Pilny komunikat PKO BP. Masz konto? Możesz stracić wszystko w kilka sekund. „Sztuczna inteligencja w rękach złodziei”

Największy polski bank bije na alarm i wysyła do klientów dramatyczne ostrzeżenie. Przestępcy weszli na zupełnie nowy poziom, wykorzystując narzędzia, które do tej pory kojarzyliśmy z filmami science-fiction. To już nie są proste SMS-y z błędami ortograficznymi. Teraz złodzieje używają sztucznej inteligencji, by preparować dokumenty, które wyglądają identycznie jak oryginały. jeżeli odbierzesz ten telefon i uwierzysz w to, co zobaczysz na ekranie swojego telefona, Twoje oszczędności życia mogą zniknąć bezpowrotnie. Na czym polega nowa, perfidna metoda „na legitymację”?

Fot. Warszawa w Pigułce

Cyberprzestępczość w Polsce to już nie domena amatorów w kapturach, ale zorganizowany, potężny biznes, który generuje miliardowe straty. Banki dwoją się i troją, by zabezpieczać nasze konta, ale najsłabszym ogniwem wciąż pozostaje człowiek i jego emocje. Oszuści doskonale o tym wiedzą, dlatego ich metody ewoluują w zastraszającym tempie. Kiedyś był to „wnuczek”, potem „dopłata do paczki”, a teraz mamy do czynienia z atakiem hybrydowym, wspieranym przez zaawansowaną sztuczną inteligencję.

PKO Bank Polski opublikował właśnie krytyczny komunikat, w którym ostrzega przed falą wyłudzeń nowego typu. Scenariusz jest przerażająco wiarygodny, a ofiarami padają choćby osoby, które do tej pory uważały się za czujne i odporne na socjotechnikę. Wszystko przez jeden, mały detal – fałszywą legitymację pracownika banku, która wygląda tak autentycznie, iż niemal nikt nie śmie jej podważyć.

Nowa era oszustw. AI preparuje dowody w czasie rzeczywistym

Do tej pory naszą główną bronią w walce z oszustami była weryfikacja. Uczono nas: „sprawdzaj, kto dzwoni”, „nie wierz na słowo”. Niestety, rozwój generatywnej sztucznej inteligencji (AI) sprawił, iż granica między prawdą a fałszem zatarła się niemal całkowicie. Oszuści wykorzystują teraz algorytmy graficzne, by w kilka sekund stworzyć dokument, który uśpi czujność ofiary.

Schemat ataku, przed którym ostrzega PKO BP, jest wieloetapowy i precyzyjnie wyreżyserowany. Nie ma tu miejsca na przypadek. Złodzieje grają na najsilniejszym instynkcie – strachu o własne pieniądze. Wszystko zaczyna się od telefonu, który ma wywołać panikę. Dzwoniący informuje Cię o rzekomym zaciągnięciu pożyczki na Twoje dane lub o podejrzanej transakcji wychodzącej z Twojego konta. To moment, w którym tętno ofiary przyspiesza, a logiczne myślenie zostaje wyłączone.

Wtedy na scenę wkracza „wybawiciel”. Drugi telefon wykonuje osoba podająca się za pracownika działu bezpieczeństwa banku. Oferuje pomoc w „zabezpieczeniu środków” i anulowaniu fałszywego kredytu. Brzmi profesjonalnie, używa bankowego żargonu, jest opanowany i stanowczy. Jednak współczesny klient jest podejrzliwy, więc oszuści przygotowali asa w rękawie.

Fałszywa legitymacja – klucz do Twojego zaufania

To jest moment zwrotny całej operacji. Aby uwiarygodnić swoją tożsamość, oszust wysyła do Ciebie – za pośrednictwem SMS-a, e-maila lub komunikatora internetowego – zdjęcie swojej „legitymacji służbowej”. I tu następuje szok. Dokument wygląda perfekcyjnie. Ma logo banku, zdjęcie pracownika (często wygenerowane przez AI, przedstawiające osobę budzącą zaufanie), imię, nazwisko, numer służbowy, a choćby pieczątki i hologramy.

PKO Bank Polski podkreśla w swoim komunikacie: „Oszuści wykorzystują narzędzia sztucznej inteligencji do tworzenia fałszywych legitymacji bankowych. Dzięki nim próbują zdobyć Twoje zaufanie”. Dla przeciętnego Kowalskiego weryfikacja autentyczności takiej grafiki na małym ekranie telefonu jest niemożliwa. Widząc „oficjalny” dokument, ofiara porzuca wątpliwości i zaczyna wykonywać polecenia przestępcy.

Bank stawia sprawę jasno: pracownicy PKO BP nigdy nie wysyłają zdjęć swoich legitymacji ani wizytówek w ten sposób. To działanie niezgodne z procedurami bezpieczeństwa. Każda próba przesłania takiego „dowodu” tożsamości powinna być dla nas czerwoną flagą i sygnałem do natychmiastowego rozłączenia się.

Zdalny pulpit, czyli jak oddać złodziejowi klucze do mieszkania

Gdy ofiara jest już przekonana, iż rozmawia z prawdziwym pracownikiem banku, oszust przechodzi do finałowej fazy ataku. Sugeruje, iż w celu „przeskanowania telefonu pod kątem wirusów” lub „zabezpieczenia aplikacji mobilnej”, konieczne jest zainstalowanie specjalnego oprogramowania. W rzeczywistości są to aplikacje typu zdalny pulpit (np. TeamViewer, AnyDesk czy QuickSupport).

