Phishing to oszustwo internetowe, w którym przestępca podszywa się pod bank, urząd, firmę lub znajomą osobę, aby wyłudzić dane, pieniądze albo nakłonić Cię do wykonania przelewu. Najważniejsza zasada brzmi: nie klikaj odruchowo, zweryfikuj nadawcę innym kanałem, a po podaniu danych natychmiast skontaktuj się z bankiem.
Czym jest phishing?
Phishing to rodzaj cyberprzestępstwa opartego na socjotechnice, czyli manipulowaniu zachowaniem człowieka. Oszust tworzy fałszywą wiadomość, stronę internetową, SMS lub rozmowę telefoniczną tak, aby wyglądały wiarygodnie. Celem może być zdobycie loginu i hasła, danych karty, numeru PESEL, kodu autoryzacyjnego albo nakłonienie ofiary do przelewu.
Nazwa nawiązuje do angielskiego fishing, czyli wędkowania. Przestępca zarzuca „przynętę” – na przykład informację o blokadzie konta, niedoręczonej paczce lub wygranej – i czeka, aż odbiorca podejmie oczekiwane działanie. Litery „ph” są często łączone z terminem phreaking, odnoszącym się do dawnych technik manipulowania systemami telefonicznymi.
Jak działają oszuści?
Atak phishingowy zwykle składa się z trzech elementów: wiarygodnego nadawcy, komunikatu wywołującego emocje oraz miejsca, w którym ofiara ma podać dane albo wykonać operację. Wiadomość może wyglądać jak korespondencja banku, firmy kurierskiej, operatora telekomunikacyjnego, urzędu lub portalu zakupowego.
Phishing nie musi wykorzystywać zaawansowanej luki technicznej. Często wystarczy, że odbiorca zaufa nazwie nadawcy, kliknie link i wpisze informacje na stronie przypominającej prawdziwy serwis. Człowiek staje się wtedy częścią mechanizmu ataku, choć nie oznacza to, że jest naiwny. Dobrze przygotowana wiadomość może trafić do osoby ostrożnej, zwłaszcza gdy pojawia się w odpowiednim momencie.
Oszuści najczęściej grają na kilku emocjach:
- strachu – „wykryto podejrzane logowanie”, „konto zostanie zablokowane”;
- presji czasu – „masz 15 minut na potwierdzenie danych”;
- ciekawości – „zobacz zdjęcia”, „sprawdź przesyłkę”;
- chciwości lub nadziei na korzyść – „wygrałeś nagrodę”, „otrzymasz zwrot pieniędzy”.
W atakach ukierunkowanych przestępcy wcześniej zbierają informacje o odbiorcy z mediów społecznościowych, stron firmowych lub publicznych rejestrów. Dzięki temu wiadomość może zawierać prawdziwe imię, nazwę stanowiska, dane kontrahenta albo szczegóły relacji biznesowej.
Rodzaje phishingu
Phishing może wykorzystywać różne kanały komunikacji. Najczęstsze odmiany różnią się przede wszystkim sposobem dotarcia do ofiary:
| Typ ataku | Kanał | Typowy cel |
|---|---|---|
| Phishing | E-mail lub komunikator | Wyłudzenie logowania, danych karty lub kliknięcie w złośliwy link |
| Smishing | SMS | Przekierowanie na fałszywą stronę płatności albo logowania |
| Vishing | Rozmowa telefoniczna | Wyłudzenie kodu, danych lub przelewu na „bezpieczne konto” |
| Spear phishing | E-mail, telefon lub komunikator | Spersonalizowany atak na konkretną osobę lub organizację |
Spear phishing jest bardziej ukierunkowany niż masowa kampania. Wiadomość może wyglądać jak polecenie od przełożonego, kontrahenta albo członka zarządu. Szczególną odmianą jest whaling, wymierzony w osoby decyzyjne, na przykład prezesów i dyrektorów finansowych. W środowisku firmowym podobne ataki mogą prowadzić do fałszywych przelewów lub ujawnienia danych przedsiębiorstwa.
Jak rozpoznać fałszywą wiadomość?
Nie każda podejrzana wiadomość zawiera błędy językowe. Coraz częściej oszuści przygotowują komunikaty poprawne i wizualnie podobne do oryginałów. Dlatego przed kliknięciem przeprowadź krótką weryfikację:
- Sprawdź pełny adres nadawcy, a nie tylko wyświetlaną nazwę. Literówka, dodatkowy znak lub nietypowa domena mogą wskazywać na fałszerstwo.
- Najedź kursorem na link bez klikania i odczytaj adres docelowy. Na telefonie nie otwieraj odnośnika, jeśli nie masz pewności, dokąd prowadzi.
- Zwróć uwagę na skrócone adresy i domeny łudząco podobne do prawdziwych. Sama kłódka lub przedrostek HTTPS nie potwierdza, że strona należy do właściwej instytucji.
- Oceń ton wiadomości. Groźby, presja czasu i polecenia natychmiastowego działania są częstym elementem socjotechniki.
- Nie ufaj niespodziewanym załącznikom, zwłaszcza fakturom, dokumentom i plikom o nietypowych rozszerzeniach.
- Sprawdź, czy treść ma sens w Twojej sytuacji. Jeśli nie czekasz na paczkę, wiadomość od kuriera powinna wzbudzić czujność.
- Nie przekazuj przez e-mail, SMS ani niezapowiedziany telefon pełnego hasła, PIN-u, kodu SMS, kodu z aplikacji lub numeru CVV.
