Klienci tych banków masowo dostają SMS-y. Zostają z niczym

CERT Orange Polska ostrzega przed nasilającą się kampanią phishingową wymierzoną w klientów polskich banków. Przestępcy, podszywając się pod znane instytucje finansowe jak Alior, BNP, Santander czy Pekao, próbują wyłudzić dane do logowania i okraść konta bankowe.

Fot. DALL·E 3 / Warszawa w Pigułce

Jak wygląda atak?

Oszuści wysyłają SMS-y informujące o rzekomym wygaśnięciu dostępu do konta lub aplikacji bankowej. W wiadomościach znajdują się linki do fałszywych stron, łudząco podobnych do prawdziwych serwisów bankowych. CERT udostępnił przykładowe treści takich wiadomości:

• „[ALIOR BANK] Twoje Alior-Mobile kontó wygaśa dnia 17\09\2024, uk oncz weryfikację aby uniknąć źáblokowania konta. Link z instrukcja weryfikacji: hxxps://alior.016945[.]com”
• „BNP Twoja rejestracja mobilna wygasa16.09.24. odblokuj tutaj hxxps://bnp.044008[.]com”
• „[SANTANDER] Twoje Santánder-Mobile kontó wygasa dnía, 16\09\2024, Ukóncz weryfíkacje aby uníknac zàblokowaníá konta. Link z instrukcjá wéryfíkacji: SnataBiombile[.]com”
• „PEKAO Rejestracja Peopay-Mobile wygasa 13.10.24. zapobiec blokowaniu: hxxps://peopeka024[.]com/l/logowanie/e”

Nowe metody oszustów

Przestępcy stosują coraz bardziej wyrafinowane techniki:

• Tworzą poczucie pilności poprzez groźbę zablokowania konta
• Używają nietypowych znaków diakrytycznych, by ominąć filtry antyspamowe
• Rejestrują domeny łudząco podobne do oficjalnych adresów banków
• Wykorzystują wszystkie te metody jednocześnie, zwiększając skuteczność ataków

Jak się bronić?

Eksperci zalecają:

• Nigdy nie klikać w linki z SMS-ów, choćby jeżeli wydają się pochodzić z banku
• Nie podawać danych logowania przez podejrzane strony
• Kontaktować się z bankiem wyłącznie przez oficjalne kanały
• Regularnie sprawdzać stan konta

Reakcja banków

Banki wprowadzają coraz nowsze zabezpieczenia. PKO BP wykorzystuje już algorytmy wykrywające nietypowe zachowania użytkowników, takie jak odmienne ruchy myszą czy inny styl pisania na klawiaturze. Większość banków stosuje podwójną autoryzację przy logowaniu i wypłatach oraz dodatkowe zabezpieczenia przy dużych przelewach.

Co robić w przypadku oszustwa?

Jeśli podejrzewamy, iż padliśmy ofiarą oszustwa, należy:

1. Natychmiast skontaktować się z bankiem i zablokować konto
2. Zgłosić sprawę na policję i do CERT Polska
3. Zachować dowody oszustwa (zrzuty ekranu, SMS-y)

Nie tylko seniorzy

Wbrew stereotypom, to nie emeryci padają najczęściej ofiarą oszustów. Głośne niedawno przypadki wyłudzenia znacznych kwot od posła (150 tys. zł) i senatora (450 tys. zł) metodą „na policjanta” nie są wcale zaskakujące.

– Ankietowanych pytaliśmy najpierw o to, jak oceniają swoją wiedzę na temat bezpieczeństwa danych osobowych, a następnie czy padli ofiarą wyłudzenia danych osobowych. Porównanie odpowiedzi na te pytania dało zaskakujące wyniki. Najwyżej ocenili swoją wiedzę absolwenci szkół wyższych – aż 38 proc. z nich uznało ją za wysoką i bardzo wysoką. Dla porównania w przypadku osób z wykształceniem zawodowym wynik wyniósł 19,7 proc. Ale jednocześnie tylko 7,8 proc. absolwentów zawodówek padło ofiarą przestępców, podczas gdy w gronie osób z wyższym wykształceniem prawie 2 razy więcej, bo 13,8 proc. – informuje Kamil Sztandera, ekspert serwisu ChronPESEL.pl.

Równie zaskakujące wyniki daje zestawienie odpowiedzi na oba te pytania w podziale na wiek respondentów. Najwyżej swoją wiedzę oceniły osoby najmłodsze, w wieku 18-24 lat. Tu aż 41,5 proc. uznało, iż ich wiedza na temat ochrony danych osobowych jest wysoka lub bardzo wysoka. W przypadku osób po 65 roku życia wskaźnik ten wynosił 26 proc. Natomiast ofiarą oszustów padło 15,6 proc. najmłodszych Polaków i 6,5 proc. najstarszych.