Kliknąłeś link od oszusta? Masz kilka minut, żeby ograniczyć szkody
Kliknąłeś w podejrzany link, podałeś hasło, dane karty lub pobrałeś plik? Sprawdź, co zrobić po phishingu, by szybko ograniczyć możliwe szkody.
SMS o niedopłacie za paczkę, mail z banku o blokadzie konta, wiadomość o mandacie albo konieczności potwierdzenia danych. Klikasz odruchowo, strona się otwiera i dopiero po chwili zauważasz coś dziwnego w adresie. Wtedy pojawia się pytanie: co teraz?
Samo kliknięcie nie jest jeszcze tym samym co podanie hasła, danych karty czy uruchomienie pobranego pliku. Phishing działa przede wszystkim etapami. Link ma sprowadzić cię na stronę oszusta, a dopiero później skłonić do logowania, płatności, instalacji aplikacji albo przekazania danych. To, co powinieneś zrobić, zależy więc od tego, jak daleko zaszedłeś. Przede wszystkim nie panikuj.
Najpierw ustal, co właściwie zrobiłeś
Czy tylko otworzyłeś stronę i ją zamknąłeś? Czy wpisałeś login i hasło? Podałeś dane karty, kod autoryzacyjny lub dane bankowości? A może strona kazała pobrać plik albo aplikację i faktycznie ją uruchomiłeś? To cztery różne poziomy zagrożenia. W pierwszym oszust mógł nie dostać od ciebie niczego istotnego. W drugim może już znać dane pozwalające przejąć konto. W trzecim zagrożone są pieniądze, a w czwartym trzeba brać pod uwagę również infekcję urządzenia.
Jeżeli otworzyłeś podejrzaną stronę, ale niczego na niej nie wpisałeś, nie zaakceptowałeś uprawnień i niczego nie pobrałeś, zamknij kartę i po prostu do niej nie wracaj. Sprawdź folder pobranych plików oraz historię pobierania. Jeśli znalazł się tam nieznany plik, nie otwieraj go żeby zobaczyć, co to.
Samo wejście na fałszywą witrynę nie oznacza od razu, że przestępca dostał hasło do naszego banku czy numer karty. W wielu atakach strona jest po prostu atrapą, której zadaniem jest nakłonienie ofiary do samodzielnego wpisania danych. Może też próbować wymusić pobranie pliku, instalację aplikacji albo wykonanie kolejnej czynności pod presją czasu.
Jeżeli wpisałeś dane logowania na fałszywej stronie, nie korzystaj ponownie z linku z wiadomości. Otwórz samodzielnie prawdziwą aplikację albo wpisz adres serwisu w przeglądarce i natychmiast zmień hasło. Jeżeli usługa pozwala wylogować wszystkie aktywne sesje, zrób również to.
Sprawdź też, gdzie jeszcze używałeś tego samego hasła. Przestępca może próbować tej samej kombinacji w innych serwisach, dlatego każde powtórzone hasło powinno zostać zmienione. Szczególną uwagę poświęć skrzynce e-mail, bo właśnie na nią trafiają linki do resetowania haseł. Włącz 2FA, sprawdź aktywne sesje i ustawienia odzyskiwania konta. Jeśli podałeś dane do bankowości elektronicznej, skontaktuj się z bankiem.
Podałeś dane karty? Nie czekaj na pierwszą podejrzaną płatność
Numer karty, data ważności i kod CVC/CVV to dane finansowe, więc nie ma sensu obserwować konta i liczyć, że nic się nie wydarzy. Skontaktuj się z bankiem od razu i opisz, jakie informacje zostały ujawnione. Bank może zdecydować o zablokowaniu lub zastrzeżeniu karty i wskazać dalsze kroki.
Jeszcze pilniej reaguj, jeżeli zatwierdziłeś operację, podałeś kod autoryzacyjny, wykonałeś przelew albo przekazałeś dane logowania do bankowości. Nie dzwoń na numer podany w wiadomości od oszusta. Użyj oficjalnej aplikacji banku, numeru z jego strony albo numeru znajdującego się na karcie.
