Niektórzy zostali z niczym. Klienci największych banków w Polsce z ogromnymi problemami

W ostatnich dniach CERT Orange Polska zidentyfikował nową falę niebezpiecznych ataków phishingowych, które są wymierzone w klientów banków działających w Polsce. Oszuści podszywają się pod znane instytucje finansowe i próbują wyłudzić dane do logowania na konta bankowe. Ataki często kończą się czyszczeniem konta.

Fot. DALL·E 3 / Warszawa w Pigułce

Cyberprzestępcy wysyłają SMS-y, które mogą sprawiać wrażenie prawdziwych wiadomości pochodzących od banków. Te komunikaty zawierają ostrzeżenia o rzekomym wygaśnięciu ważności konta lub dostępu do aplikacji mobilnej. Ich celem jest wywołanie u odbiorców paniki i zmuszenie ich do podjęcia szybkich, impulsywnych decyzji.

Nazwy banków, które pojawiają się w tych wiadomościach, to między innymi Alior, BNP, Santander oraz Pekao. Jednak specjaliści przestrzegają, iż klienci wszystkich banków powinni zachować ostrożność, niezależnie od tego, w jakiej instytucji mają konto.

Przykładowe wiadomości

CERT Orange Polska podał kilka przechwyconych przykładów wiadomości phishingowych:

„[ALIOR BANK] Twoje Alior-Mobile kontó wygaśa dnia 17\09\2024, uk oncz weryfikację aby uniknąć źáblokowania konta. Link z instrukcja weryfikacji: hxxps://alior.016945[.]com”
„BNP Twoja rejestracja mobilna wygasa16.09.24. odblokuj tutaj hxxps://bnp.044008[.]com”
„[SANTANDER] Twoje Santánder-Mobile kontó wygasa dnía, 16\09\2024, Ukóncz weryfíkacje aby uníknac zàblokowaníá konta. Link z instrukcjá wéryfíkacji: SnataBiombile[.]com”
„PEKAO Rejestracja Peopay-Mobile wygasa 13.10.24. zapobiec blokowaniu: hxxps://peopeka024[.]com/l/logowanie/e”

Sposoby działania oszustów

Oszuści stosują różne techniki, aby ich ataki były skuteczniejsze:

1. Tworzą poczucie pilności, strasząc blokadą konta lub aplikacji.
2. Zastępują litery nietypowymi znakami diakrytycznymi, aby oszukać filtry operatorów.
3. Umieszczają w wiadomościach linki do fałszywych stron internetowych, które łudząco przypominają oficjalne witryny banków.

Jak uniknąć oszustwa?

Eksperci zalecają następujące środki ostrożności:

1. Zachowuj czujność wobec niespodziewanych wiadomości, które wydają się pochodzić od banków.
2. Nigdy nie klikaj w linki z podejrzanych SMS-ów.
3. W przypadku jakichkolwiek wątpliwości skontaktuj się z bankiem, korzystając wyłącznie z oficjalnych kanałów komunikacji.
4. Regularnie monitoruj stan swojego konta, aby natychmiast zauważyć nieautoryzowane transakcje.

CERT Orange Polska podkreśla, iż mimo iż systemy filtrowania zadziałały w tym przypadku, istnieje ryzyko, iż przyszłe próby oszustw mogą pozostać niewykryte. Dlatego to właśnie użytkownicy muszą zachować szczególną czujność i ostrożność.

Obecna fala ataków phishingowych unaocznia, jak ważne jest podnoszenie świadomości na temat cyberbezpieczeństwa. Banki oraz operatorzy telekomunikacyjni stale pracują nad poprawą swoich systemów ochrony, jednak ostateczna odpowiedzialność za bezpieczeństwo danych spoczywa na użytkownikach.

Opis mechanizmu działania fałszywych stron bankowych

Cyberprzestępcy stosują różne metody tworzenia fałszywych stron internetowych, aby podszyć się pod zaufane instytucje, takie jak banki, portale sprzedażowe czy firmy kurierskie. W przypadku phishingu e-mailowego przesyłają wiadomości, które naśladują oficjalną korespondencję, i nakłaniają do kliknięcia na spreparowany link lub załącznik. Fałszywe strony są często łudząco podobne do oryginałów, co zwiększa szanse na wprowadzenie przez ofiarę danych, np. danych logowania do banku lub karty kredytowej. Podczas weryfikacji autentyczności wiadomości warto zwrócić uwagę na nieprawidłowości w adresie e-mail nadawcy, błędy językowe oraz nietypowe formatowanie. W razie podejrzeń należy skontaktować się z bankiem lub instytucją, którą rzekomo reprezentuje nadawca, oraz zgłosić próbę oszustwa​.

Statystyki ataków phishingowych w Polsce

W Polsce i na świecie cyberprzestępczość wciąż rośnie, a phishing stanowi jej znaczącą część. W 2023 roku zarejestrowano aż 82 tysiące przypadków cyberprzestępstw w Polsce, podczas gdy w 2019 roku liczba ta wynosiła 48,1 tysiąca. Incydenty bezpieczeństwa rosną również w tempie globalnym – w 2022 roku CERT Polska odnotował 322 tysiące zgłoszeń dotyczących cyberzagrożeń, z czego 39,7 tys. były realnymi przypadkami obsłużonymi przez zespół ds. cyberbezpieczeństwa. W 2023 roku ta liczba prawie się podwoiła, osiągając 80,3 tysiąca incydentów. Phishing pozostaje dominującym zagrożeniem – w listopadzie 2023 roku CERT zarejestrował ponad 18 tys. zgłoszeń fałszywych SMS-ów, co stanowiło wzrost o prawie 160% w porównaniu z poprzednim miesiącem​.

Ewolucja ataków phishingowych

Ataki phishingowe ewoluują i stają się coraz bardziej zaawansowane. W 2023 roku phishing stanowił aż 71% zagrożeń cybernetycznych. Cyberprzestępcy coraz częściej używają narzędzi generatywnej sztucznej inteligencji do tworzenia realistycznych wiadomości, które są trudniejsze do wykrycia. Tego rodzaju wiadomości mogą naśladować styl komunikacji konkretnej osoby lub zawierać syntetyczne nagrania głosowe (tzw. deepfake), które potrafią imitować głos szefa, współpracownika czy członka rodziny, by zwiększyć skuteczność ataku. Tego typu zaawansowane techniki są niebezpieczne, ponieważ łatwiej wprowadzają ofiarę w błąd i mogą prowadzić do poważnych konsekwencji, takich jak kradzież danych czy przejęcie konta​.

Jak instytucje finansowe informują klientów o zagrożeniach?

Banki oraz inne instytucje finansowe prowadzą działania edukacyjne, aby chronić klientów przed atakami phishingowymi. Komunikują się poprzez oficjalne wiadomości e-mail, SMS-y, powiadomienia w aplikacjach mobilnych, a także publikacje w mediach społecznościowych i na stronach internetowych. W przypadku podejrzanych wiadomości zawsze warto sprawdzać autentyczność komunikatów poprzez kontakt z bankiem wyłącznie przez oficjalne kanały. CERT Polska oferuje także numer 8080, na który można zgłaszać fałszywe wiadomości, by pomóc specjalistom w identyfikacji zagrożeń i informowaniu innych o trwających kampaniach phishingowych​