Cichy mechanizm głośnych wyłudzeń - czyli jak nie dać się nabrać na fałszywe formularze
„Zarejestrowano nieautoryzowane logowanie, kliknij tutaj, żeby potwierdzić dane.”
Brzmi znajomo? Właśnie tak zaczyna się wiele prób wyłudzenia danych i pieniędzy. Cyberprzestępcy coraz częściej wykorzystują fałszywe formularze, które wyglądają niemal identycznie jak strony banków, operatorów płatności, firm kurierskich czy popularnych usług internetowych. Nie trzeba włamywać się do systemu, jeśli można przekonać użytkownika, żeby sam podał swoje dane.
Ważne: BLIK nie wysyła formularzy do logowania ani weryfikacji danych.
O wiadomościach od oszustów podszywających się pod BLIKA pisaliśmy już w paru artykułach (link, link). Jednak gdy w grę wchodzi bezpieczeństwo, warto wielokrotnie przypominać wszystkie informacje, które pozwalają je zachować.
Tak więc warto pamiętać, że BLIK nigdy nie poprosi o:
- podawanie hasła przez formularz wysłany e-mailem lub SMS-em,
- „pilną” weryfikację danych przez link,
- przesyłanie zdjęć dokumentów,
- dopłaty do usług przez zewnętrzne formularze.
Radzimy, by w przypadku otrzymania wiadomości, która wzbudza wątpliwości – zawsze weryfikować ją innym źródłem i nie ulegać presji czasu albo emocji, które często próbują wywrzeć oszuści.
Jak działają fałszywe formularze?
Mechanizm jest prosty. Otrzymujemy wiadomość z linkiem prowadzącym do strony, która wygląda wiarygodnie. Logo, kolory, wszystko się zgadza. Formularz przypomina ten, który być może widzieliśmy już wcześniej. Główna różnica jest taka, że dane nie trafiają do prawdziwej firmy, tylko do oszustów.
Najczęściej chodzi o:
- loginy i hasła,
- dane kart płatniczych,
- kody SMS do weryfikacji wieloskładnikowej,
- dane osobowe, zdjęcia dokumentów
- dane do bankowości internetowej.
Co zrobić, by szybko rozpoznać fałszywy formularz? Zapraszamy do poradnika.
-
Zwracaj uwagę na adres strony internetowej z formularzem.
Cyberprzestępcy często tworzą adresy łudząco podobne do prawdziwych, licząc na pośpiech i nieuwagę użytkowników.
Zachowaj czujność i…
- Sprawdź, czy w adresie strony nie ma literówek, które trudno wyłapać na pierwszy rzut oka – np. wielka litera „i” zamiast „l” albo zbitka głosek „rn” zamiast „m”.
- Zwróć uwagę na dodatkowe, „wiarygodne" słowa w adresie strony (bank-logowanie24.com) albo nietypowe końcówki domen (np. zastępują końcówkę adresu [nazwasklepu].pl, końcówką [nazwasklepu].shop albo [nazwasklepu].store) – mogą wzbudzić podejrzenia!
- Przyjrzyj się dokładnie długim adresom strony , np. secure-bank.verify-user-login.com. Warto pamiętać, że właściwa nazwa domeny (właściwy adres strony) znajduje się bezpośrednio przed ukośnikiem – np. https://www.com/. Przykładowo adres nazwabanku.pl.scam-site.com/ w rzeczywistości doprowadzi do domeny scam-site.com, a nie do banku.
-
Zapamiętuj dane logowania w przeglądarce.
Po przekierowaniu na stronę podszywającą się pod używane przez nas usługi, przeglądarka nie wprowadzi lub nie zaproponuje wprowadzenia naszego loginu i hasła.
Zachowaj czujność i…
Chcąc wejść na stronę banku albo inną stronę wymagającą logowania, skorzystaj z zakładki z zapisaną stroną i wyraź zgodę na uzupełnienie formularza przez manager haseł. W ten sposób uda się uzupełnić wyłącznie „zapamiętany” wcześniej formularz, zapisany na oficjalnej, bezpiecznej stronie.
