Phishing

Prostym językiem

Phishing polega na tym, że oszust udaje kogoś zaufanego: bank, firmę kurierską, urząd, sklep internetowy, operatora telefonu, platformę sprzedażową, dostawcę prądu, pracownika pomocy technicznej albo znajomego. Może wysłać e-mail, SMS, wiadomość w komunikatorze, reklamę, kod QR, fałszywy link albo zadzwonić. Celem jest nakłonienie ofiary do kliknięcia, wpisania loginu i hasła, podania danych karty, kodu BLIK, kodu SMS, zatwierdzenia przelewu, zainstalowania aplikacji do zdalnego pulpitu albo przekazania innych poufnych informacji. Najczęściej wykorzystuje pośpiech, strach, ciekawość, autorytet lub obietnicę korzyści.

Dla dziecka

Wyobraź sobie, że ktoś przebrany za nauczyciela prosi Cię o hasło do szkolnego konta. Wygląda wiarygodnie, ale tak naprawdę chce wejść na Twoje konto i zrobić coś złego. W internecie oszuści robią podobnie: udają bank, sklep, kuriera albo znaną osobę i próbują namówić Cię do kliknięcia linku albo podania tajnych danych. Hasło, kod z SMS-a, kod BLIK i dane karty są jak klucze do sejfu — nie wolno ich podawać komuś, kto sam o nie prosi.

Dla zaawansowanych

Phishing jest formą ataku socjotechnicznego, w którym napastnik wykorzystuje zaufanie, presję czasu, autorytet, strach, chciwość, ciekawość lub nieuwagę ofiary, aby doprowadzić do ujawnienia informacji poufnych albo wykonania niekorzystnej czynności. Atak może być masowy lub ukierunkowany i może wykorzystywać e-mail, SMS, komunikator, media społecznościowe, reklamy, fałszywe strony, kody QR, połączenia telefoniczne, złośliwe załączniki, przejęte konta, podszywanie się pod domeny lub spoofing numeru telefonu. W sektorze finansowym celem są najczęściej dane uwierzytelniające do bankowości elektronicznej, dane kart płatniczych, kody jednorazowe, tokeny sesyjne, kody BLIK, zdalne przejęcie urządzenia, nakłonienie do przelewu lub zaciągnięcia zobowiązania. Ochrona wymaga połączenia edukacji użytkownika, filtracji wiadomości, weryfikacji domen, silnego uwierzytelniania, limitów transakcyjnych, monitoringu behawioralnego, procedur antyfraudowych i szybkiej reakcji incydentowej. Samo uwierzytelnianie dwuskładnikowe nie eliminuje ryzyka, jeśli użytkownik zostanie nakłoniony do samodzielnego zatwierdzenia szkodliwej operacji.

Przykład z życia

Anna otrzymuje SMS z informacją, że jej paczka została wstrzymana i trzeba dopłacić 2,49 zł. Wiadomość zawiera link do strony przypominającej stronę firmy kurierskiej. Formularz prosi o dane karty, kod CVV i kod z SMS-a. Anna nie klika dalej. Samodzielnie otwiera oficjalną aplikację przewoźnika i sprawdza numer przesyłki. Okazuje się, że żadnej dopłaty nie ma. Przekazuje podejrzany SMS do CERT Polska, usuwa wiadomość i zachowuje ostrożność. Gdyby podała dane karty, powinna natychmiast skontaktować się z bankiem, zastrzec kartę, sprawdzić historię operacji i zgłosić nieautoryzowane transakcje.

