Jak rozpoznać phishing przy płatności online?
Najważniejsza zasada jest prosta: nie płać przez link otrzymany w SMS-ie ani e-mailu. Wiadomość o dopłacie do paczki, fakturze lub rzekomym problemie z kontem może prowadzić do fałszywej strony płatności. Otwórz oficjalną aplikację banku albo samodzielnie wpisz adres serwisu w przeglądarce. Banki i firmy kurierskie nie powinny wymagać wykonywania takich operacji przez przypadkowy link.
Po czym rozpoznać podejrzaną wiadomość?
Phishing polega na podszywaniu się pod bank, sklep, kuriera lub inną zaufaną instytucję. Oszust wykorzystuje socjotechnikę, czyli wywołuje pośpiech, strach albo presję, aby skłonić Cię do kliknięcia i przekazania danych karty, loginu, hasła lub kodu autoryzacyjnego.
Najczęstsze sygnały ostrzegawcze przy płatnościach internetowych przedstawia tabela:
| Sygnał ostrzegawczy | Dlaczego to jest podejrzane |
|---|---|
| Prośba o dopłatę do paczki, na przykład 1,50 zł | Mała kwota ma obniżyć czujność, a formularz może służyć do wyłudzenia danych karty. |
| Presja czasu, na przykład „konto zostanie zablokowane w ciągu dwóch godzin” | Pośpiech utrudnia spokojne sprawdzenie wiadomości i jest typową techniką manipulacji. |
| Adres podobny do prawdziwego, ale z dodatkowymi słowami lub literówką | Domena taka jak „allegro-platnosc.pl” może wyglądać wiarygodnie, choć nie musi należeć do właściwego serwisu. |
| Nieoczekiwana faktura lub wezwanie do zapłaty | Jeśli nie zamawiałeś usługi albo faktura została już opłacona, link może prowadzić do fałszywej płatności. |
| Prośba o login, hasło, pełne dane karty lub kod SMS | Bank nie powinien wymagać przekazywania takich informacji przez link z wiadomości. |
Błędy językowe także mogą wzbudzać podejrzenia, ale ich brak nie potwierdza autentyczności. Oszuści potrafią przygotować wiadomość, która wygląda bardzo profesjonalnie. Liczy się przede wszystkim źródło komunikatu, adres strony i sposób, w jaki wiadomość nakłania do płatności.
Jak sprawdzić, czy płatność jest bezpieczna?
Nie odpowiadaj na podejrzaną wiadomość i nie korzystaj z umieszczonego w niej przycisku. Zamiast tego wykonaj kilka prostych czynności:
- Sprawdź nadawcę – odczytaj cały adres e-mail, a nie tylko wyświetlaną nazwę. Oszust może użyć nazwy banku, ale wysłać wiadomość z obcej domeny.
- Najedź kursorem na link – bez klikania sprawdź adres wyświetlany w przeglądarce. Na telefonie nie otwieraj odnośnika, jeśli nie możesz wiarygodnie potwierdzić jego celu.
- Wpisz adres ręcznie – otwórz oficjalną stronę sklepu, przewoźnika lub banku, korzystając z zapisanego adresu albo aplikacji.
- Sprawdź transakcję w aplikacji bankowej – przeczytaj dokładnie, komu i za co przekazujesz pieniądze. Nie zatwierdzaj operacji, której samodzielnie nie rozpocząłeś.
- Nie ufaj samej kłódce – HTTPS szyfruje połączenie, ale nie potwierdza, że strona należy do uczciwej firmy. Oszuści również mogą korzystać z HTTPS.
Jeżeli rzeczywiście czekasz na przesyłkę lub płacisz fakturę, zweryfikuj sprawę w oficjalnym serwisie, a nie przez wiadomość. Wygoda szybkiego linku nie jest warta ryzyka utraty danych.
Co zrobić po kliknięciu w podejrzany link?
Nie panikuj, ale działaj natychmiast. Samo otwarcie strony nie zawsze oznacza utratę pieniędzy. Ryzyko rośnie, gdy wpiszesz dane, pobierzesz plik albo zatwierdzisz operację w banku.
Jeśli podałeś dane lub zatwierdziłeś podejrzaną płatność, postępuj w tej kolejności:
- Skontaktuj się z bankiem przez oficjalny numer i powiedz, jakie dane przekazałeś oraz kiedy to nastąpiło.
- Zablokuj kartę, a jeśli bank zaleci, także dostęp do bankowości internetowej i podejrzane transakcje.
- Zmień hasło do bankowości oraz do poczty e-mail, szczególnie gdy używałeś podobnych haseł w kilku usługach.
- Sprawdź historię rachunku i powiadomienia. Każdą nierozpoznaną operację zgłoś bankowi.
- Zgłoś podejrzaną wiadomość lub stronę do CERT Polska przez formularz na stronie incydent.cert.pl.
- Jeśli doszło do utraty pieniędzy, zgłoś sprawę Policji i zachowaj SMS-y, e-maile, numery rachunków oraz zrzuty ekranu.
Najważniejszy nawyk przy płatnościach online
Phishing zwykle nie przełamuje zabezpieczeń technicznych. Wykorzystuje moment nieuwagi i emocje użytkownika. Dlatego stosuj zasadę ograniczonego zaufania: niespodziewana wiadomość, żądanie dopłaty i presja czasu powinny zatrzymać płatność. Zanim podasz dane karty, sprawdź adres strony i rozpocznij logowanie samodzielnie w oficjalnej aplikacji lub serwisie.
