Fałszywa strona logowania do banku

Jak działa to oszustwo

Wszystko zaczyna się od wiadomości, która ma wywołać jedną emocję: pośpiech. SMS wygląda mniej więcej tak:

“[Nazwa banku]: Wykryliśmy próbę nieautoryzowanego logowania na Twoje konto. Aby zabezpieczyć środki, zweryfikuj tożsamość: [link]”

Albo wariant z drugiej strony – zamiast straszyć, kusi:

“Otrzymałeś zwrot podatku w wysokości 437,21 zł. Aby odebrać środki, zaloguj się do bankowości: [link]”

Link prowadzi na stronę, która wygląda niemal identycznie jak prawdziwa bankowość internetowa – to samo logo, podobne kolory, czasem nawet pasek “bezpieczne połączenie”. Różni się tylko adres w pasku przeglądarki: zamiast na przykład mojbank.pl widnieje mojbank-logowanie24.com, mojbank.pl-bezpieczenstwo.info albo adres z literówką typu mojbnk.pl. Te różnice łatwo przeoczyć na telefonie, gdzie pasek adresu bywa obcięty.

Po wpisaniu loginu i hasła strona zwykle nie kończy się na tym. Pojawia się kolejny ekran: “Dla weryfikacji podaj kod SMS, który za chwilę otrzymasz” albo “Autoryzuj operację w aplikacji mobilnej”. W tym momencie oszust w czasie rzeczywistym loguje się na prawdziwej stronie banku Twoimi danymi i czeka na kod autoryzacyjny, który Ty właśnie wpisujesz na fałszywej stronie. Jeśli go podasz, przestępca dostaje zielone światło na przelew albo zmianę limitów konta. Bywa też, że kodu nie musi z Ciebie wyciągać — gdy wcześniej przejął Twój numer, wyrabiając duplikat karty SIM, SMS od banku trafia prosto do niego.

SMS to zresztą tylko jedna z dróg na taką stronę. Równie często ofiara trafia na nią z płatnej reklamy w wyszukiwarce, wyświetlanej nad prawdziwym wynikiem banku. Bywa i tak, że podrobiona strona nie jest w ogóle potrzebna: wystarczy, że ofiara uruchomi na swoim komputerze złośliwe oprogramowanie, na przykład przez fałszywą CAPTCHA, a hasła zapisane w przeglądarce wykradnie infostealer.

CSIRT KNF, czyli zespół reagowania na incydenty przy Komisji Nadzoru Finansowego, regularnie publikuje ostrzeżenia o kampaniach podszywających się pod konkretne banki – w ostatnich miesiącach dotyczyły one między innymi Santander Bank Polska i PKO BP. Podobny mechanizm CSIRT KNF opisywał też przy okazji fałszywych wiadomości od OtoMoto: ofiara, niezależnie od tego, czy coś sprzedaje, czy kupuje, trafia najpierw na stronę z listą banków do wyboru, a potem na łudząco podobny fałszywy panel logowania.

Zarówno CSIRT KNF, jak i policja podkreślają jedno: żaden bank nie prosi o podanie pełnego hasła, PIN-u ani kodu z SMS-a przez telefon, w wiadomości czy na infolinii. Jeśli ktoś o to prosi – niezależnie od tego, jak przekonująco brzmi – masz do czynienia z oszustwem.

Co zrobić, gdy to się dzieje

Jeśli kliknąłeś w link i wpisałeś dane, ale jeszcze nie potwierdziłeś żadnej transakcji – zamknij przeglądarkę i nie wpisuj niczego więcej, żadnego kodu SMS ani potwierdzenia w aplikacji.

Zadzwoń od razu na infolinię swojego banku (numer weź z karty płatniczej, umowy albo z oficjalnej aplikacji – nie z SMS-a czy strony, na której właśnie byłeś) i poproś o zablokowanie dostępu do bankowości internetowej oraz sprawdzenie historii logowań.

Jeśli zdążyłeś potwierdzić przelew albo podałeś kod autoryzacyjny – to samo zgłoszenie do banku jest jeszcze pilniejsze. Bank może zablokować środki, jeśli zdąży zareagować wystarczająco szybko, zanim pieniądze zostaną wyprowadzone dalej.

Zmień hasło do bankowości i włącz dodatkowe powiadomienia o logowaniach, jeśli bank je oferuje. Sprawdź też pocztę i inne konta, na których używałeś tego samego hasła – jeśli je powielałeś, zmień je wszędzie.

Zrób zrzuty ekranu wiadomości i strony, zanim ją zamkniesz na dobre – będą potrzebne przy zgłoszeniu do banku, CERT Polska i policji. Pełny plan działania po stwierdzeniu straty finansowej znajdziesz w poradniku co zrobić po oszustwie.

Gdzie zgłosić

CERT Polska (NASK) – zgłoś podejrzaną stronę lub e-mail przez formularz na incydent.cert.pl, a podejrzany SMS prześlij dalej (opcja “Prześlij dalej” w telefonie) na bezpłatny numer 8080 – system automatycznie sprawdza treść i dodaje szkodliwe adresy do listy ostrzeżeń.

KNF – zespół CSIRT KNF reaguje na incydenty w sektorze finansowym, ale przyjmuje zgłoszenia od nadzorowanych instytucji, nie od ich klientów. Ty sprawdzisz i porównasz swój przypadek w materiałach KNF o fałszywych stronach i wiadomościach, a własne zgłoszenie kierujesz do banku i na policję.

Policja – jeśli doszło do utraty pieniędzy albo przejęcia konta, zgłoś sprawę w dowolnej jednostce policji albo przez Centralne Biuro Zwalczania Cyberprzestępczości. W sytuacji zagrożenia (np. gdy oszust wciąż działa na Twoim koncie i potrzebujesz pilnej interwencji) zadzwoń pod numer alarmowy 112.

Zbiorczą listę instytucji i procedur zgłoszeniowych znajdziesz też w poradniku gdzie zgłosić oszustwo. Więcej metod oszustw, w tym te powiązane z fałszywymi stronami bankowości, znajdziesz w pełnym przeglądzie metod oszustw w Polsce.