Phishing podszywający się pod bank zwykle wykorzystuje strach i pośpiech. Fałszywą wiadomość rozpoznasz po presji czasu, podejrzanym adresie, błędach językowych i prośbie o dane logowania. Bank nie wysyła w SMS-ach ani e-mailach linków do logowania oraz nigdy nie prosi tą drogą o hasło, kod SMS, kod BLIK ani instalację dodatkowej aplikacji.
Jak rozpoznać fałszywą wiadomość?
Oszuści mogą użyć SMS-a, e-maila lub komunikatora. Wiadomość często informuje o blokadzie konta, nietypowej aktywności, nieudanej płatności albo konieczności pilnego potwierdzenia danych. To przykład inżynierii społecznej – nadawca chce, abyś zareagował automatycznie, zanim sprawdzisz szczegóły.
Zwróć uwagę na sygnały, które można ocenić w kilkadziesiąt sekund:
- Presja czasu – komunikat mówi, że konto zostanie zablokowane za kilka godzin albo że musisz natychmiast potwierdzić transakcję.
- Błędy i nienaturalny język – literówki, dziwna składnia, niewłaściwe znaki diakrytyczne lub styl niepasujący do wcześniejszej korespondencji banku.
- Podejrzana domena – adres może przypominać nazwę banku, ale zawiera dodatkowe słowa, literówki albo inną końcówkę. Domena bank-logowanie.pl nie jest tym samym co bank.pl. Liczy się właściwa domena znajdująca się bezpośrednio przed końcówką, nie sama obecność nazwy banku w długim adresie.
- Brak personalizacji – zwroty typu „Szanowny Kliencie” nie przesądzają o oszustwie, ale w połączeniu z linkiem i presją powinny wzbudzić czujność.
- Żądanie poufnych informacji – prośba o login, hasło, pełny numer karty, kod CVV, kod SMS, kod BLIK lub numer PESEL jest sygnałem alarmowym.
- Nietypowe działanie – wiadomość nakłania do instalacji aplikacji, przekazania karty, przelewu na „konto techniczne” albo wyłączenia zabezpieczeń.
Nie ufaj wyłącznie nazwie nadawcy. Dzięki spoofingowi oszust może podszyć się pod adres e-mail lub numer telefonu instytucji. Przy e-mailu sprawdź pełny adres i, jeśli potrafisz, nagłówki wiadomości. Przy telefonie rozłącz się i samodzielnie wybierz oficjalny numer banku. Nie oddzwaniaj z historii połączeń, jeśli rozmowa wyglądała podejrzanie.
Adres strony sprawdzaj przed wpisaniem jakichkolwiek danych. Kłódka w przeglądarce oznacza szyfrowane połączenie, ale sama nie potwierdza, że strona należy do banku. Oszuści także mogą używać certyfikatów szyfrujących.
Czego bank nie zrobi?
Poniższe porównanie pomaga szybko odróżnić normalną komunikację od typowych żądań oszustów:
| Działanie | Czy bank to zrobi? | Jak zareagować? |
|---|---|---|
| Prośba o hasło do bankowości w SMS-ie lub e-mailu | Nie | Nie odpowiadaj i zgłoś wiadomość |
| Link do logowania wysłany w wiadomości | Nie | Nie klikaj, otwórz aplikację lub wpisz adres banku ręcznie |
| Prośba o kod BLIK, PIN albo kod SMS przez telefon | Nie | Rozłącz się i skontaktuj z bankiem oficjalnym kanałem |
| Prośba o instalację aplikacji do zdalnej obsługi | Nie | Nie instaluj programu i zakończ rozmowę |
| Powiadomienie o operacji w aplikacji | Może się pojawić | Przeczytaj dokładnie, co zatwierdzasz. Nie potwierdzaj operacji, której nie zlecałeś |
Techniczne uwierzytelnienie, na przykład wpisanie kodu SMS lub potwierdzenie w aplikacji, nie oznacza automatycznie świadomej autoryzacji konkretnej transakcji. Zawsze czytaj treść komunikatu. Jeżeli kwota, odbiorca lub rodzaj operacji się nie zgadza, przerwij proces.
