Jak rozpoznać fałszywą wiadomość od banku?
Jeśli masz wątpliwość, to dobrze, że ją masz – to pierwszy krok do bezpieczeństwa. Nie klikaj w link, nie odpowiadaj na wiadomość i nie podawaj danych. Bank nie wysyła w SMS-ach ani e-mailach linków do logowania oraz nie prosi tą drogą o hasło, PIN, kod BLIK ani dane karty.
Jak szybko odróżnić prawdziwą wiadomość od fałszywej?
Phishing to oszustwo polegające na podszywaniu się pod bank lub inną zaufaną instytucję. Gdy przestępcy wykorzystują SMS, mówi się o smishingu. Ich celem jest zwykle wyłudzenie danych logowania, kodów autoryzacyjnych, danych karty albo pieniędzy.
| Cecha | Prawdziwa wiadomość | Fałszywa wiadomość |
|---|---|---|
| Nadawca | Oficjalny identyfikator lub adres zgodny z komunikacją banku | Nazwa może wyglądać wiarygodnie, ale adres domeny jest zmieniony lub obcy |
| Link | Bank nie wysyła linków do logowania w SMS-ie ani e-mailu | Link prowadzi do strony logowania lub formularza danych |
| Prośba o dane | Brak prośby o hasło, PIN, kod BLIK lub numer karty | Żądanie danych poufnych albo potwierdzenia ich przez formularz |
| Ton | Neutralny i informacyjny | Alarmujący, często z groźbą blokady konta |
| Czas reakcji | Nie wymusza natychmiastowego działania | Pojawia się presja, na przykład „działaj w ciągu 24 godzin” |
Na co zwrócić uwagę w wiadomości od banku?
Sam wygląd SMS-a lub e-maila nie potwierdza jego autentyczności. Oszuści mogą wykorzystać logo banku, podobny układ treści, a nawet nazwę banku jako identyfikator nadawcy. Sprawdź kilka elementów:
- Domena nadawcy – w e-mailu odczytaj pełny adres, a nie tylko wyświetlaną nazwę. Adres z domeną bank-security.com nie jest tym samym co adres w domenie bank.pl. Podobnie domena bank.pl-bezpieczenstwo.info należy do domeny pl-bezpieczenstwo.info, a nie do banku.
- Identyfikator SMS-a – nazwa wyświetlana jako nadawca może zostać sfałszowana. Nie traktuj jej jako jedynego dowodu autentyczności wiadomości.
- Treść i język – literówki, brak polskich znaków, dziwna składnia oraz automatyczne tłumaczenie są sygnałami ostrzegawczymi. Poprawnie napisany komunikat również nie musi być prawdziwy.
- Presja czasu – komunikaty o natychmiastowej blokadzie konta, podejrzanej transakcji lub konieczności dopłaty mają skłonić Cię do działania bez sprawdzenia informacji.
- Linki i załączniki – nie otwieraj odnośników z podejrzanej wiadomości i nie pobieraj nieoczekiwanych plików, szczególnie z rozszerzeniami .exe, .zip, .rar lub .html.
Adres strony możesz sprawdzić bez wchodzenia na nią. Na komputerze najedź kursorem na link, a na telefonie przytrzymaj go, aby wyświetlić podgląd adresu. Zwróć uwagę na domenę, literówki i nietypowe znaki. Nie wystarczy, że adres zaczyna się od „https”. Szyfrowane połączenie może prowadzić również do fałszywej strony.
Najbezpieczniej otworzyć aplikację banku albo samodzielnie wpisać adres jego strony w przeglądarce. Jeśli nadal masz wątpliwości, zadzwoń na numer infolinii znaleziony na oficjalnej stronie banku. Nie korzystaj z numeru podanego w podejrzanej wiadomości.
Co zrobić po otrzymaniu podejrzanej wiadomości?
Nie odpowiadaj, nie klikaj „dla sprawdzenia” i nie loguj się na stronie otwartej z wiadomości. Samo otrzymanie SMS-a lub e-maila zwykle nie oznacza przejęcia konta, ale dalsze działania mogą ujawnić dane.
Jeśli kliknąłeś link albo wpisałeś dane, wykonaj te czynności w podanej kolejności:
- Nie wpisuj kolejnych informacji i zamknij podejrzaną stronę.
- Skontaktuj się z bankiem przez oficjalną infolinię lub aplikację i poinformuj o zdarzeniu.
- Zmień hasło do bankowości oraz do powiązanej skrzynki e-mail. Zrób to na oficjalnej stronie lub w aplikacji banku.
- Zablokuj kartę i poproś bank o sprawdzenie lub zablokowanie podejrzanych transakcji.
- Zgłoś wiadomość do CERT Polska, między innymi SMS-em na numer 8080, a w razie utraty pieniędzy także na policję.
Jeżeli doszło do płatności kartą lub innej transakcji, powiadom bank natychmiast. W niektórych sytuacjach może być możliwe uruchomienie procedury chargeback, ale zależy to od rodzaju transakcji i jej okoliczności. Nie otwieraj pobranych załączników. Jeśli uruchomiłeś nieznany plik, odłącz urządzenie od sieci i skorzystaj z pomocy specjalisty.
Jak ograniczyć ryzyko w przyszłości?
Najlepszą ochroną jest spokojna weryfikacja zamiast reakcji na presję. Pomagają w niej następujące zasady:
- Wchodź do bankowości przez oficjalną aplikację albo adres wpisany ręcznie.
- Używaj unikalnego hasła do banku i włącz weryfikację dwuetapową, czyli 2FA.
- Sprawdzaj treść kodu autoryzacyjnego przed zatwierdzeniem operacji.
- Aktualizuj telefon, komputer i aplikację bankową oraz korzystaj z ochrony antyspamowej.
- Regularnie sprawdzaj historię rachunku i powiadomienia o logowaniach.
Złota zasada bezpieczeństwa
Bank nigdy nie prosi w wiadomości o hasło, PIN, kod BLIK, pełne dane karty ani inne dane uwierzytelniające. Nie wysyła też linków do logowania w SMS-ach ani e-mailach. Jeśli wiadomość wywołuje pośpiech, przerwij działanie i zweryfikuj ją przez oficjalny kanał banku.
Artykuł nie stanowi porady finansowej. W przypadku podejrzenia przejęcia konta lub utraty środków skontaktuj się niezwłocznie ze swoim bankiem i odpowiednimi służbami.
