejrzane wiadomości i własne pomyłki. Jeśli ktoś podał służbowe hasło na fałszywej stronie, osoba odpowiedzialna za IT powinna dowiedzieć się o tym od razu. Przejęta skrzynka może posłużyć do wysyłania kolejnych próśb o pieniądze lub dane, tym razem do współpracowników i klientów.
W zgłaszaniu takich sytuacji nie może przeszkadzać strach przed karą czy wyśmianiem. Szybka reakcja pomaga ograniczyć skutki oszustwa, a ochronę pracowników warto dodatkowo wesprzeć narzędziami blokującymi niebezpieczne strony i wiadomości.
Jakie zabezpieczenia pomagają chronić konta?
Czujność i samodzielne sprawdzanie wiadomości warto wesprzeć narzędziami, które pomagają uniknąć przekazania danych oszustowi. Niektóre z nich rozpoznają właściwą witrynę, nawet gdy Tobie trudno odróżnić ją od podrobionej kopii.
Menedżer haseł zapisuje hasło razem z domeną serwisu, do którego ono należy. Na fałszywej stronie pod innym adresem nie zaproponuje więc jego automatycznego uzupełnienia. Jeśli podpowiedź nagle nie pojawia się tam, gdzie zwykle, potraktuj to jako znak ostrzegawczy – nie wpisuj danych ręcznie bez sprawdzenia, skąd ta zmiana. A jeśli nie masz jeszcze menedżera haseł, polecamy Bitdefender SecurePass – możesz kupić go w naszym sklepie na Allegro.
Na uwagę zasługują również passkeys, czyli klucze dostępu, które pozwalają logować się bez tradycyjnego hasła. Są powiązane z konkretną usługą, więc strona podszywająca się pod nią nie uzyska prawidłowego potwierdzenia logowania. Nie ma tu danych, które można wyłudzić przez podrobiony formularz.
Podobną ochronę zapewnia klucz sprzętowy zgodny z FIDO2: niewielkie urządzenie, którym potwierdzasz logowanie. Może zastępować hasło albo stanowić dodatkowe zabezpieczenie po jego wpisaniu. W obu przypadkach sprawdza właściwą domenę i nie potwierdzi dostępu na jej fałszywej kopii. Więcej o działaniu, konfiguracji i wyborze modelu przeczytasz w naszym poradniku o kluczach sprzętowych.
Jeśli korzystasz z hasła, warto też włączyć uwierzytelnianie dwuskładnikowe, czyli dodatkowe potwierdzenie logowania. Utrudnia ono przejęcie konta osobie, która poznała Twoje dane. Jeśli jednak potwierdzeniem jest kod z wiadomości SMS lub aplikacji, oszust może próbować go wyłudzić. Dlatego zawsze sprawdzaj, jaką czynność zatwierdzasz.
Zadbaj również o regularne aktualizacje systemu, przeglądarki i aplikacji. Usuwają one podatności wykorzystywane w rzadszych atakach, w których do zainfekowania urządzenia wystarcza samo otwarcie odpowiednio przygotowanej strony.
Oprogramowanie ochronne – dodatkowe zabezpieczenie przed phishingiem
Weryfikację wiadomości i zabezpieczenia logowania warto uzupełnić o program, który będzie wykrywał podejrzane strony. Jeśli rozpozna witrynę służącą do wyłudzania danych, może zablokować jej otwarcie. To dodatkowa ochrona na wypadek, gdy klikniesz fałszywy link, bo wiadomość nie wzbudzi Twoich podejrzeń.
Takie możliwości oferują między innymi rozwiązania Bitdefender, dostępne w pakietach domowych i firmowych. Jako autoryzowany partner tej marki możemy pomóc Ci dobrać ochronę do Twoich potrzeb i urządzeń, z których korzystasz.
Bitdefender do użytku domowego
Pakiety domowe pomagają blokować strony podszywające się pod banki, sklepy czy inne zaufane serwisy. Przy wyborze wariantu zwróć uwagę na liczbę urządzeń objętych ochroną i używane systemy. Funkcje dostępne na komputerze z Windowsem nie muszą być takie same, jak na telefonie z Androidem lub iPhonie.