Zainstalowanie takiej aplikacji to jak wręczenie złodziejowi kluczy do mieszkania i zaproszenie go do środka. Przestępca zyskuje pełną kontrolę nad Twoim telefonem. Widzi wszystko, co robisz na ekranie – w tym wpisywane hasła, loginy oraz kody autoryzacyjne SMS. W tym momencie Twoja rola się kończy. Oszust sam loguje się na Twoje konto, zmienia limity transakcyjne i wyprowadza pieniądze na tzw. „konta techniczne”, które w rzeczywistości należą do słupów lub są portfelami kryptowalutowymi.

Alternatywny scenariusz, również wskazany przez bank, to bezpośrednia namowa do wykonania przelewu na „bezpieczne konto techniczne”. Oszust tłumaczy, iż Twoje obecne konto jest „skompromitowane” i środki muszą zostać natychmiast przeniesione. To oczywiście kłamstwo. W bankowości nie istnieją żadne „konta techniczne” dla klientów, na które trzeba przelewać pieniądze w sytuacjach awaryjnych.

Jak nie dać się okraść? Jedna aplikacja może Cię uratować

W obliczu tak zaawansowanych metod manipulacji, PKO Bank Polski przypomina o narzędziach, które dają nam stuprocentową pewność, z kim rozmawiamy. Kluczowa jest tu aplikacja mobilna IKO. Bank wprowadził mechanizm, który jest kryptonitem na oszustów, ale wciąż zbyt mało klientów z niego korzysta.

Jeśli dzwoni do Ciebie osoba podająca się za pracownika banku, masz prawo – a wręcz obowiązek – zweryfikować jej tożsamość. Jak to zrobić?

• Podczas rozmowy powiedz, iż chcesz zweryfikować pracownika w aplikacji IKO.
• Prawdziwy konsultant wyśle do Ciebie powiadomienie push w aplikacji.
• W IKO (i nigdzie indziej – żadnych SMS-ów!) zobaczysz wizytówkę dzwoniącego z jego imieniem, nazwiskiem i stanowiskiem.
• Poproś rozmówcę o podanie tych danych przez telefon. jeżeli to, co widzisz na ekranie, zgadza się z tym, co słyszysz w słuchawce, możesz bezpiecznie kontynuować rozmowę.

Jeśli dzwoniący zacznie kręcić, tłumaczyć się awarią systemu, pośpiechem lub twierdzić, iż dzwoni z „departamentu, który nie ma tej funkcji” – rozłącz się natychmiast. To oszust. Pamiętaj też o oficjalnej infolinii banku: 800 302 302. W razie wątpliwości zawsze możesz zadzwonić tam samodzielnie.

Poufne dane to świętość. Tego nigdy nie podawaj

Komunikat banku zawiera również „żelazne zasady”, których łamanie to proszenie się o kłopoty. Niezależnie od tego, jak dramatyczna wydaje się sytuacja przedstawiana przez dzwoniącego, istnieją dane, których pracownik banku nigdy od Ciebie nie zażąda.

Czerwona lista danych zakazanych:

• Dane do logowania: Login i hasło do bankowości internetowej są tylko dla Ciebie.
• Pełne dane karty płatniczej: Numer karty, data ważności i kod CVV/CVC (trzy cyfry na odwrocie).
• Kody BLIK: Pracownik banku nigdy nie prosi o wygenerowanie i podanie kodu BLIK przez telefon.

Przestępcy często proszą o te dane pod pretekstem „anulowania transakcji” lub „weryfikacji tożsamości”. To kłamstwo. Systemy bankowe są tak skonstruowane, iż konsultant widzi Twoje konto, ale nie ma prawa znać Twoich haseł ani autoryzować transakcji w Twoim imieniu.

Co to oznacza dla Ciebie? HCU: Twoja tarcza przeciwko AI

Technologia idzie do przodu, a wraz z nią metody kradzieży. Nie musisz być ekspertem IT, by się bronić. Oto konkretna procedura bezpieczeństwa, którą powinieneś wdrożyć od zaraz:

• Zasada ograniczonego zaufania: Każdy telefon z informacją o kradzieży pieniędzy traktuj jak atak. Nie wpadaj w panikę. Emocje są paliwem dla oszusta.
• Ignoruj „dowody” graficzne: jeżeli otrzymasz SMS-em lub mailem zdjęcie legitymacji pracownika banku, policjanta czy prokuratora – to na 100% fałszywka stworzona w programie graficznym lub przez AI. Prawdziwe służby działają inaczej.
• Nie instaluj niczego pod presją: jeżeli słyszysz „AnyDesk”, „TeamViewer” lub „QuickSupport” – rozłącz się. To aplikacje służące do przejmowania kontroli nad Twoim urządzeniem.
• Używaj weryfikacji w IKO: jeżeli jesteś klientem PKO BP, to Twoja najpotężniejsza broń. Wymagaj wysłania wizytówki push w aplikacji przy każdej podejrzanej rozmowie.
• Chroń bliskich: Oszuści często celują w osoby starsze. Przekaż tę wiedzę rodzicom i dziadkom. Ostrzeż ich, iż „miły pan z banku” może przysłać fałszywy dokument, który wygląda jak prawdziwy.

PKO Bank Polski zrobił to, co do niego należało – ostrzegł. Teraz ruch należy do nas. W dobie Deepfake’ów i generatorów obrazów AI, nasze oczy mogą nas oszukać, ale zdrowy rozsądek i trzymanie się procedur wciąż są nie do złamania.