Co zrobić, gdy masz wątpliwości?
Nie próbuj sprawdzać wiadomości przez jej link. Zastosuj krótką procedurę:
- Nie klikaj linku, nie otwieraj załącznika i nie odpowiadaj na wiadomość.
- Sprawdź pełny adres nadawcy oraz adres strony, ale nie wpisuj na niej danych.
- Otwórz aplikację banku albo ręcznie wpisz znany adres jego strony. Tam sprawdź komunikaty i historię operacji.
- Jeśli nadal masz wątpliwości, skontaktuj się z bankiem przez numer podany na oficjalnej stronie lub w aplikacji.
- Prześlij podejrzany SMS do CERT Polska na numer 8080 albo zgłoś incydent przez serwis incydent.cert.pl.
Zachowaj wiadomość, zrzuty ekranu i historię połączeń. Nie usuwaj dowodów, nawet jeśli wiadomość wygląda na oczywiste oszustwo. Mogą pomóc bankowi i organom ścigania w analizie kampanii.
Podałeś dane oszustowi – co teraz?
Działaj natychmiast, nawet jeśli nie widzisz jeszcze nieautoryzowanej transakcji. Szybki kontakt z bankiem może pozwolić na zablokowanie dostępu, karty lub przelewu.
- Skontaktuj się z bankiem oficjalnym kanałem i powiedz, że dane mogły zostać przejęte. Poproś o zablokowanie bankowości internetowej, kart oraz podejrzanych operacji.
- Zmień hasło do bankowości i wszędzie tam, gdzie używałeś tego samego hasła. Zrób to z bezpiecznego urządzenia.
- Jeśli podałeś dane karty, zastrzeż ją. Sprawdź historię rachunku i włącz powiadomienia o każdej transakcji.
- Zabezpiecz dowody – wiadomości, nagrania, potwierdzenia, historię połączeń i zrzuty ekranu.
- Złóż zawiadomienie na Policji, zwłaszcza gdy doszło do utraty pieniędzy, ujawnienia danych osobowych lub zaciągnięcia zobowiązania.
- Jeśli ujawniłeś numer PESEL, rozważ jego zastrzeżenie. W sprawie nieautoryzowanych transakcji złóż reklamację w banku, a w razie sporu możesz skorzystać także z pomocy Rzecznika Finansowego.
Nie zakładaj, że sprawa jest przegrana tylko dlatego, że w systemie widnieje potwierdzenie kodem SMS lub aplikacją. Uwierzytelnienie techniczne i świadoma autoryzacja konkretnej operacji to różne kwestie. Ocena odpowiedzialności zależy od przebiegu zdarzenia, rodzaju transakcji i zachowania wszystkich stron.
Nawyki, które ograniczają ryzyko
Przed kliknięciem dowolnego linku z wiadomości przejdź przez tę krótką checklistę:
- Sprawdzam, czy spodziewałem się tej wiadomości.
- Weryfikuję pełny adres nadawcy, a nie tylko wyświetlaną nazwę.
- Nie loguję się do banku z linku w SMS-ie, e-mailu ani komunikatorze.
- Czytam treść każdego kodu SMS i powiadomienia przed zatwierdzeniem.
- Korzystam z 2FA, aktualizuję system i aplikacje oraz ustawiam limity transakcji.
Najbezpieczniejszy odruch jest prosty: zatrzymaj się, nie działaj pod presją i sprawdź sprawę w aplikacji banku lub przez oficjalną infolinię. Przy podejrzeniu phishingu zgłoś wiadomość do CERT Polska, a po ujawnieniu danych nie czekaj na pierwszą stratę – natychmiast zablokuj dostęp i skontaktuj się z bankiem.
Artykuł ma charakter informacyjny i nie zastępuje indywidualnej porady prawnej ani konsultacji z bankiem lub właściwymi organami.
