Otrzymujesz SMS lub e-mail z linkiem do banku? Nie klikaj, dopóki nie sprawdzisz wiadomości. Bank nie prosi przez link o hasło, PIN ani instalację aplikacji. Najbezpieczniej otworzyć oficjalną aplikację bankową albo samodzielnie wpisać adres banku w przeglądarce.
Czego bank nigdy nie zrobi?
Phishing to wyłudzanie danych za pomocą wiadomości, stron internetowych lub rozmów, które mają wyglądać jak kontakt z bankiem. Przestępcy wykorzystują socjotechnikę, czyli wywołują strach, pośpiech albo ciekawość, aby skłonić odbiorcę do nieprzemyślanego działania.
Bank może informować o zmianach, operacjach czy konieczności kontaktu z konsultantem, ale dane logowania i kody należy podawać wyłącznie w oficjalnym kanale. Szczególnie podejrzane są prośby o:
- podanie hasła, PIN-u, kodu autoryzacyjnego lub pełnych danych karty przez stronę otwartą z wiadomości,
- natychmiastowe potwierdzenie tożsamości pod groźbą blokady rachunku,
- instalację aplikacji, certyfikatu albo programu do zdalnej obsługi przez przesłany link,
- przekazanie pieniędzy na „konto techniczne” lub „bezpieczny rachunek”.
Sam numer lub nazwa nadawcy nie potwierdzają autentyczności SMS-a. Wiadomość może zostać wyświetlona w tej samej konwersacji co wcześniejsze, prawdziwe komunikaty banku.
Jak sprawdzić adres URL przed kliknięciem?
Nie otwieraj podejrzanego odnośnika nawet po to, aby „tylko zobaczyć, co się stanie”. Na telefonie możesz przytrzymać link, aby wyświetlić jego podgląd, ale nie wybieraj opcji otwarcia. Na komputerze najedź kursorem na odnośnik i odczytaj pełny adres wyświetlany w przeglądarce.
Najważniejsza jest domena, czyli zasadnicza nazwa znajdująca się przed końcówką, taką jak .pl czy .com. W adresie bank.pl.bezpieczenstwo.com właściwą domeną jest bezpieczenstwo.com, a nie bank.pl. Fragment „bank.pl” jest tam tylko subdomeną i może służyć do stworzenia fałszywego wrażenia.
Zwróć uwagę na literówki, dodatkowe znaki, myślniki oraz nietypową końcówkę. Przykładowo adres zawierający nazwę banku przed inną domeną, taki jak bank-pl.com, nie jest tym samym co oficjalna domena bank.pl. Nawet poprawnie wyglądający adres nie daje jednak pełnej pewności, dlatego do logowania najlepiej użyć aplikacji bankowej lub adresu wpisanego ręcznie.
Weryfikację adresu przeprowadź w następującej kolejności:
- Nie klikaj linku, tylko wyświetl jego pełny adres.
- Przeczytaj domenę od prawej strony i sprawdź, do kogo faktycznie należy.
- Poszukaj literówek, dodatkowych członów i nietypowej końcówki.
- Zamknij wiadomość i otwórz bank przez oficjalną aplikację albo ręcznie wpisaną stronę.
Jak odróżnić prawdziwą wiadomość od fałszywej?
Pojedynczy sygnał nie zawsze rozstrzyga sprawę, ale zestaw kilku cech powinien skłonić do przerwania kontaktu. Poniższa tabela pomaga szybko porównać typowe elementy wiadomości:
| Cecha | Wiadomość prawdziwa | Wiadomość fałszywa |
|---|---|---|
| Nadawca | Może być rozpoznawalny, ale sama nazwa nie jest dowodem autentyczności | Numer, adres lub nazwa zawierają nietypowe znaki albo podszywają się pod bank |
| Link | Bank nie kieruje do logowania przez przypadkowy odnośnik w wiadomości | Adres zawiera literówki, obcą domenę, skrócony link lub wiele podejrzanych członów |
| Ton | Informacja jest rzeczowa i nie wymusza natychmiastowej reakcji | Wiadomość straszy blokadą, utratą środków lub nakazuje działać natychmiast |
| Prośba o dane | Bank nie żąda hasła ani PIN-u przez link | Strona prosi o login, hasło, PIN, kod SMS lub dane karty |
Co zrobić, gdy podejrzewasz oszustwo?
Nie próbuj rozstrzygać sprawy przez link zawarty w wiadomości. Szybka reakcja jest ważna, ale nie powinna oznaczać rezygnacji z weryfikacji. Postępuj tak:
- Nie klikaj odnośnika i nie odpowiadaj na wiadomość.
- Otwórz aplikację bankową niezależnie od SMS-a lub e-maila i sprawdź komunikaty oraz historię operacji.
- Skontaktuj się z bankiem, korzystając z numeru podanego na oficjalnej stronie, w aplikacji albo na odwrocie karty.
- Zgłoś podejrzaną wiadomość bankowi, a w razie potrzeby także CERT Polska.
Co zrobić, jeśli podałeś już dane?
Nie czekaj na rozwój sytuacji. Jeśli wpisałeś login, hasło, PIN, kod autoryzacyjny lub dane karty na podejrzanej stronie, skontaktuj się z bankiem oficjalnym kanałem i wyraźnie powiedz, że mogło dojść do phishingu.
Wykonaj następujące czynności:
- natychmiast zmień hasło do bankowości elektronicznej, korzystając z oficjalnej aplikacji lub strony,
- poproś bank o zablokowanie dostępu i zastrzeżenie karty, jeśli przekazałeś jej dane,
- sprawdź historię rachunku i zgłoś każdą nieautoryzowaną transakcję,
- zgłoś incydent bankowi oraz CERT Polska, zachowując wiadomość, adres strony i zrzuty ekranu.
Najbezpieczniejsza zasada brzmi: nie loguj się do banku z linku otrzymanego w SMS-ie lub e-mailu. Wejdź przez aplikację albo wpisz adres ręcznie, a każdą presję czasu traktuj jako sygnał ostrzegawczy.
Artykuł nie stanowi porady finansowej. W przypadku podejrzenia przejęcia danych lub nieautoryzowanych transakcji skontaktuj się niezwłocznie ze swoim bankiem.
