Klienci czołowych polskich banków bez pieniędzy. Zostali z niczym. Wcześniej otrzymali SMS-a

Klienci największych polskich banków znaleźli się na celowniku cyberprzestępców. Wszystkie ofiary przed czyszczeniem konta dostali SMS-a. Pośpiech i groźba utraty dostępu do konta sprawiły, iż zostali z niczym. W atakach wykorzystywane są nazwy znanych banków, takich jak Alior Bank, BNP Paribas, Santander czy Bank Pekao.

Fot. Shutterstock / Warszawa w Pigułce

Nowy schemat działania cyberprzestępców

Metoda działania przestępców jest dobrze przemyślana i opiera się na kilku technikach socjotechnicznych, które mają na celu wzbudzenie zaufania ofiar i skłonienie ich do natychmiastowej reakcji. Jak wyjaśnia CERT Orange Polska, oszuści najczęściej tworzą poczucie pilności, informując o rzekomym wygaśnięciu dostępu do konta lub aplikacji bankowej.

Aby ominąć automatyczne filtry antyspamowe operatorów telekomunikacyjnych, przestępcy stosują nietypowe znaki diakrytyczne i celowe literówki w treści wiadomości. Choć od połowy bieżącego roku operatorzy wdrożyli system wykrywania i blokowania takich wiadomości, cyberprzestępcy stale modyfikują swoje techniki.

Kolejnym elementem strategii oszustów jest tworzenie domen internetowych, które są łudząco podobne do oficjalnych adresów banków. Po kliknięciu w link zawarty w SMS-ie, ofiara trafia na stronę imitującą serwis bankowy, gdzie proszona jest o podanie danych logowania. Wszystkie te techniki są zwykle stosowane jednocześnie, co zwiększa skuteczność ataku.

Przykłady przechwyconych wiadomości

CERT Orange Polska udostępnił przykłady przechwyconych wiadomości

CERT przechwycił kilka takich wiadomości i podał przykłady. Podobna wiadomość przyszła do naszej redakcji. Umieszczamy ją poniżej.

• „[ALIOR BANK] Twoje Alior-Mobile kontó wygaśa dnia 17\09\2024, uk oncz weryfikację aby uniknąć źáblokowania konta. Link z instrukcja weryfikacji: hxxps://alior.016945[.]com”.
• „BNP Twoja rejestracja mobilna wygasa16.09.24. odblokuj tutaj hxxps://bnp.044008[.]com”.
• „[SANTANDER] Twoje Santánder-Mobile kontó wygasa dnía, 16\09\2024, Ukóncz weryfíkacje aby uníknac zàblokowaníá konta. Link z instrukcjá wéryfíkacji: SnataBiombile[.]com”.
• „PEKAO Rejestracja Peopay-Mobile wygasa 13.10.24. zapobiec blokowaniu: hxxps://peopeka024[.]com/l/logowanie/e”.

Wiadomość, którą otrzymała nasza redakcja. Fot. Warszawa w Pigułce

Jak rozpoznać fałszywy SMS?

Eksperci ds. cyberbezpieczeństwa wskazują kilka charakterystycznych cech, które mogą pomóc w identyfikacji fałszywych wiadomości SMS:

Występowanie błędów językowych i literówek, które rzadko pojawiłyby się w oficjalnej komunikacji banku. Przykładem może być pisownia „Santánder-Mobile” zamiast prawidłowej „Santander-Mobile”.

Obecność nietypowych znaków diakrytycznych, które są celowo wprowadzane przez przestępców, aby ominąć filtry antyspamowe.

Podejrzane adresy stron internetowych, które różnią się od oficjalnych domen banków. Często zawierają ciągi cyfr lub przypadkowe słowa.

Kreowanie presji czasowej, ponieważ oszuści chcą, by użytkownicy działali natychmiast, pod groźbą zablokowania konta, co ma ograniczyć czas na zastanowienie się i weryfikację wiadomości.

