Jak rozpoznać fałszywą stronę płatności?
Najpewniejszy sposób, by rozpoznać fałszywą stronę płatności, to sprawdzić domenę w pasku adresu i nie korzystać z linku otrzymanego w SMS-ie, e-mailu ani komunikatorze. Wygląd witryny można skopiować, a kłódka przy adresie oznacza tylko szyfrowane połączenie, nie uczciwość właściciela strony.
Dlaczego wygląd strony i kłódka to za mało?
Fałszywa strona płatności może mieć to samo logo, kolory, układ formularza i komunikaty co prawdziwy bank, sklep albo operator płatności. Cyberprzestępcy kopiują gotowe elementy, dlatego ocena witryny na podstawie wyglądu jest zawodna. To część „teatru”, który ma uśpić czujność i skłonić do wpisania danych karty, loginu lub kodu autoryzacyjnego.
Kłódka nie potwierdza, że strona należy do banku. Certyfikat SSL/TLS szyfruje połączenie między przeglądarką a serwerem. Możesz więc mieć szyfrowane połączenie z fałszywą witryną. O autentyczności decyduje przede wszystkim właściwa domena.
Nie traktuj też przedrostka https:// jako samodzielnego dowodu bezpieczeństwa. Jest potrzebny, ale nie wystarcza. Przed wpisaniem danych najlepiej samodzielnie otworzyć przeglądarkę i wpisać adres banku lub operatora płatności, zamiast przechodzić przez otrzymany odnośnik.
Jak sprawdzić adres strony?
Adres URL czytaj od prawej do lewej. Najważniejsza jest domena główna, czyli końcówka domeny oraz znajdujący się bezpośrednio przed nią element. Wszystko po jej lewej stronie może być subdomeną i nie musi mieć żadnego związku z marką widoczną w adresie.
Przykład bank.pl.bezpieczne-platnosci.com nie prowadzi do domeny bank.pl. Prawdziwa domena główna to bezpieczne-platnosci.com, a bank.pl jest tylko subdomeną. Podobnie adres www-account-bank.com nie jest adresem domeny bank.com.
Analizę wykonaj w następującej kolejności:
- Wyizoluj nazwę hosta – pomiń
https://i wszystko po pierwszym ukośniku. Nie sugeruj się tekstem znajdującym się w ścieżce strony. - Znajdź końcówkę domeny – może to być na przykład
.pl,.comlub inna domena najwyższego poziomu, czyli TLD. - Odczytaj domenę główną – sprawdź element bezpośrednio poprzedzający TLD. To on, a nie najdłuższy fragment po lewej, wskazuje właściciela adresu.
- Sprawdź subdomeny – nazwy takie jak
bank,platnosciczylogowanieprzed domeną główną mogą być jedynie przynętą. - Poszukaj literówek i homoglifów – oszuści zamieniają podobne znaki, na przykład małą literę „l”, cyfrę „1” i wielką literę „I”, albo używają znaków z innych alfabetów, które przypominają zwykłe litery.
Na telefonie długi adres może być częściowo ukryty przez pasek przeglądarki. Nie zakładaj, że widoczny początek wystarcza. Rozwiń lub zaznacz adres i sprawdź jego końcową część. Podświetlanie domeny przez przeglądarkę może pomóc, ale jego wygląd różni się między programami i systemami, dlatego nie zastępuje samodzielnej analizy.
Co jeszcze zdradza fałszywą stronę?
Adres jest najważniejszym sprawdzianem, ale treść strony może dostarczyć kolejnych sygnałów. Pojedynczy błąd nie przesądza o oszustwie, jednak kilka nieprawidłowości naraz powinno zakończyć transakcję.
| Kategoria | Sygnał ostrzegawczy | Standard bezpiecznego serwisu |
|---|---|---|
| Presja czasu | Komunikat o blokadzie konta za kilka minut, natychmiastowej dopłacie lub kończącej się „okazji”. | Informacje pozwalają spokojnie zweryfikować płatność i nie wymuszają pochopnej decyzji. |
| Stopka | Regulamin, kontakt lub polityka prywatności są puste, niedziałające albo prowadzą do przypadkowych adresów. | Linki działają, a dane kontaktowe i informacje o usługodawcy są spójne. |
| Język | Literówki, brak polskich znaków, dziwne tłumaczenia i niespójne komunikaty. | Treść jest spójna z oficjalnymi materiałami firmy i nie zawiera rażących błędów. |
| Oferta | Rabat lub warunki płatności są nierealistyczne i mają skłonić do natychmiastowego działania. | Informacje o cenie, sprzedawcy i płatności są przejrzyste. |
Nie wpisuj też kodu SMS ani kodu push tylko dlatego, że strona wyświetliła taki formularz. Jeśli bankowa aplikacja pokazuje inną kwotę, innego odbiorcę lub transakcję, której nie zlecałeś, przerwij działanie i skontaktuj się z bankiem oficjalnym kanałem.
Co zrobić po wykryciu podejrzanej strony?
Gdy adres lub treść budzi wątpliwości, nie próbuj „sprawdzać” witryny przez wpisywanie prawdziwych danych. Zakończ kartę lub okno przeglądarki i wykonaj następujące działania:
- Przerwij transakcję i nie podawaj numeru karty, loginu, hasła ani kodu autoryzacyjnego.
- Zgłoś podejrzaną stronę do CERT Polska.
- Jeśli podałeś dane lub zatwierdziłeś operację, natychmiast skontaktuj się z bankiem i zastrzeż kartę, gdy bank zaleci takie działanie.
- Zmień hasła wpisane na podejrzanej stronie, korzystając z prawdziwej witryny lub aplikacji usługodawcy.
- Przeskanuj urządzenie aktualnym oprogramowaniem ochronnym i zaktualizuj przeglądarkę oraz system.
Najbezpieczniejszy nawyk jest prosty: adres banku lub operatora płatności wpisuj ręcznie albo otwieraj go z własnych zakładek. Kilka sekund poświęconych na odczytanie domeny od prawej do lewej jest bardziej miarodajne niż logo, kłódka i perfekcyjny wygląd strony.
