Wiadomość o paczce, która czeka na drobną dopłatę, okazyjna stancja blisko uczelni, sklep z cenami niższymi niż wszędzie indziej. Oszuści dobrze wiedzą, co interesuje studentów i jak mało czasu mają oni na sprawdzanie każdego linku. CERT Polska, zespół działający w NASK, od lat opisuje te schematy i podpowiada, jak się przed nimi bronić. Zebraliśmy najważniejsze zasady: od haseł i weryfikacji dwuetapowej po to, co zrobić, gdy już się kliknęło — a na końcu możesz sprawdzić, czy sam dałbyś się złapać.
Najpopularniejsza sztuczka jest prosta: ofiara dostaje wiadomość, która udaje komunikat banku, kuriera, urzędu albo znajomego, a w niej link do strony do złudzenia przypominającej prawdziwą. Tam ma się zalogować, podać dane karty albo zapłacić. CERT Polska opisuje, że takie linki prowadzą często do fałszywych bramek płatności lub podrobionych stron bankowości. Kwota bywa symboliczna, np. „tylko 3 zł”, ale po wpisaniu danych oszust może przejąć całe konto.
Dlatego zanim ktoś kliknie w link z SMS-a, maila, kodu QR czy komunikatora, powinien zastanowić się, czy w ogóle spodziewał się takiej prośby. Przy dopłatach do przesyłek eksperci radzą sprawdzić status paczki bezpośrednio na stronie lub w aplikacji przewoźnika, a nie przez odnośnik z wiadomości.
Wspólny mianownik większości oszustw to pośpiech. Wiadomość straszy odcięciem usługi, windykacją, policją albo kusi ofertą ważną tylko przez chwilę. Według CERT Polska właśnie taka presja powinna wzbudzić czujność. Emocje wykorzystywane są też w wiadomościach od „znajomych”: przestępcy przejmują konta w mediach społecznościowych i proszą kontakty o szybki przelew. Najlepsza reakcja to telefon do tej osoby na numer zapisany wcześniej w kontaktach.
Warto też czytać potwierdzenia z banku. Jeśli w SMS-ie lub aplikacji widać inny rodzaj operacji niż oczekiwany, inną kwotę albo prośbę o dodanie zaufanego odbiorcy, trzeba przerwać transakcję.
Szukanie mieszkania przed semestrem i zakupy w sieci to kolejne pola do nadużyć. W przypadku portali ogłoszeniowych CERT Polska zaleca, by rozmowy i płatności prowadzić wyłącznie oficjalnymi kanałami serwisu. Link z rzekomym „potwierdzeniem wpłaty” niczego nie dowodzi — liczy się to, czy pieniądze faktycznie dotarły. Ta sama logika chroni przed wpłatą kaucji za pokój, którego nikt nie zamierza wynająć.
Przed zakupem w nieznanym sklepie internetowym warto sprawdzić kilka rzeczy:
Eksperci przypominają też, że kłódka przy adresie strony nie oznacza, że sklep jest uczciwy. Więcej wskazówek zawiera poradnik o fałszywych sklepach.
Rekomendacje CERT Polska w sprawie haseł sprowadzają się do trzech zasad: co najmniej 14 znaków, różne hasła do różnych usług i włączona weryfikacja dwuetapowa. Długie hasło nie musi być trudne do zapamiętania — wystarczy połączyć kilka słów w zabawne zdanie. Przy wielu kontach pomaga menedżer haseł, np. wbudowany w przeglądarkę lub telefon. Co ciekawe, hasła nie trzeba zmieniać regularnie, tylko wtedy, gdy istnieje podejrzenie, że ktoś je poznał.
Weryfikacja dwuetapowa oznacza, że poza hasłem trzeba potwierdzić logowanie jeszcze w inny sposób: jednorazowym kodem, w aplikacji albo specjalnym kluczem USB. Dzięki temu samo wykradzione hasło nie wystarczy do przejęcia konta. Szczególnie opłaca się ją włączyć przy poczcie, mediach społecznościowych i bankowości. Zapasowe kody jednorazowe należy przechowywać w bezpiecznym miejscu. Instrukcje dla popularnych serwisów zebrano na stronie o weryfikacji dwuetapowej.
Smartfon to dziś portfel, legitymacja i skrzynka pocztowa w jednym. Podstawą są regularne aktualizacje systemu, które łatają znalezione luki. Aplikacje najlepiej instalować tylko z oficjalnych sklepów i przed instalacją sprawdzać, o jakie uprawnienia proszą. Hasła, PIN-u ani danych karty nie podaje się w odpowiedzi na SMS lub maila. Przed wpisaniem danych trzeba spojrzeć na adres domeny w pasku przeglądarki. W publicznym Wi-Fi poufne dane wpisuje się tylko na stronach szyfrowanych (HTTPS). Według CERT Polska dla większości użytkowników wbudowane zabezpieczenia systemu wystarczą, a większym zagrożeniem niż klasyczne wirusy jest manipulacja.
CERT Polska uspokaja, że samo kliknięcie w link w znaczącej większości przypadków nie jest niebezpieczne. Problem zaczyna się wtedy, gdy na fałszywej stronie ktoś poda login, hasło albo dane karty, lub gdy uruchomi podejrzany plik. W załącznikach od nieznanych nadawców szczególnie uważać trzeba na pliki takie jak .exe, .js, .iso, .zip czy .rar oraz na dokumenty proszące o włączenie makr.
Jeśli dane już wyciekły lub pieniądze zniknęły, kolejność jest następująca:
Podejrzane SMS-y, nawet jeśli nikt się na nie nie nabrał, warto zgłaszać, przesyłając je na numer 8080.
Oszuści rzadko łamią zabezpieczenia technicznie. Zwykle liczą na pośpiech, zaufanie i chęć skorzystania z okazji. Kilka nawyków znacząco zmniejsza ryzyko: sprawdzanie adresu strony, płacenie tylko w oficjalnych kanałach, długie i różne hasła, weryfikacja dwuetapowa oraz aktualny telefon. A gdy coś pójdzie nie tak, liczy się szybka reakcja i zgłoszenie sprawy.
Artykuł powstał na podstawie poradników CERT Polska (NASK), m.in. o bezpieczeństwie telefonu i o bezpiecznych hasłach.
5 pytań · minuta
poleca:
