Odkąd z bankowości elektronicznej korzysta większość klientów banków, nasiliły się próby oszustwa mające na celu wyłudzenie danych. Na co należy uważać? Jakie banki ostrzegają przed atakami phishingowymi w ostatnich dniach?
- Rodzaje ataków phishingowych
- Getin Bank ostrzega przed próbami przejęcia dostępu
- mBank informuje o fałszywych mailach
Rodzaje ataków phishingowych
Phishing to rodzaj oszustwa internetowego polegający na wyłudzaniu wrażliwych danych osobistych — m.in. loginu i hasła do konta bankowego, numerów kart płatniczych, kodów PIN. Przestępcy podszywają się pod konkretną instytucję lub osobę, by uwiarygodnić swoje działania i uśpić czujność ofiary.
Z czym najczęściej mogą spotkać się użytkownicy Internetu? Z fałszywymi powiadomieniami imitującymi komunikaty z banków, mailami o rzekomej konieczności natychmiastowej zmiany hasła, SMS-ami z linkiem do „aktualizacji danych” czy wiadomościami sugerującymi problemy z kontem. Oszuści liczą na to, że odbiorca w pośpiechu kliknie link, otworzy załącznik lub poda swoje dane logowania na spreparowanej stronie. Współczesne ataki phishingowe wykorzystują także techniki socjotechniczne — przestępcy analizują publicznie dostępne informacje o ofierze, aby dopasować treść wiadomości i sprawić wrażenie autentycznej korespondencji. O tym, jak rozpoznać takie próby i się przed nimi ustrzec, ostrzegają największe banki w Polsce.
Getin Bank ostrzega przed próbami przejęcia dostępu
W odpowiedzi na zgłoszenia klientów oraz w wyniku własnych obserwacji banki wykrywają i niezwłocznie ostrzegają swoich użytkowników przed nowymi kampaniami phishingowymi. Dziś z komunikatem dotyczącym prób przejęcia dostępu do bankowości elektronicznej mogły zapoznać się osoby posiadające rachunek oszczędnościowo-rozliczeniowy w Getin Banku.
Bank zauważył, że klienci zaczęli otrzymywać dwa typy fałszywych wiadomości. W pierwszym z nich użytkownicy smartfonów proszeni są o kliknięcie w link, co automatycznie skutkuje pobraniem złośliwego oprogramowania. Zainstalowany wirus przechwytuje dane podczas prób logowania w aplikacji mobilnej — w tym login, hasło oraz kody autoryzacyjne przesyłane SMS-em. Najbardziej niebezpiecznym elementem tego typu ataku jest fakt, że malware działa w tle systemu operacyjnego, zapisując również dane z innych aplikacji zainstalowanych na telefonie — komunikatorów, portali społecznościowych czy innych usług finansowych.
Mechanizm przejmowania kontroli nad rachunkiem
Drugi stosowany przez oszustów sposób to wysyłanie wiadomości e-mail wzywających do natychmiastowego zalogowania się do konta internetowego. Podany w mailu link przekierowuje na spreparowaną stronę wizualnie imitującą oficjalny serwis banku. Wpisując tam jakiekolwiek dane, użytkownik przekazuje je w rzeczywistości przestępcom. Co więcej, samo logowanie nie jest możliwe — pojawia się komunikat o rzekomym zablokowaniu dostępu. Aby móc kontynuować, ofiara otrzymuje polecenie podania hasła SMS otrzymanego na telefon.
Co dzieje się równolegle po drugiej stronie? Phishingiści, dysponując przechwyconymi danymi dostępowymi, logują się na konto ofiary, zlecają przelew pieniędzy na własny rachunek, a następnie autoryzują go kodem SMS, który użytkownik — przekonany, że odblokowuje dostęp do swojego rachunku — właśnie im podał. Często przestępcy przesyłają środki natychmiast na wiele różnych rachunków pośredniczących, aby utrudnić późniejsze odzyskanie funduszy przez policję i bank.
mBank informuje o fałszywych mailach
Nie tylko klienci Getin Banku narażeni są na ataki ze strony internetowych przestępców. Kilka dni temu wszystkie osoby posiadające konto osobiste w mBanku otrzymały wiadomość dostępną w skrzynce wewnętrznej rachunku oszczędnościowo-rozliczeniowego, w której bank ostrzega przed fałszywymi mailami zawierającymi załączniki PDF lub linki do pobrania plików. Uruchomienie takiego załącznika lub kliknięcie w link skutkuje zainstalowaniem złośliwego oprogramowania na urządzeniu ofiary.
Ponadto mBank przedstawia przykładowy wygląd takiego maila, by klienci mogli łatwiej rozpoznać oszustwo, oraz radzi, co zrobić w sytuacji, gdy załącznik został uruchomiony lub pobrany — m.in. zaleca natychmiastowe odłączenie urządzenia od Internetu, zmianę haseł do wszystkich wrażliwych kont z innego, bezpiecznego urządzenia oraz skanowanie systemu za pomocą aktualnego oprogramowania antywirusowego. Bank podkreśla również, że w razie podejrzenia zainfekowania komputera należy skontaktować się z infolinią, aby tymczasowo zablokować dostęp do bankowości internetowej do momentu usunięcia zagrożenia.
Jak ustrzec się przed atakami cyberprzestępców?
Przede wszystkim banki przeprowadzają akcje edukacyjne, w których informują, że nigdy nie wysyłają maili zawierających bezpośredni link do strony logowania, nie proszą o zainstalowanie aplikacji na telefonie komórkowym pobranej spoza oficjalnych sklepów (Google Play, App Store) oraz nie wymagają podawania pełnych danych osobowych czy haseł w treści wiadomości lub podczas logowania do konta. Niektóre instytucje finansowe wdrażają także systemy powiadomień push w aplikacjach mobilnych, które informują klienta o każdej próbie logowania z nowego urządzenia lub zleceniu operacji finansowej.
- Sprawdzaj dokładnie adres e-mail nadawcy — oszuści używają domen podobnych do oficjalnych, różniących się jedną literą lub znakiem.
- Nie klikaj w linki ani nie otwieraj załączników w wiadomościach, które budzą Twoje wątpliwości — w razie niepewności skontaktuj się telefonicznie z infolinią banku.
- Loguj się do bankowości elektronicznej wyłącznie przez oficjalną aplikację mobilną lub wpisując adres strony banku bezpośrednio w przeglądarce, nigdy przez link z e-maila.
- Regularnie aktualizuj system operacyjny, przeglądarkę oraz oprogramowanie antywirusowe.
- Włącz dwuskładnikowe uwierzytelnianie (2FA) wszędzie tam, gdzie bank je oferuje.
- Monitoruj regularnie wyciągi z konta — nawet niewielkie podejrzane transakcje mogą świadczyć o testowaniu dostępu przez oszustów.
- Nie udostępniaj zdalnego dostępu do swojego komputera osobom podającym się za pracowników banku czy pomocy technicznej.
Pamiętaj: żaden bank nie będzie żądał od Ciebie hasła, kodu PIN ani kodu SMS w wiadomości e-mail, SMS-ie czy rozmowie telefonicznej. Jeśli otrzymasz taką prośbę — to oszustwo. W przypadku najmniejszych wątpliwości dotyczących autentyczności wiadomości lepiej zadzwonić do banku na numer podany na stronie internetowej lub karcie płatniczej, niż ryzykować utratę dostępu do środków.
