W ostatnim czasie CERT Orange Polska ostrzega przed nową falą oszustw wymierzonych w klientów polskich banków. Cyberprzestępcy wykorzystują socjotechnikę, aby wyłudzić dane logowania i ukraść pieniądze z kont bankowych. Jak działają i jak się zabezpieczyć przed tymi oszustwami?
Jak działają cyberprzestępcy?
Hakerzy wykorzystują socjotechnikę, aby wzbudzić panikę i skłonić użytkowników do pochopnych działań. Wśród stosowanych przez nich taktyk można wymienić:
* Tworzenie poczucia pilności: wiadomości informują o rzekomym wygaśnięciu dostępu do konta lub konieczności weryfikacji tożsamości.
* Błędy językowe i nietypowe znaki: oszuści celowo używają literówek oraz znaków diakrytycznych, aby obejść filtry antyspamowe.
* Fałszywe domeny internetowe: linki w wiadomościach prowadzą do stron łudząco podobnych do oficjalnych serwisów bankowych.
Przykłady fałszywych wiadomości
CERT Orange Polska udostępnił przykłady rzeczywistych wiadomości phishingowych, które trafiły do klientów banków:
* Alior Bank: „Twoje Alior-Mobile kontó wygaśa dnia 17/09/2024, uk oncz weryfikację aby uniknąć źáblokowania konta. Link z instrukcja weryfikacji: hxxps://alior.016945[.]com”
* BNP Paribas: „Twoja rejestracja mobilna wygasa16.09.24. odblokuj tutaj hxxps://bnp.044008[.]com”
* Santander: „[SANTANDER] Twoje Santánder-Mobile kontó wygasa dnía, 16/09/2024, Ukóncz weryfíkacje aby uníknac zàblokowaníá konta. Link: SnataBiombile[.]com”
* Pekao: „Rejestracja Peopay-Mobile wygasa 13.10.24. zapobiec blokowaniu: hxxps://peopeka024[.]com/l/logowanie/e”
Każda z tych wiadomości zawiera celowo zmienione znaki i podejrzane adresy stron, mające na celu oszukanie odbiorcy i ominięcie systemów bezpieczeństwa.
Jak rozpoznać fałszywy SMS?
Eksperci ds. cyberbezpieczeństwa wskazują kilka kluczowych elementów, które mogą świadczyć o próbie oszustwa:
* Nietypowe błędy językowe – literówki, dziwne znaki diakrytyczne i nieskładne zdania.
* Nieznane adresy stron – jeśli link nie prowadzi do oficjalnej domeny banku, to znak ostrzegawczy.
* Presja czasowa – informacja o rzekomym blokowaniu konta „dzisiaj” lub „natychmiastowej konieczności działania” ma na celu wywołanie paniki.
* Prośby o dane logowania – banki nigdy nie proszą o logowanie poprzez linki w wiadomościach SMS.
Co zrobić, jeśli otrzymasz podejrzany SMS?
CERT Orange Polska apeluje o zachowanie szczególnej ostrożności. Oto kilka kluczowych zasad bezpieczeństwa:
* Nigdy nie klikaj w linki w wiadomościach SMS – jeśli masz wątpliwości, wejdź na stronę banku, wpisując adres ręcznie w przeglądarce.
* Nie podawaj danych logowania – jeśli bank potrzebuje kontaktu, zrobi to przez oficjalną aplikację lub telefonicznie.
* Zgłoś podejrzany SMS – banki oraz CERT Polska mają specjalne adresy, na które można przesyłać fałszywe wiadomości.
* Zainstaluj aplikację antyphishingową – wiele banków oferuje darmowe narzędzia do ochrony użytkowników przed oszustwami.
Nowe kontrole w ramach DAC-7
Warto dodać, że fałszywe SMS-y to tylko część problemu. W najbliższych miesiącach zacznie się fala kontroli podatkowych związanych z przepisami DAC-7, które dotyczą platform sprzedażowych, takich jak Allegro, OLX czy Vinted. Nowe regulacje wymagają, aby platformy sprzedażowe przekazywały fiskusowi dane o sprzedawcach. Termin na dostarczenie informacji minął 31 stycznia 2025 roku, co oznacza, że już wkrótce organy skarbowe mogą zacząć weryfikację użytkowników, którzy regularnie sprzedają przedmioty online.
Rosnąca skala zagrożeń – jak się zabezpieczyć?
Według CERT Polska liczba ataków phishingowych stale rośnie. W 2022 roku zgłoszono ponad 25 tysięcy takich przypadków, co stanowiło aż 64% wszystkich cyberprzestępstw. Ofiarami oszustów najczęściej padają osoby mniej obeznane z nowoczesnymi technologiami, a także te, które działają pod presją czasu i nie weryfikują informacji.
Co zrobić, jeśli padłeś ofiarą oszustwa?
Jeśli nieświadomie podałeś swoje dane na fałszywej stronie lub kliknąłeś w podejrzany link, natychmiast wykonaj następujące kroki:
* Zablokuj dostęp do konta bankowego – skontaktuj się z bankiem i poproś o blokadę wszelkich transakcji.
* Zmień hasła – jeśli używałeś tego samego hasła w kilku miejscach, natychmiast je zmień.
* Zgłoś sprawę na policję i do CERT Polska – odpowiednie instytucje mogą podjąć działania mające na celu zminimalizowanie strat.
Zachowanie ostrożności i zdrowy rozsądek to najlepsza broń przeciwko oszustom. Pamiętaj, że bank nigdy nie poprosi Cię o kliknięcie w link z SMS-a – a jeśli coś budzi Twoje wątpliwości, lepiej sprawdzić dwa razy niż stracić oszczędności życia.