Zabezpieczenia stosowane przez banki

Większość banków wdrożyła już szereg mechanizmów zabezpieczających, które mają chronić klientów przed tego typu atakami. Standardem stało się stosowanie podwójnej autoryzacji przy logowaniu i realizacji transakcji, a także dodatkowa weryfikacja dużych przelewów.

Niektóre instytucje finansowe idą jeszcze dalej. Przykładowo, PKO BP wykorzystuje zaawansowane algorytmy, które potrafią wykryć, czy z konta korzysta jego prawidłowy właściciel. System analizuje szereg czynników, takich jak sposób poruszania kursorem czy styl pisania na klawiaturze.

Mimo tych zabezpieczeń, cyberprzestępcy nieustannie rozwijają swoje metody. W przypadku skutecznego ataku potrafią w zaledwie kilka minut pozbawić nieświadomą ofiarę wszystkich środków zgromadzonych na koncie.

Zasady bezpieczeństwa, których warto przestrzegać

W obliczu rosnącego zagrożenia phishingiem, warto stosować się do kilku podstawowych zasad bezpieczeństwa:

Nigdy nie należy klikać w linki zawarte w wiadomościach SMS, choćby jeżeli wydaje się, iż pochodzą one od banku. Lepiej manualnie wpisać adres strony banku w przeglądarce lub skorzystać z oficjalnej aplikacji mobilnej.

Pod żadnym pozorem nie należy podawać danych logowania do bankowości elektronicznej lub aplikacji mobilnej na stronach, do których przekierowuje link z wiadomości SMS.

W przypadku jakichkolwiek wątpliwości, zawsze warto skontaktować się z bankiem poprzez oficjalne kanały komunikacji – numer infolinii widniejący na karcie płatniczej lub oficjalną aplikację mobilną.

Regularne sprawdzanie stanu konta pozwala na szybkie wykrycie nieautoryzowanych transakcji i natychmiastowe zgłoszenie problemu do banku.

Banki nieustannie przypominają, iż nigdy nie proszą klientów o logowanie się poprzez linki zawarte w wiadomościach SMS. Wszelkie operacje na koncie powinny być wykonywane wyłącznie za pośrednictwem oficjalnej strony internetowej lub aplikacji bankowej.

Rosnąca skala problemu

Dane CERT Polska pokazują niepokojący trend wzrostowy w obszarze phishingu. W samym 2022 roku zgłoszono ponad 25 tysięcy incydentów phishingowych, co stanowiło aż 64% wszystkich przypadków cyberprzestępstw w Polsce. Szczególnie narażone na tego typu oszustwa są osoby starsze oraz te, które mają mniejsze doświadczenie w korzystaniu z nowoczesnych technologii.

Konsekwencje udanego ataku phishingowego mogą być bardzo poważne. Po uzyskaniu dostępu do konta, przestępcy są w stanie w krótkim czasie wyprowadzić wszystkie dostępne środki, co prowadzi do znaczących strat finansowych ofiar.

Jak postępować w przypadku oszustwa?

Jeśli istnieje podejrzenie, iż padliśmy ofiarą phishingu, eksperci zalecają natychmiastowe działanie:

Należy jak najszybciej skontaktować się z bankiem i zablokować podejrzane transakcje. Im szybsza reakcja, tym większa szansa na zatrzymanie lub odwrócenie nieautoryzowanych przelewów.

Incydent warto zgłosić na policję oraz do CERT Polska, który zajmuje się walką z cyberprzestępczością i może pomóc w identyfikacji sprawców.

Zachowanie spokoju przy jednoczesnym szybkim działaniu jest najważniejsze – każda minuta może mieć znaczenie w procesie odzyskiwania utraconych środków.

Eksperci podkreślają, iż oszuści phishingowi stale udoskonalają swoje metody, a kampanie fałszywych SMS-ów stają się coraz bardziej wyrafinowane. Dlatego też zachowanie czujności, regularne sprawdzanie stanu konta i świadomość istniejących zagrożeń stanowią najlepszą ochronę przed tego rodzaju przestępczością.