Phishing to oszustwo oparte na podszywaniu się pod zaufaną osobę, firmę lub instytucję w celu wyłudzenia danych logowania, danych karty, numeru PESEL albo pieniędzy. Najważniejsza zasada ochrony brzmi: nie klikaj pochopnie, sprawdź nadawcę i zweryfikuj wiadomość innym kanałem.
Co to jest phishing?
Phishing jest metodą inżynierii społecznej. Przestępca nie musi przełamywać zabezpieczeń banku ani włamywać się do urządzenia. Zamiast tego próbuje nakłonić odbiorcę, aby sam podał poufne informacje, otworzył załącznik, wykonał przelew lub zatwierdził operację.
Nazwa nawiązuje do angielskiego fishing, czyli łowienia ryb. Fałszywa wiadomość pełni funkcję przynęty. Może wyglądać jak komunikat od banku, firmy kurierskiej, urzędu, operatora telekomunikacyjnego, sklepu internetowego, a nawet znajomego. Po kliknięciu link często prowadzi do witryny przypominającej prawdziwy serwis. Wpisane tam hasło, dane karty lub numer PESEL trafiają jednak do oszusta.
Phishing wykorzystuje przede wszystkim nieuwagę i emocje. Wiadomość może wywoływać strach, obiecywać nagrodę albo wymuszać działanie w krótkim terminie. Dlatego phishing nie jest przede wszystkim problemem technicznym, lecz próbą manipulacji człowiekiem.
Jakie są rodzaje phishingu?
Rodzaj ataku zależy głównie od kanału kontaktu z ofiarą:
| Typ ataku | Kanał komunikacji | Charakterystyka |
|---|---|---|
| Phishing | Fałszywa wiadomość podszywa się pod instytucję lub firmę i nakłania do kliknięcia, zalogowania się albo otwarcia załącznika. | |
| Smishing | SMS | Oszust wysyła wiadomość tekstową, często z linkiem do dopłaty za przesyłkę, blokady konta lub fałszywej płatności. |
| Vishing | Rozmowa telefoniczna | Przestępca udaje pracownika banku, urzędnika lub inną osobę zaufania publicznego i próbuje wyłudzić dane albo nakłonić do przelewu. |
Odmianą phishingu jest także spear phishing, czyli atak wymierzony w konkretną osobę lub organizację. Wiadomość może zawierać prawdziwe imię, stanowisko, nazwę firmy albo informacje znalezione w mediach społecznościowych. Personalizacja sprawia, że taki komunikat trudniej rozpoznać.
Jak rozpoznać phishing?
Nie należy oceniać wiadomości wyłącznie po logo ani wyglądzie. Fałszywa strona może być bardzo podobna do oryginalnej, a nazwa nadawcy wyświetlana w skrzynce nie zawsze pokazuje rzeczywisty adres. Podejrzaną wiadomość sprawdzaj w następującej kolejności:
- Sprawdź nadawcę. Rozwiń szczegóły adresu e-mail i zobacz, czy domena jest prawidłowa. Literówka, dodatkowy znak lub nietypowa końcówka mogą wskazywać na oszustwo. Sama nazwa wyświetlana obok wiadomości nie wystarcza.
- Przeanalizuj link bez klikania. Na komputerze najedź kursorem na odnośnik lub przycisk. Wyświetlony adres powinien prowadzić do właściwej domeny. Skrócone adresy i domeny łudząco podobne do prawdziwych wymagają szczególnej ostrożności.
- Sprawdź, czego żąda wiadomość. Prośba o hasło, pełny numer karty, kod CVV/CVC, kod autoryzacyjny lub numer PESEL powinna wzbudzić alarm. Nie wpisuj takich danych na stronie otwartej z linku w wiadomości.
- Oceń presję i emocje. Zwroty w rodzaju „zareaguj w ciągu 24 godzin”, „konto zostanie zablokowane” albo „potwierdź natychmiast” mają ograniczyć czas na spokojną weryfikację.
- Przeczytaj treść uważnie. Błędy językowe, dziwne tłumaczenia, brak polskich znaków, niespójne logo lub ogólne powitanie typu „Drogi Kliencie” są sygnałami ostrzegawczymi. Nie przesądzają jednak same o oszustwie, bo coraz lepiej przygotowane wiadomości mogą być poprawne językowo.
Najczęstsze czerwone flagi to:
- nieoczekiwana wiadomość od banku, kuriera, urzędu lub znajomego,
- link prowadzący do nieznanej albo skróconej domeny,
- prośba o dopłatę, przelew, dane logowania lub potwierdzenie tożsamości,
- groźba blokady konta, konsekwencji prawnych albo utraty przesyłki,
- nieoczekiwany załącznik lub oferta zbyt korzystna, aby była wiarygodna.
Najbezpieczniejsza procedura wygląda prosto:
- Nie odpowiadaj na wiadomość i nie klikaj zawartych w niej linków.