Najczęstsze błędy

1. Klikanie w link z wiadomości tylko dlatego, że wygląda jak wiadomość od banku, kuriera, urzędu lub znanej firmy.
2. Podawanie loginu, hasła, numeru karty, kodu CVV, kodu BLIK lub kodu SMS na stronie otwartej z linku w wiadomości.
3. Działanie pod presją czasu, np. po komunikacie „konto zostanie zablokowane” albo „dopłać natychmiast”.
4. Sprawdzanie tylko logo i wyglądu strony, bez analizy adresu URL, domeny i sensu całej sytuacji.
5. Instalowanie aplikacji do zdalnego pulpitu na prośbę osoby podającej się za bank, policję, brokera, urząd albo pomóc techniczną.
6. Zatwierdzanie operacji w aplikacji bankowej bez czytania, czego dokładnie dotyczy autoryzacja.
7. Przekazywanie kodu BLIK lub kodu autoryzacyjnego osobie, która pisze z przejętego konta znajomego.
8. Logowanie się do banku przez link z reklamy, e-maila, SMS-a, komunikatora albo kodu QR z niepewnego źródła.
9. Zakładanie, że wiadomość jest prawdziwa, bo zawiera imię, numer zamówienia, nazwę banku albo część danych osobowych.
10. Otwieranie załączników z fakturą, wezwaniem do zapłaty lub potwierdzeniem, jeśli nadawca jest nieznany albo wiadomość wygląda nietypowo.
11. Brak aktualizacji systemu, przeglądarki, aplikacji bankowej i zabezpieczeń urządzenia.
12. Używanie tego samego hasła w wielu serwisach, co ułatwia przejęcie kolejnych kont po jednym wycieku danych.
13. Ignorowanie powiadomień banku o logowaniu, zmianie urządzenia, nowym odbiorcy przelewu albo aktywacji płatności.
14. Zbyt późny kontakt z bankiem po podaniu danych lub autoryzacji podejrzanej operacji.
15. Wierzenie, że znany numer telefonu na ekranie zawsze potwierdza prawdziwość rozmówcy.
16. Brak kopii dowodów: SMS-a, adresu strony, numeru telefonu, zrzutów ekranu i potwierdzeń operacji.

Najważniejsze wnioski

Phishing wykorzystuje podszywanie się i manipulację, a nie tylko techniczną lukę w komputerze.
Najbezpieczniej nie klikać w linki do logowania z wiadomości i samodzielnie wpisywać adres banku, urzędu lub sklepu.
Nigdy nie należy podawać haseł, kodów BLIK, kodów SMS, danych karty ani instalować zdalnego pulpitu na prośbę niezweryfikowanej osoby.
Przed autoryzacją trzeba czytać treść komunikatu w aplikacji bankowej: kwotę, odbiorcę, rodzaj operacji i urządzenie.
Podejrzane SMS-y w Polsce można przekazywać do CERT Polska na numer 8080, a incydenty zgłaszać przez oficjalny formularz.
Po podejrzeniu oszustwa należy natychmiast skontaktować się z bankiem, zastrzec kartę, zmienić hasła, wylogować urządzenia, zgłosić incydent i zabezpieczyć dowody.
Uwierzytelnianie dwuskładnikowe pomaga, ale nie chroni, jeśli użytkownik sam zatwierdzi fałszywą operację.

Pytania i odpowiedzi

P: Co to jest phishing?
O: To oszustwo polegające na podszywaniu się pod zaufaną osobę, firmę lub instytucję w celu wyłudzenia danych, pieniędzy albo dostępu do konta.

P: Jak rozpoznać podejrzaną wiadomość?
O: Uważaj na presję czasu, groźbę blokady konta, dopłatę do przesyłki, nietypowy link, błędy językowe, prośbę o dane logowania, kod BLIK, kod SMS, dane karty albo instalację dodatkowej aplikacji.

P: Czy wiadomość z prawdziwym logo firmy może być fałszywa?
O: Tak. Oszuści łatwo kopiują logo, kolory i układ stron. Ważniejsze jest źródło wiadomości, adres strony, treść żądania i to, czy sytuacja ma sens.

P: Czy bank może poprosić o hasło lub kod SMS przez telefon?
O: Nie należy podawać takich danych osobie dzwoniącej lub piszącej. Jeśli rozmowa budzi wątpliwości, rozłącz się i samodzielnie zadzwoń na oficjalną infolinię banku.

P: Co zrobić, jeśli kliknąłem podejrzany link, ale nic nie wpisałem?
O: Zamknij stronę, nie pobieraj plików, sprawdź urządzenie i zachowaj ostrożność. Jeśli pobrałeś plik albo podałeś dane, działaj jak po incydencie.

P: Co zrobić po podaniu danych logowania?
O: Natychmiast skontaktuj się z bankiem lub operatorem konta, zmień hasło z bezpiecznego urządzenia, wyloguj aktywne sesje, włącz uwierzytelnianie dwuskładnikowe i sprawdź historię operacji.