Bitdefender GravityZone dla firm
W firmie oprócz ochrony poszczególnych komputerów przydaje się możliwość zarządzania nimi z jednego miejsca. Tak działa Bitdefender GravityZone: pozwala administratorowi ustawiać zabezpieczenia dla wielu urządzeń, sprawdzać ich stan i kontrolować wykryte zagrożenia. Dostępna w ramach pakietu ochrona przed phishingiem pomaga blokować fałszywe witryny, zanim pracownik poda na nich służbowe dane.
GravityZone obejmuje różne warianty, w tym Business Security, Business Security Premium i Business Security Enterprise. Zakres ochrony można też rozszerzać za pomocą dodatkowych modułów, takich jak na przykład zabezpieczenie firmowej poczty. Nie trzeba jednak wybierać najbardziej rozbudowanej wersji, aby zacząć lepiej chronić urządzenia. Jeśli chcesz poznać różnice między poszczególnymi wariantami i sprawdzić, który z nich najlepiej sprawdzi się w Twojej firmie, zajrzyj do naszego artykułu porównawczego.
Co zrobić, jeśli podasz dane oszustowi?
Jeśli zorientujesz się, że dane trafiły do przestępcy, nie czekaj na nieznaną transakcję lub utratę dostępu do konta. Dalsze kroki zależą od tego, co udało mu się zdobyć:
Dane karty lub dostęp do bankowości – jak najszybciej skontaktuj się z bankiem i opisz sytuację. Jeśli ujawnisz dane karty, poproś o jej zablokowanie. Jeśli podasz login, hasło lub kod dotyczący bankowości, zgłoś możliwość przejęcia konta i ustal, jak je zabezpieczyć.
Hasło do poczty, portalu lub innej usługi – zmień je w tym serwisie oraz wszędzie tam, gdzie używasz takiego samego. Zakończ aktywne sesje, aby wylogować osoby zalogowane na innych urządzeniach. Sprawdź, czy z kontem nie połączono nieznanych sprzętów lub aplikacji, i włącz uwierzytelnianie dwuskładnikowe, jeśli jeszcze go nie używasz.
Dane dokumentu tożsamości – zastrzeż PESEL w aplikacji mObywatel, przez serwis www.mobywatel.gov.pl lub w urzędzie gminy.
Pieniądze – jeżeli wykonasz przelew na rzecz oszusta lub zobaczysz nieautoryzowaną płatność, natychmiast skontaktuj się z bankiem. Sprawę utraty środków zgłoś również policji.
Jeśli problem dotyczy służbowego konta lub firmowych danych, od razu powiadom osobę odpowiedzialną za IT. Gdy przestępca przejmie Twój profil społecznościowy, ostrzeż znajomych inną drogą: może próbować wyłudzić od nich pieniądze, podszywając się pod Ciebie.
Podejrzane wiadomości i strony warto zgłaszać również wtedy, gdy nie dojdzie do kradzieży. Skorzystaj z formularza na incydent.cert.pl, a podejrzanego SMS-a przekaż na numer 8080. Takie zgłoszenie pomaga chronić kolejne osoby przed wyłudzeniem.
Ochrona przed phishingiem w pigułce – o czym trzeba pamiętać?
Gdy dostajesz prośbę o pieniądze, dane lub wykonanie nietypowej czynności, pamiętaj o kilku zasadach:
nie traktuj znajomej nazwy nadawcy, poprawnego języka ani wyglądu strony jako dowodu autentyczności,
nie wpisuj danych na stronie, która budzi podejrzenia – sprawdź jej domenę, a sprawę wyjaśnij za pomocą znanej aplikacji lub sprawdzonego kontaktu,
prośby o przelew, zmianę rachunku lub przekazanie poufnych informacji potwierdzaj inną drogą niż ta, którą przyszły,
przed użyciem kodu lub zatwierdzeniem operacji przeczytaj, czego dotyczy potwierdzenie,
zabezpiecz logowanie do ważnych kont i regularnie aktualizuj używane oprogramowanie,
jeśli przekażesz dane oszustowi, od razu podejmij działania, zamiast czekać na widoczne skutki.
Presja czasu jest powodem do większej ostrożności. Lepiej potwierdzić prośbę przed wykonaniem przelewu, niż później próbować odzyskać utracone pieniądze.
A jeśli potrzebujesz pomocy w zabezpieczeniu swoich urządzeń lub firmowych komputerów, napisz do nas. Sprawdzimy, z jakich systemów korzystasz, dobierzemy odpowiednią ochronę i pomożemy jej wdrożeniu.
