Bank nie wysyła linków do logowania w wiadomościach SMS ani e-mail. Jeśli wiadomość nakłania Cię do podania hasła, kodu autoryzacyjnego lub potwierdzenia przelewu, potraktuj ją jak próbę phishingu. Nie klikaj. Sprawdź adres strony niezależnie, a przy najmniejszych wątpliwościach zadzwoń na oficjalną infolinię banku.
Po czym poznać fałszywy link z banku?
Phishing to wyłudzanie danych za pomocą wiadomości, stron internetowych lub rozmów, które mają wyglądać jak kontakt z bankiem. Oszust wykorzystuje presję czasu, strach przed blokadą rachunku albo obietnicę szybkiego zwrotu pieniędzy, aby skłonić Cię do pochopnego działania.
Nie ufaj samej nazwie nadawcy. W SMS-ach i wiadomościach e-mail można ją podrobić, a prawdziwie wyglądająca strona nie potwierdza, że znajduje się pod kontrolą banku. Najważniejszy jest adres domeny oraz sposób, w jaki wiadomość nakłania do działania.
| Cecha | Sygnał ostrzegawczy | Przykład |
|---|---|---|
| Nadawca | Nazwa wygląda jak nazwa banku, ale wiadomość pochodzi z nieoczekiwanego numeru lub adresu. | SMS wyświetla nazwę banku, choć numer nie jest znany. |
| URL | Adres zawiera literówki, dodatkowe słowa albo obcą domenę. | bank-bezpieczenstwo.pl zamiast oficjalnej domeny banku. |
| Treść | Wiadomość prosi o hasło, kod SMS, dane karty lub zatwierdzenie logowania. | „Potwierdź dostęp do konta, aby uniknąć blokady”. |
| Presja | Nadawca wymaga natychmiastowej reakcji i grozi konsekwencjami. | „Masz 10 minut na potwierdzenie, inaczej konto zostanie zamknięte”. |
Jak sprawdzić link bez klikania?
Nie otwieraj odnośnika tylko po to, aby sprawdzić, dokąd prowadzi. Weryfikuj go z poziomu wiadomości, a logowanie rozpoczynaj przez samodzielne wpisanie adresu banku w przeglądarce albo przez oficjalną aplikację.
- Na komputerze najedź kursorem na link. Nie klikaj. W wielu programach adres pojawi się w dolnej części okna lub w dymku. Porównaj go z oficjalną domeną banku.
- Na telefonie przytrzymaj link palcem. Zobaczysz podgląd adresu lub menu z jego pełną treścią. Jeśli urządzenie od razu otwiera stronę, zamknij ją bez wpisywania danych.
- Sprawdź właściwą domenę. Czytaj adres od prawej strony, pomijając końcówkę ścieżki. W adresie bank.example.com domeną jest example.com, a nie słowo „bank”. Dodatkowe człony, literówki i nietypowe końcówki powinny wzbudzić czujność.
- Nie uznawaj kłódki za dowód autentyczności. Szyfrowane połączenie może mieć także strona oszusta. Liczy się poprawna domena, nie sam symbol kłódki ani wygląd witryny.
Przykładowo adres bank.pl może być prawidłową domeną, ale bank-bezpieczenstwo.pl, bank.pl.inna-domena.com lub bank1.pl nie muszą mieć z bankiem nic wspólnego. Jeśli nie masz pewności, nie próbuj rozstrzygać tego pod presją. Zamknij wiadomość i otwórz aplikację bankową z ikony na urządzeniu.
Kliknąłem w link – co teraz?
Samo kliknięcie nie zawsze oznacza utratę pieniędzy, ale ryzyko rośnie, jeśli strona skłoniła Cię do wpisania danych, pobrania pliku albo zatwierdzenia operacji. Działaj szybko i nie kontaktuj się z bankiem przez link z podejrzanej wiadomości.
Jeśli otworzyłeś stronę lub podałeś jakiekolwiek informacje, wykonaj te kroki:
- Odłącz urządzenie od internetu. Wyłącz Wi-Fi lub transmisję danych, szczególnie jeśli został pobrany plik albo uruchomiono nieznaną aplikację.
- Nie wpisuj kolejnych danych i nie zatwierdzaj operacji. Zamknij podejrzaną stronę oraz przerwij rozmowę z osobą, która do niej przekierowała.
- Zmień hasło do bankowości z innego, zaufanego urządzenia. Zmień także hasło używane ponownie w innych usługach. Nie korzystaj z urządzenia, na którym mogło dojść do zainfekowania.
- Natychmiast skontaktuj się z bankiem. Użyj numeru z oficjalnej karty, umowy lub strony wpisanej ręcznie w przeglądarce. Poproś o sprawdzenie rachunku, zablokowanie dostępu lub karty, jeśli jest to potrzebne.
- Sprawdź historię rachunku i powiadomienia. Zgłoś bankowi każdą nieznaną transakcję, zlecenie lub próbę logowania.
Jeżeli podałeś kod autoryzacyjny, dane karty albo zatwierdziłeś przelew, powiedz o tym konsultantowi od razu. W takiej sytuacji liczy się czas, a bank może wskazać dalszą procedurę zabezpieczenia rachunku.
Czego nie robić podczas rozmowy z „helpdeskiem”?
Bank nie prosi o instalację programu do zdalnego dostępu ani o przekazanie kontroli nad komputerem lub telefonem.
Oszuści mogą zadzwonić po wysłaniu fałszywego SMS-a albo udawać pracowników banku. Twierdzą wtedy, że wykryli atak i muszą „zabezpieczyć” konto. Następnie nakłaniają do instalacji narzędzi takich jak AnyDesk lub TeamViewer, podania kodu z aplikacji albo wykonania przelewu na rzekomo bezpieczny rachunek.
Nie instaluj takiego oprogramowania na prośbę rozmówcy, nie podawaj mu kodów i nie pozwalaj na zdalne sterowanie urządzeniem. Rozłącz się, a następnie samodzielnie wybierz oficjalny numer banku. Nazwa konsultanta, numer wyświetlony na ekranie ani znajomość części Twoich danych nie potwierdzają tożsamości rozmówcy.
Krótka kontrola przed reakcją
Zanim podejmiesz działanie po otrzymaniu wiadomości, sprawdź:
- Czy oczekiwałem tej wiadomości i czy rzeczywiście muszę teraz coś zrobić?
- Czy link prowadzi do dokładnie właściwej domeny banku?
- Czy ktoś prosi mnie o hasło, kod, dane karty albo instalację programu?
- Czy mogę zamknąć wiadomość i samodzielnie skontaktować się z bankiem?
Gdy choć jedna odpowiedź budzi wątpliwości, nie korzystaj z linku. Wejdź do banku przez oficjalną aplikację lub wpisany ręcznie adres i skontaktuj się z bankiem niezależnym kanałem.
Artykuł ma charakter informacyjny. W przypadku podejrzenia wyłudzenia danych lub nieautoryzowanej transakcji niezwłocznie skontaktuj się ze swoim bankiem za pomocą oficjalnego kanału.