P: Co zrobić po podaniu danych karty?
O: Jak najszybciej zastrzeż kartę w banku, sprawdź transakcje, zgłoś nieautoryzowane operacje i zachowaj wiadomości oraz zrzuty ekranu jako dowody.

P: Czy kod BLIK jest bezpieczny?
O: Jest bezpieczny, jeśli używasz go świadomie. Nie podawaj kodu osobie, która prosi o niego przez komunikator, nawet jeśli wygląda jak znajomy. Przed zatwierdzeniem zawsze sprawdź kwotę i rodzaj operacji.

P: Czym różni się smishing od vishingu?
O: Smishing wykorzystuje wiadomości SMS, a vishing rozmowy telefoniczne. Oba mechanizmy mają ten sam cel: skłonić ofiarę do ujawnienia danych lub wykonania szkodliwej operacji.

P: Czy fałszywy telefon może wyglądać jak połączenie z banku?
O: Tak. Oszuści mogą podszywać się pod numer telefonu, dlatego samo wyświetlenie znanego numeru nie potwierdza autentyczności rozmowy.

P: Co to jest spear phishing?
O: To ukierunkowany atak dopasowany do konkretnej osoby lub firmy. Przestępcy wykorzystują wcześniej zebrane informacje, dlatego taka wiadomość może wyglądać bardzo wiarygodnie.

P: Co to jest QR phishing?
O: To oszustwo wykorzystujące kod QR prowadzący do fałszywej strony płatności, logowania albo pobrania złośliwego pliku. Nie skanuj kodów z niepewnego źródła bez weryfikacji.

P: Gdzie zgłosić podejrzaną wiadomość?
O: Podejrzane SMS-y można przekazać na numer 8080, a incydenty i podejrzane strony zgłosić przez oficjalny formularz CERT Polska. W sprawach bankowych trzeba również szybko skontaktować się z bankiem.

P: Jak zmniejszyć ryzyko?
O: Używaj unikalnych haseł, menedżera haseł, uwierzytelniania dwuskładnikowego, aktualnego oprogramowania, limitów transakcyjnych i zasady samodzielnego wpisywania adresów ważnych serwisów.

P: Co zrobić po nieautoryzowanej transakcji?
O: Jak najszybciej skontaktuj się z bankiem przez oficjalną infolinię, zgłoś transakcję, zmień dane logowania, zastrzeż kartę, zabezpiecz dowody i zawiadom odpowiednie służby.

Źródła

Źródło: CERT Polska, formularz zgłoszenia incydentu — https://incydent.cert.pl/
Źródło: Gov.pl, zgłaszanie podejrzanych SMS-ów i e-maili do CERT Polska — https://www.gov.pl/web/baza-wiedzy/dostales-niepokojacy-sms-albo-email-zglos-go-do-cert-polska-csirt-nask
Źródło: Gov.pl, „Phishing – widzisz, zgłaszaj” — https://www.gov.pl/web/baza-wiedzy/phishing--widzisz-zglaszaj
Źródło: CERT Polska, „Bezpieczny telefon” — https://cert.pl/bezpieczny-telefon/
Źródło: CERT Polska, komunikaty o fałszywych SMS-ach i kampaniach podszywających się pod firmy kurierskie — https://moje.cert.pl/
Źródło: KNF, phishingowe wiadomości SMS — https://www.knf.gov.pl/dla_konsumenta/kampanie_informacyjne/cyberoszustwa_inwestycyjne/schematy_oszustw/wiadomosci_sms
Źródło: KNF, cyberoszustwa inwestycyjne — https://www.knf.gov.pl/dla_konsumenta/kampanie_informacyjne/cyberoszustwa_inwestycyjne
Źródło: CEBRF/KNF, voice phishing — https://cebrf.knf.gov.pl/voice-phishing
Źródło: KNF, spear phishing — https://encyklopediacyberbezpieczenstwa.knf.gov.pl/component/content/article/spear-phishing?Itemid=101&catid=26
Źródło: UOKiK, nieautoryzowane transakcje — https://finanse.uokik.gov.pl/nieautoryzowane-transakcje/
Źródło: UOKiK, stanowisko w sprawie transakcji nieautoryzowanych — https://finanse.uokik.gov.pl/nieautoryzowane-transakcje/stanowisko-prezesa-uokik-w-sprawie-transakcji-nieautoryzowanych/