Jak rozpoznać fałszywą stronę banku? Poradnik bezpieczeństwa
Nie loguj się do banku przez link otrzymany SMS-em lub e-mailem. Najbezpieczniej wpisz adres banku ręcznie w przeglądarce albo użyj zapisanej zakładki. Fałszywa strona może wyglądać niemal identycznie jak prawdziwa, ale jej celem jest przejęcie danych logowania, kodów autoryzacyjnych i pieniędzy.
Na co zwrócić uwagę?
Phishing polega na podszywaniu się pod bank lub inną znaną instytucję. Cyberprzestępcy kierują użytkownika na fałszywą stronę za pomocą wiadomości SMS, e-maila, komunikatora albo reklamy. Często wywołują presję, informując o blokadzie rachunku, nieautoryzowanej płatności lub konieczności natychmiastowego potwierdzenia danych.
Sam wygląd witryny nie wystarcza do oceny jej autentyczności. Oszuści kopiują logo, kolory i układ strony, dlatego sprawdź przede wszystkim adres oraz sposób działania serwisu.
| Element | Sygnał ostrzegawczy |
|---|---|
| Adres URL | Literówka, dodatkowy znak, myślnik, nietypowa końcówka domeny albo adres, w którym nazwa banku występuje tylko jako fragment, na przykład przed inną domeną. |
| Protokół | Adres zaczyna się od HTTP zamiast HTTPS. Brak szyfrowanego połączenia wyklucza bezpieczne logowanie do serwisu bankowego. |
| Certyfikat SSL | Certyfikat jest wystawiony na inną nazwę niż bank albo informacje o właścicielu nie zgadzają się z odwiedzaną usługą. |
| Treść strony | Błędy językowe, brak polskich znaków, dziwne tłumaczenia, niedziałające odnośniki, powtarzające się banery lub nietypowe komunikaty. |
| Komunikat | Presja czasu, groźba blokady konta, żądanie natychmiastowej płatności albo prośba o podanie kodu SMS zaraz po logowaniu. |
Adres trzeba czytać dokładnie, znak po znaku. Różnica może polegać na jednej literze, na przykład „bank” zapisanym z dodatkowym znakiem, ale także na innej końcówce domeny. Nazwa banku umieszczona przed obcą domeną nie oznacza, że strona należy do banku.
Jak bezpiecznie zweryfikować stronę banku?
Przed wpisaniem loginu, hasła lub kodu potwierdzającego wykonaj następujące czynności:
- Otwórz stronę bez używania linku. Wpisz oficjalny adres banku ręcznie w pasku przeglądarki albo wybierz wcześniej zapisaną zakładkę. Nie korzystaj z linku zawartego w SMS-ie, e-mailu, reklamie ani wiadomości z komunikatora.
- Sprawdź adres URL. Porównaj go z adresem banku, który znasz z oficjalnych materiałów. Zwróć uwagę na literówki, dodatkowe znaki, myślniki, nietypową domenę i jej końcówkę.
- Sprawdź protokół. Serwis transakcyjny powinien korzystać z HTTPS. Jeśli adres zaczyna się od HTTP, zamknij stronę i nie podawaj żadnych danych.
- Otwórz informacje o certyfikacie. Kliknij ikonę przy adresie i sprawdź, kto wystawił certyfikat oraz dla jakiej domeny został wydany. Dane powinny odpowiadać bankowi i odwiedzanej stronie.
- Porównaj sposób logowania. Zwróć uwagę na znane elementy, takie jak obrazek bezpieczeństwa lub maskowanie hasła, jeśli bank je stosuje. Ich brak może być ostrzeżeniem, ale sama obecność nie potwierdza jeszcze autentyczności strony.
Czy kłódka przy adresie oznacza bezpieczeństwo?
Nie. Kłódka i certyfikat SSL potwierdzają przede wszystkim, że połączenie z daną witryną jest szyfrowane. Nie dowodzą, że witryna należy do banku. Przestępcy także mogą uzyskać certyfikat dla własnej domeny, dlatego kłódkę trzeba traktować jako jeden z elementów oceny, a nie jako gwarancję.
Brak HTTPS jest wyraźnym sygnałem ostrzegawczym, ale samo HTTPS nie wystarcza. Najważniejsze pozostają dokładny adres domeny, źródło przekierowania i zgodność certyfikatu z bankiem.
Co zrobić po podaniu danych na fałszywej stronie?
Nie czekaj na potwierdzenie, że doszło do oszustwa. Jeżeli podałeś login, hasło, dane karty lub kod autoryzacyjny, przyjmij, że informacje mogły trafić do przestępcy. W takiej sytuacji wykonaj poniższe czynności:
- Natychmiast skontaktuj się z bankiem przez oficjalną infolinię i powiedz, że dane mogły zostać przejęte.
- Zablokuj dostęp do bankowości oraz kartę, jeśli podałeś jej dane lub zauważyłeś nietypową transakcję.
- Zmień hasła z bezpiecznego urządzenia, korzystając z oficjalnej strony lub aplikacji banku.
- Sprawdź rachunek i historię operacji, a każdą nieznaną transakcję zgłoś bankowi.
- Zgłoś fałszywą stronę do CERT Polska i usuń wiadomość zawierającą podejrzany link.
Podanie danych na fałszywej stronie może umożliwić przestępcom przejęcie konta i natychmiastową próbę kradzieży środków. W razie podejrzenia oszustwa nie wpisuj kolejnych kodów, przerwij logowanie i skontaktuj się z bankiem wyłącznie przez oficjalny kanał.