Najbezpieczniejsza weryfikacja polega na samodzielnym otwarciu oficjalnej aplikacji lub wpisaniu adresu instytucji w przeglądarce. Nie korzystaj z numeru telefonu ani linku podanych w podejrzanej wiadomości. Jeśli dzwoni rzekomy pracownik banku, zakończ rozmowę i zadzwoń na numer znajdujący się na karcie lub oficjalnej stronie banku.
Co zrobić, gdy kliknąłem w link phishingowy?
Samo kliknięcie nie zawsze oznacza utratę pieniędzy, ale podanie danych lub zatwierdzenie operacji wymaga natychmiastowej reakcji. Nie czekaj, aż pojawi się nieautoryzowana transakcja.
Jeśli podałeś dane logowania, zmień je natychmiast z innego, zaufanego urządzenia i jak najszybciej skontaktuj się z bankiem.
Postępuj w następującej kolejności:
- Skontaktuj się z bankiem. Zadzwoń na oficjalną infolinię i poinformuj o phishingu. Poproś o blokadę karty, bankowości elektronicznej lub podejrzanych operacji. Jeśli doszło do przelewu, zgłoś go jako nieautoryzowany i złóż reklamację.
- Zabezpiecz konta. Z czystego urządzenia zmień hasło do bankowości, poczty elektronicznej i innych usług, w których używałeś tego samego lub podobnego hasła. Wyloguj aktywne sesje i włącz uwierzytelnianie wieloskładnikowe.
- Sprawdź urządzenie. Jeśli pobrałeś plik lub zainstalowałeś aplikację z podejrzanego źródła, odłącz urządzenie od sieci i przeskanuj je aktualnym narzędziem bezpieczeństwa. Przy podejrzeniu przejęcia urządzenia skorzystaj z pomocy specjalisty.
- Zachowaj dowody. Nie usuwaj wiadomości, numerów telefonów, adresów stron, potwierdzeń przelewów ani zrzutów ekranu. Mogą być potrzebne bankowi i organom ścigania.
- Zgłoś incydent. Przekaż informację Policji lub prokuraturze, a podejrzaną wiadomość albo stronę zgłoś do CERT Polska przez portal incydent.cert.pl. Warto powiadomić także instytucję, pod którą podszywał się oszust.
Jeśli kliknąłeś link, ale nie wpisałeś danych i nie pobrałeś pliku, zamknij stronę, usuń wiadomość i obserwuj konta. Gdy otworzyłeś załącznik, podałeś hasło, dane karty lub kod autoryzacyjny, traktuj sytuację jako pilną.
Czy bank zwróci pieniądze utracone przez phishing?
W przypadku nieautoryzowanej transakcji zastosowanie mogą mieć przepisy ustawy o usługach płatniczych wdrażającej dyrektywę PSD2. Co do zasady dostawca usług płatniczych powinien zwrócić kwotę transakcji, której klient nie zlecił i na którą nie wyraził zgody. Zgłoszenie trzeba przekazać bankowi niezwłocznie.
Bank może odmówić zwrotu albo zakwestionować reklamację, jeśli wykaże, że klient działał umyślnie lub dopuścił się rażącego niedbalstwa. Nie każda pomyłka lub ulegnięcie wiarygodnemu podszyciu automatycznie oznacza rażące niedbalstwo. Ocena zależy od konkretnych okoliczności, między innymi rodzaju przekazanych danych, sposobu autoryzacji i zachowania klienta.
W reklamacji opisz dokładnie przebieg zdarzeń, wskaż, że transakcja była nieautoryzowana, i dołącz dostępne dowody. Jeśli bank odmówi zwrotu, możesz zwrócić się do Rzecznika Finansowego, miejskiego lub powiatowego rzecznika konsumentów, a przy większej stracie także do prawnika. Pomoc tych instytucji nie zastępuje indywidualnej analizy sprawy.
Sam phishing może być kwalifikowany na gruncie różnych przepisów, zależnie od przebiegu zdarzenia. Wyłudzenie pieniędzy przez wprowadzenie w błąd może stanowić oszustwo, a ingerencja w przetwarzanie danych może podlegać przepisom dotyczącym oszustwa komputerowego. Kwalifikację prawną ustalają organy ścigania i sąd.
Jak chronić się przed phishingiem?
Ochrona opiera się na ograniczonym zaufaniu i oddzieleniu komunikatu od weryfikacji. Nawet jeśli wiadomość wygląda profesjonalnie, nie traktuj jej jako dowodu tożsamości nadawcy.
- Włącz uwierzytelnianie wieloskładnikowe na poczcie, w bankowości i w najważniejszych usługach.
- Używaj unikatowych haseł, najlepiej przechowywanych w menedżerze haseł.
- Aktualizuj system, przeglądarkę, aplikacje i narzędzia bezpieczeństwa.
- Loguj się do banku przez samodzielnie otwartą aplikację lub wpisany ręcznie adres.
- Nie podawaj kodu autoryzacyjnego, jeśli nie sprawdziłeś, jaką operację zatwierdza.
- Rozmawiaj z bliskimi i współpracownikami o aktualnych metodach oszustów, zwłaszcza o fałszywych telefonach i prośbach o przelew.
Phishing co to? To przede wszystkim manipulacja zaufaniem, a nie wyłącznie złośliwy link. Zatrzymanie się na chwilę, sprawdzenie nadawcy niezależnym kanałem i szybki kontakt z bankiem po incydencie często ograniczają skutki ataku.
Informacje dotyczące odpowiedzialności banku mają charakter ogólny i nie zastępują indywidualnej porady prawnej. W razie utraty środków lub sporu z bankiem skonsultuj sprawę z Rzecznikiem Finansowym albo prawnikiem.
