Oszustwo na pracownika banku — spoofing numeru infolinii

Dzwoni numer, który rozpoznajesz — infolinia Twojego banku, czasem nawet z nazwą zapisaną w książce kontaktów zamiast samych cyfr. Spokojny głos przedstawia się z imienia i nazwiska, podaje nazwę działu, czasem nawet „numer sprawy”. To wystarczy, żeby większość z nas słuchała dalej. Problem w tym, że numer widoczny na wyświetlaczu można podrobić. Ta technika nazywa się spoofing i jest podstawą jednego z najgroźniejszych oszustw telefonicznych w Polsce.

Jak działa to oszustwo

Scenariusz jest dopracowany i prawie zawsze przebiega według tego samego schematu, który opisują zarówno KNF, jak i Policja:

1. Telefon z „banku”. Na ekranie widzisz numer infolinii swojego banku — oszust podmienił go za pomocą spoofingu. Rozmowa zaczyna się od alarmu: „Dzień dobry, departament bezpieczeństwa banku. Zarejestrowaliśmy próbę nieautoryzowanego przelewu z pana konta. Czy to pan zlecał tę operację?” Inna wersja: „Ktoś właśnie próbuje zaciągnąć pożyczkę na pani dane. Musimy natychmiast zabezpieczyć środki.”
2. Uwiarygodnienie. W trakcie rozmowy możesz dostać SMS-a, który ma „potwierdzać”, że dzwoni bank. Rozmówca zna czasem Twoje imię i nazwisko, mówi bankowym żargonem, w tle słychać gwar biura obsługi klienta.
3. Właściwy atak. Padnie jedna z próśb: zainstaluj aplikację (najczęściej program zdalnego dostępu, np. AnyDesk), podaj login i hasło do bankowości, przepisz kod z SMS-a albo „przenieś środki na bezpieczne konto techniczne”.
4. Wyprowadzenie pieniędzy. Z przejętego konta pieniądze trafiają na rachunki podstawionych osób, giełdy kryptowalut lub za granicę — i odzyskanie ich jest bardzo trudne.

Presja czasu to celowy zabieg. Oszust nie da Ci się zastanowić, bo każda minuta namysłu działa na jego niekorzyść.

Co zrobić, gdy to się dzieje

• Rozłącz się. Prawdziwemu bankowi nie przeszkodzi, że przerwiesz rozmowę. Naciskanie, żebyś został na linii, to sygnał alarmowy.
• Odczekaj chwilę i zadzwoń sam. Po rozłączeniu odczekaj kilkadziesiąt sekund, a potem zadzwoń na infolinię banku, wpisując numer ręcznie z karty płatniczej lub oficjalnej strony. Nie oddzwaniaj z historii połączeń: oszust potrafi utrzymać linię otwartą, więc oddzwaniając, wciąż rozmawiasz z nim.
• Niczego nie instaluj i nie podawaj. Pracownik banku nigdy nie poprosi o hasło do bankowości, kod z SMS-a, kod CVV ani o instalację aplikacji — potwierdza to wprost KNF.
• Jeśli już coś podałeś lub zainstalowałeś — natychmiast zadzwoń do banku (na numer wpisany ręcznie) i zablokuj dostęp do konta oraz karty. Kolejne kroki, w tym reklamację i zastrzeżenie dokumentów, opisujemy w poradniku co zrobić po oszustwie.

Ofiarami tej metody bardzo często padają osoby starsze — jeśli masz w rodzinie seniora, zajrzyj do naszego przewodnika jak chronić seniora i do pozostałych materiałów o tym, jak oszuści wykorzystują seniorów.

Gdzie zgłosić

• CERT Polska — podejrzaną stronę lub e-mail zgłosisz przez formularz incydent.cert.pl. Podejrzanego SMS-a przekaż bezpłatnie na numer 8080 (opcja „przekaż dalej” w telefonie).
• KNF — opisy telefonicznych schematów podszywania się pod bank znajdziesz w materiałach KNF o vishingu. Samo zgłoszenie kieruj do banku i na policję: CSIRT KNF (kim jest) przyjmuje zgłoszenia incydentów od instytucji finansowych, nie od ich klientów.
• Policja — jeśli straciłeś pieniądze lub przekazałeś dane, zgłoś sprawę na najbliższym komisariacie, a w sytuacji nagłej dzwoń pod 112.
• Twój bank — oficjalna infolinia; bank zablokuje dostęp do konta i przyjmie zgłoszenie o próbie oszustwa.

Przelew da się czasem zatrzymać, ale tylko zanim zostanie zaksięgowany na koncie odbiorcy. Masz na to godziny, nie dni — a każde zgłoszenie pomaga też ostrzec kolejne osoby, do których oszuści właśnie dzwonią.