-
Weryfikuj informacje o konieczności dopłaty
Jedną z często stosowanych metod oszustów, mających na celu wyłudzenie pieniędzy albo danych są wiadomości SMS lub e-mail z informacją o konieczności dopłaty kilku złotych do paczki. Link z wiadomości prowadzi do formularza płatności łudząco przypominającego stronę banku lub operatora płatności. Uzupełnienie formularza może doprowadzić do bezpowrotnej utraty środków.
Zachowaj czujność i…
…w przypadku otrzymania niespodziewanej lub podejrzanej wiadomość w sprawie dopłaty do usług, zawsze weryfikuj otrzymaną informację. Możesz skorzystać z oficjalnych kanałów kontaktowych danej firmy. Ważne – nigdy nie klikaj w linki z podejrzanych wiadomości.
-
Stosuj dwuetapowe formy logowania i nie ulegaj presji oszustów
Oszuści bardzo często podszywają się pod popularne usługi pocztowe i chmurowe. „Skrzynka pocztowa może zostać zablokowana” – do wiadomości o takim tytule często dołączony jest odnośnik do strony logowania wyglądającej niemal identycznie jak oryginał. Po wpisaniu loginu i hasła przestępcy mogą przejąć konto, dając początek kolejnym problemom:
- resetowaniu haseł,
- przejmowaniu innych kont,
- wysyłania wiadomości w naszym imieniu,
- prób wyłudzeń wobec znajomych i bliskich.
Zachowaj czujność i…
…zminimalizuj ryzyko związane z przejęciem konta poprzez ustawienie uwierzytelnienia wieloskładnikowego podczas logowania do skrzynki email i kont w mediach społecznościowych. Unikatowy kod z aplikacji weryfikującej, SMS lub weryfikacja za pomocą biometrii to dobre przykłady, które dodatkowo chronią nas przed potencjalnymi wyciekami danych.
-
Ostrożnie dziel się swoimi danymi w sieci
Coraz częściej celem przestępców są nie tylko pieniądze, ale również dane osobowe. Cyberprzestępcy mogą wykorzystać popularne narzędzia takie jak Google Forms, Microsoft Forms, czy DocuSign. W fałszywym formularzu może pojawić się prośba o:
- numer PESEL,
- zdjęcie dowodu osobistego,
- selfie,
- adres zamieszkania,
- dane kont bankowych.
Takie informacje mogą zostać wykorzystane do podszywania się pod ofiarę – na przykład przy zakładaniu kont, zaciąganiu zobowiązań czy omijaniu procedur bezpieczeństwa. To właśnie jeden z mechanizmów wykorzystywanych w oszustwach związanych z impersonacją i podszywaniem się pod inne osoby. O tym zjawisku szerzej opowiada nasza kampania #stoppodszywaczom. o której przeczytacie na stronie podszywacze.pl.
Zachowaj czujność i…
…dziel się tylko tymi danymi, które są niezbędne, a wypełniając formularze i ankiety, upewnij się dokąd trafią Twoje dane i kto będzie ich administratorem.
Fałszywe formularze działają dlatego, że wyglądają zwyczajnie. Nie przypominają „hakowania z filmów”. Często wzbudzają zaufanie swoim profesjonalizmem i wiarygodnością. Dlatego najskuteczniejszą ochroną pozostaje uważność – dobre nawyki pomogą nam ochronić się przed utratą pieniędzy, danych osobowych i kontroli nad własną tożsamością.
W codziennym pośpiechu łatwo kliknąć automatycznie, dlatego warto wyrobić kilka prostych nawyków:
- Sprawdzajmy adres strony – literówka, dodatkowy znak albo dziwna końcówka domeny mogą oznaczać próbę oszustwa.
- Nie działajmy pod presją czasu – „ostatnie ostrzeżenie”, „konto zostanie zablokowane”, „działaj natychmiast” – to częsty element manipulacji.
- Nie podawajmy danych „na wszelki wypadek” – jeśli formularz prosi o więcej informacji niż zwykle, zachowajmy ostrożność.
- Weryfikujmy wiadomości innym kanałem – warto zadzwonić do firmy lub samodzielnie wejść na jej oficjalną stronę zamiast klikać w link.
- Włączajmy dodatkowe zabezpieczenia – uwierzytelnianie wieloskładnikowe i powiadomienia o logowaniu mogą pomóc szybciej wykryć próbę przejęcia konta.
Kilka sekund ostrożności może oszczędzić wielu problemów.
