Phishing to oszustwo internetowe, w którym przestępca podszywa się pod bank, kuriera, urząd, sklep lub inną zaufaną osobę, aby wyłudzić dane, pieniądze albo nakłonić do instalacji złośliwego oprogramowania. Atak opiera się przede wszystkim na manipulacji użytkownikiem, a nie na przełamywaniu zabezpieczeń systemu.
Czym jest atak phishingowy?
Phishing jest formą socjotechniki, czyli wykorzystywania ludzkich emocji i odruchów do nakłonienia kogoś do określonego działania. Oszust tworzy wiadomość, stronę internetową lub rozmowę, które mają wyglądać wiarygodnie. Następnie skłania odbiorcę do kliknięcia w link, podania hasła, numeru karty, kodu autoryzacyjnego albo wykonania przelewu.
W przeciwieństwie do typowego włamania phishing nie musi wykorzystywać luki w oprogramowaniu. Często wystarczy, że użytkownik zaufa fałszywemu komunikatowi i zadziała pod wpływem strachu, ciekawości lub presji czasu. Dlatego nawet aktualny system i silne zabezpieczenia nie chronią przed każdym skutkiem pochopnej decyzji.
Jak przebiega typowy atak?
Phishing zwykle składa się z kilku etapów. Ich kolejność może się różnić, ale schemat pozostaje podobny:
- Przygotowanie – przestępca wybiera cel i przygotowuje fałszywą wiadomość, stronę logowania albo profil. Może wykorzystać nazwę banku, firmy kurierskiej, serwisu streamingowego lub urzędu.
- Przynęta – odbiorca otrzymuje komunikat informujący na przykład o blokadzie konta, nieopłaconej przesyłce, zwrocie pieniędzy albo podejrzanej transakcji.
- Wymuszenie działania – wiadomość zawiera link, załącznik, numer telefonu lub polecenie przelewu. Fałszywa strona często przypomina prawdziwy serwis, aby uśpić czujność.
- Konsekwencje – przekazane dane mogą posłużyć do przejęcia konta, kradzieży pieniędzy, podszywania się pod ofiarę lub instalacji szkodliwego programu.
Najważniejszym elementem tego schematu jest presja psychologiczna. Oszust chce ograniczyć czas na spokojne sprawdzenie wiadomości, dlatego sugeruje, że natychmiastowa reakcja uchroni konto przed blokadą albo pozwoli uniknąć dodatkowej opłaty.
Jak rozpoznać próbę phishingu?
Pojedynczy sygnał nie zawsze przesądza o oszustwie, ale kilka z nich naraz powinno wzbudzić podejrzenia. Zwróć uwagę na następujące elementy:
- Wiadomość wywołuje silne emocje i wymaga natychmiastowej reakcji.
- Nadawca prosi o hasło, kod SMS, dane karty lub inne informacje, których instytucja zwykle nie żąda w ten sposób.
- Adres nadawcy nie pasuje do oficjalnej domeny albo zawiera literówki, dodatkowe znaki i nietypowe końcówki.
- Link prowadzi do skróconego lub podejrzanego adresu, który nie odpowiada nazwie firmy.
- Treść zawiera błędy językowe, nienaturalne tłumaczenia albo nietypową formę zwracania się do odbiorcy.
- Załącznik lub odnośnik pojawia się bez wyraźnego powodu i wymaga zalogowania, pobrania pliku albo włączenia makr.
Nie otwieraj linku tylko po to, żeby sprawdzić, dokąd prowadzi. Bezpieczniej samodzielnie wpisać adres serwisu w przeglądarce lub użyć jego oficjalnej aplikacji. Przed zalogowaniem sprawdź pełną domenę w pasku adresu, a nie tylko wygląd strony. Kłódka przy adresie oznacza szyfrowane połączenie, ale sama nie potwierdza, że witryna jest prawdziwa.
Phishing, smishing i vishing – czym się różnią?
Określenie phishing obejmuje różne kanały kontaktu. Nazwy smishing i vishing wskazują, czy oszust wykorzystuje wiadomość SMS, czy rozmowę głosową:
| Typ ataku | Kanał | Główna cecha |
|---|---|---|
| Phishing | E-mail lub strona internetowa | Fałszywa wiadomość i odnośnik do strony wyłudzającej dane |
| Smishing | SMS lub komunikator | Krótki komunikat z linkiem, prośbą o dopłatę albo pilną reakcję |
| Vishing | Telefon lub połączenie głosowe | Rozmówca podszywa się pod bank, konsultanta lub pracownika urzędu |
W przypadku vishingu oszust może próbować uzyskać kod autoryzacyjny, nakłonić do instalacji aplikacji do zdalnej obsługi albo przekonać do przelania środków na „bezpieczne” konto. Numer telefonu wyświetlony na ekranie nie musi potwierdzać tożsamości rozmówcy, ponieważ może zostać sfałszowany.
Co zrobić po udanym ataku?
Jeżeli podałeś dane lub kliknąłeś podejrzany link, działaj szybko, ale bez wykonywania kolejnych poleceń oszusta. Najważniejsze kroki to:
- Zmień hasło do zagrożonego konta oraz wszędzie tam, gdzie używałeś tego samego hasła.
- Wyloguj konto ze wszystkich urządzeń i włącz uwierzytelnianie wieloskładnikowe, jeśli jest dostępne.
- Skontaktuj się z bankiem oficjalnym numerem i poproś o zablokowanie karty lub sprawdzenie podejrzanych transakcji.
- Zgłoś incydent do CERT Polska, zachowując wiadomość, adres strony, numer telefonu lub inne dowody.
- Jeżeli doszło do kradzieży pieniędzy albo przejęcia tożsamości, powiadom bank i zgłoś sprawę policji.
Najlepszą ochroną przed phishingiem jest przerwanie automatycznej reakcji. Zatrzymaj się, sprawdź nadawcę i domenę niezależnym kanałem, a prośby o hasła, kody i przelewy traktuj jako sygnał wymagający dodatkowej weryfikacji.
