Phishing – jak rozpoznać fałszywe SMS-y i maile

Dostajesz SMS-a: „Twoja przesyłka czeka na opłatę 1,49 zł. Kliknij tutaj." Albo maila: „Twoje konto bankowe zostanie zablokowane – zaloguj się natychmiast." To phishing – jedna z najpopularniejszych metod kradzieży danych i pieniędzy w Polsce.

Czym jest phishing?

Phishing to atak polegający na podszywaniu się pod zaufaną instytucję (bank, urząd, InPost, Allegro, ZUS) w celu wyłudzenia danych logowania, danych karty płatniczej lub dostępu do telefonu. Nazwa pochodzi od angielskiego „fishing" – oszust zarzuca przynętę i czeka aż ofiara się złapie.

Najpopularniejsze przykłady w Polsce

SMS od „InPostu" lub „DHL"

„Twoja paczka nr 483920 oczekuje na dopłatę 2,49 zł. Zapłać tutaj: inpost-platnosc.pl" – Klikasz, wchodzisz na stronę łudząco podobną do InPostu, wpisujesz dane karty i tracisz wszystkie pieniądze z konta, nie 2,49 zł.

Mail od „banku"

„Wykryliśmy podejrzaną aktywność na Twoim koncie. Zaloguj się natychmiast, aby je odblokować." Link prowadzi do fałszywej strony banku. Wpisujesz login i hasło – oddajesz je oszustowi.

SMS od „ZUS" lub „Urzędu Skarbowego"

„Masz zaległość podatkową. Zapłać teraz lub zostanie wszczęte postępowanie." Wywołuje panikę i skłania do kliknięcia bez zastanowienia.

Jak rozpoznać phishing? 5 sygnałów

• Nadawca wygląda podejrzanie – mail z adresu inpost@inpost-dostawa.com zamiast @inpost.pl
• Adres URL jest fałszywy – legit: www.inpost.pl / fałszywy: inpost-platnosc.pl, in-post.eu. Zawsze patrz na cały adres.
• Wiadomość wywołuje presję – „Masz 24 godziny", „Konto zostanie zablokowane"
• Proszą o dane karty lub hasło – żaden bank, InPost ani urząd nigdy nie prosi o hasło przez maila lub SMS
• Literówki i dziwna polszczyzna – tłumaczenia maszynowe często zawierają błędy

Co zrobić jeśli kliknąłeś w podejrzany link?

1. Nie wpisuj żadnych danych – jeśli tylko kliknąłeś, ale nic nie wpisałeś, ryzyko jest mniejsze.
2. Jeśli wpisałeś hasło – natychmiast je zmień na wszystkich serwisach gdzie używasz tego samego.
3. Jeśli podałeś dane karty – zadzwoń do banku i zastrzeż kartę.
4. Jeśli zainstalowała się aplikacja – przywróć telefon do ustawień fabrycznych.
5. Zgłoś phishing do CERT Polska: incydent.cert.pl