- Otwórz aplikację lub stronę instytucji, wpisując jej adres ręcznie albo korzystając z zapisanej zakładki.
- Skontaktuj się z firmą przez oficjalny numer telefonu i zapytaj, czy komunikat rzeczywiście został wysłany.
- Jeśli wiadomość jest fałszywa, oznacz ją jako spam i zgłoś do CERT Polska.
Jak chronić się przed phishingiem?
Podstawą jest zasada ograniczonego zaufania. Nie zakładaj, że wiadomość jest prawdziwa tylko dlatego, że używa znanego logo, zawiera Twoje imię albo pochodzi z numeru zapisanego w telefonie. Konto znajomego może być przejęte, a numer telefonu lub adres nadawcy może zostać sfałszowany.
Na co dzień stosuj następujące zasady:
- Włącz uwierzytelnianie dwuskładnikowe (2FA) wszędzie tam, gdzie jest dostępne.
- Używaj unikalnych haseł do różnych serwisów i przechowuj je w menedżerze haseł.
- Nie podawaj haseł, kodów autoryzacyjnych ani danych karty w odpowiedzi na e-mail, SMS lub telefon.
- Aktualizuj system, przeglądarkę i aplikacje, ponieważ aktualizacje usuwają znane luki bezpieczeństwa.
- Przed płatnością lub logowaniem przejdź do serwisu samodzielnie, zamiast korzystać z odnośnika w wiadomości.
- W przypadku prośby o przelew lub kod BLIK potwierdź ją bezpośrednio z konkretną osobą, na przykład podczas rozmowy na znany numer.
2FA nie zastępuje ostrożności, ale ogranicza skutki kradzieży hasła. Przestępca potrzebuje wtedy także drugiego składnika logowania, choć nie należy przekazywać mu kodów zatwierdzających żadną drogą.
Co zrobić po kliknięciu w podejrzany link?
Samo kliknięcie nie zawsze oznacza utratę pieniędzy, ale nie należy go ignorować. Ryzyko jest większe, jeśli na fałszywej stronie wpisano dane, pobrano plik, zainstalowano aplikację albo zatwierdzono operację w banku.
Jeśli podałeś dane bankowe lub dane karty, skontaktuj się z bankiem natychmiast, korzystając z oficjalnego numeru. Nie czekaj, aż pojawi się nieautoryzowana transakcja.
Po incydencie wykonaj te czynności:
- Skontaktuj się z bankiem. Poproś o zastrzeżenie karty, blokadę dostępu lub zabezpieczenie rachunku, jeśli przekazałeś dane bankowe albo dane karty. Sprawdź historię operacji i zgłoś każdą nieautoryzowaną transakcję.
- Zmień hasła. Zacznij od konta, którego dane zostały ujawnione. Jeśli tego samego hasła używałeś w innych serwisach, zmień je również tam. Sprawdź aktywne sesje, adresy odzyskiwania konta i włącz 2FA.
- Zabezpiecz urządzenie. Jeśli pobrałeś plik lub aplikację, odłącz urządzenie od sieci, usuń podejrzane oprogramowanie i wykonaj skanowanie aktualnym narzędziem ochronnym. Przy poważnych objawach skorzystaj z pomocy specjalisty.
- Zgłoś wiadomość do CERT Polska. Podejrzany SMS możesz przekazać na numer 8080. Incydenty internetowe można zgłaszać także przez formularz na stronie incydent.cert.pl.
- Zawiadom Policję, jeśli doszło do straty lub wyłudzenia danych. Przygotuj wiadomości, numery telefonów, adresy stron, potwierdzenia przelewów i zrzuty ekranu. Nie usuwaj dowodów przed ich zapisaniem.
- Monitoruj swoje dane. Jeżeli ujawniłeś numer PESEL lub inne dane tożsamości, rozważ jego zastrzeżenie i obserwuj informacje o próbach wykorzystania danych.
Nie instaluj oprogramowania polecanego przez osobę, która niespodziewanie dzwoni i twierdzi, że „naprawi” skutki ataku. Taki telefon może być kolejnym etapem oszustwa.
Czy samo kliknięcie w link jest niebezpieczne?
Tak, może być niebezpieczne, choć największe ryzyko zwykle pojawia się po wpisaniu danych na fałszywej stronie. Kliknięcie może jednak otworzyć stronę zawierającą próbę wykorzystania luki, rozpocząć pobieranie pliku albo potwierdzić, że adres jest aktywny. Jeśli niczego nie podałeś, zamknij stronę, nie otwieraj pobranych plików, zaktualizuj urządzenie i wykonaj skanowanie bezpieczeństwa.
W phishingu liczy się szybkość reakcji, ale nie panika. Zatrzymanie kontaktu, weryfikacja nadawcy, zabezpieczenie kont i szybkie powiadomienie banku znacznie ograniczają możliwe skutki ataku.
Artykuł ma charakter informacyjny i nie zastępuje indywidualnej porady specjalisty ds. cyberbezpieczeństwa, banku ani organów ścigania.
