- Urząd Komunikacji Elektronicznej

Strzeż się smishingu

Dostałeś SMS od firmy kurierskiej z informacją, że musisz dopłacić do przesyłki? A może napisał do Ciebie dostawca energii, że brakuje kilku złotych do ostatniego rachunku? Uważaj, bo prawdopodobnie jest to próba oszustwa.

Wielu z nas zna pojęcie phishingu, które tłumaczymy jako różnego rodzaju oszustwa, w których przestępcy podszywają się pod inne osoby lub instytucje. Po co? Cel ataku może być różny, ale najpopularniejsze z nich to przede wszystkim zdobycie naszych danych osobowych lub informacji o karcie kredytowej, a także zainfekowanie sprzętu jakimś szkodliwym oprogramowaniem, które może doprowadzić np. do możliwości zdalnego dostępu.

Jedną z odmian phishingu jest smishing, czyli oszustwo wykorzystujące komunikację SMS. W tym przypadku niestety trzeba docenić pomysłowość przestępców, gdyż tworząc ataki, świetnie potrafią dopasować się do aktualnej sytuacji w kraju i na świecie. Mieliśmy już przypadki wiadomości informujących o konieczności rejestracji na szczepienia, a także takie przypominające o rozliczeniu PIT. Oczywiście liczba SMS-ów od firmy kurierskiej wzrasta przede wszystkim w okresie przedświątecznym.

Impuls i niska kwota

Mimo wielu wariantów główny schemat działania jest bardzo podobny. Link w SMS-ie prowadzi zwykle do podstawionej strony z fałszywym panelem płatności. Inna opcja to otwarcie strony z odnośnikiem do pobrania aplikacji. Oczywiście otwierane witryny do złudzenia mają przypominać te oryginalne. Jest to szalenie niebezpieczne, gdyż mając „zadanie” dopłacenia niewielkiej kwoty, zwykle nie analizujemy tego zbyt długo. Wchodzimy w link, widzimy stronę, którą – jak sadzimy – dobrze znamy (np. portal służący do płatności), wybieramy swój bank i logujemy się do niego. Być może zastanowilibyśmy się nad tym działaniem, gdybyśmy spojrzeli na adres strony, na której jesteśmy. Zwykle ma on w swojej treści fragment oryginału, ale to jedyne, co łączy go z rzeczywistym adresem. Na nasze szybkie, często impulsywne działanie liczą oszuści. Ta niska kwota do zapłaty, ma sprawić, że potraktujemy ją, jako błahostkę i szybko zechcemy załatwić sprawę i o niej zapomnieć, bo przecież tyle mamy na głowie.

Lista Ostrzeżeń

Każdą taką wiadomość możemy zgłosić do CERT Polska. Dzięki funkcji „przekaż” lub „udostępnij” możemy przesłać treść wiadomości na nr 799 448 084. Ważne, aby przesłać całą wiadomość w oryginalnej formie. Po weryfikacji analityków strona zostanie wpisana na Listę Ostrzeżeń. Jeśli zauważymy próbę wyłudzenia przy wykorzystaniu wiadomości email, lub bezpośrednio na jakiejś stronie także możemy to zgłosić do NASK na stronie incydent.cert.pl/phishing lub emailem na adres: cert@cert.pl

Na mocy porozumienia z marca 2020 r. operatorzy zobowiązali się m.in. do blokowania dostępu do stron internetowych, wykorzystujących nazwy domen internetowych opublikowanych na Liście Ostrzeżeń.

Zachowaj czujność, ostrzeż bliskich

Na pewno nie jest łatwo uchronić się przed atakami. Metody stosowane przez oszustów są ciągle doskonalone by wprowadzić nas błąd. Żyjemy w czasach z praktycznie nieograniczonym dostępem do informacji i przeróżnych wiadomości. Często przeglądamy je szybko, być może niedokładnie, bo przecież kolejne już na nas czekają. Pamiętajmy jednak, że na to właśnie liczą oszuści. Zachowajmy czujność i nie dajmy się nabrać. Jeśli mamy jakiekolwiek wątpliwości, nie jesteśmy pewni czy faktycznie nie powinniśmy czegoś dopłacić bądź uzupełnić danych to nigdy nie róbmy tego wchodząc przez link z SMS-a. Sami skontaktujmy się z firmą, która jest nadawcą wiadomości i potwierdźmy telefonicznie czy faktycznie ona czegoś od nas chce. Ważne jest także aby informować naszych bliskich o możliwych atakach, niech i oni będą mieli świadomość, że nie każda wiadomość jaką otrzymujemy musi być prawdziwa.

Łukasz Kiwicz, główny specjalista, Departament Polityki Konsumenckiej

Inne filmy z cykly #EkspertRadzi znajdziecie  na playliście na naszym kanale YouTube