Pobrałeś plik albo zainstalowałeś aplikację? To inny rodzaj problemu
Fałszywa strona nie zawsze chce tylko hasła. Czasami jej celem jest nakłonienie użytkownika do uruchomienia programu, instalacji aplikacji spoza oficjalnego sklepu albo nadania jej szerokich uprawnień. W takim scenariuszu trzeba brać pod uwagę infekcję urządzenia.
Jeżeli plik został jedynie pobrany, ale go nie uruchomiłeś, to po prostu go usuń i wykonaj skanowanie bezpieczeństwa. Jeżeli aplikację zainstalowałeś lub plik został otwarty, sprawdź ostatnio zainstalowane programy i nadane im uprawnienia. Na smartfonie szczególnie podejrzane są aplikacje, które bez wyraźnego powodu żądają dostępu do SMS-ów, powiadomień, ekranu czy funkcji ułatwień dostępu.
Najważniejszych haseł nie zmieniaj z urządzenia, którego bezpieczeństwa nie jesteś pewien. Lepiej użyć innego, zaufanego sprzętu, a podejrzane urządzenie najpierw przeskanować.
Oszustwo nie kończy się na jednym kliknięciu. Dlatego ochrona też nie powinna
Phishing nie sprowadza się do jednego triku. Oszust może zdobyć twój e-mail, wysłać wiarygodną wiadomość, przekierować na fałszywą stronę, a na końcu wyłudzić hasło lub nakłonić do instalacji aplikacji. Nie istnieje jeden przycisk, który cofnie wszystkie skutki takiego zdarzenia.
Surfshark rozwija narzędzia non-VPN właśnie wokół takiego wieloetapowego ryzyka. W aplikacji na iOS funkcje ochrony przed oszustwami zostały skupione w Antiscam Hub. Jedną z nich jest Unsafe Site Blocking, które pozwala blokować wybrane kategorie niebezpiecznych stron, w tym witryny sklasyfikowane jako scam. To warstwa prewencyjna: ma zmniejszyć ryzyko wejścia tam, gdzie zaczyna się część podobnych ataków.
Drugą warstwą jest Surfshark Alert. Narzędzie monitoruje bazy wykradzionych informacji i może ostrzegać, gdy pojawią się w nich dane powiązane z monitorowanym adresem e-mail, kartą czy dokumentem tożsamości. Nie cofnie hasła wpisanego przed chwilą na fałszywej stronie i nie zastąpi telefonu do banku, ale pomaga wychwycić późniejszy wyciek danych.
Surfshark oferuje też Alternative Email w ramach Alternative ID. Pozwala utworzyć alternatywny adres przekazujący wiadomości do głównej skrzynki. Sprawdza się tam, gdzie serwis potrzebuje maila, ale nie ma powodu, by dostawał adres używany do najważniejszych kont.
Jeżeli podejrzany link doprowadził do pobrania pliku, przydatna staje się jeszcze inna warstwa – Surfshark Antivirus, którego zadaniem jest skanowanie urządzenia i ochrona przed złośliwym oprogramowaniem. To dobrze pokazuje, dlaczego ochrona przed scamem nie powinna kończyć się na próbie rozpoznania podejrzanego SMS-a na oko.
Zabezpiecz także to, czego oszust jeszcze nie dotknął
Po zmianie przejętego hasła i zabezpieczeniu banku zrób krótki przegląd pozostałych kont. Włącz 2FA tam, gdzie jeszcze go nie używasz, usuń powtarzające się hasła, sprawdź aktywne sesje i upewnij się, że dane do odzyskiwania kont nadal należą do ciebie. Jeśli podałeś dużo danych osobowych, rozważ również zastrzeżenie numeru PESEL.
Przez kolejne dni zwracaj uwagę na nietypowe maile, SMS-y i powiadomienia o logowaniu. Zdobyte informacje mogą posłużyć do przygotowania kolejnej, lepiej dopasowanej próby oszustwa.
Zgłoś oszustwo, nawet jeśli tym razem zdążyłeś się wycofać
Podejrzane SMS-y z linkami można bezpłatnie przekazywać do CERT Polska na numer 8080. Inne incydenty, w tym fałszywe strony i wiadomości e-mail, można zgłaszać przez serwis incydent.cert.pl lub usługę Bezpiecznie w sieci w aplikacji mObywatel. Jeżeli doszło do utraty pieniędzy, przejęcia konta albo innego przestępstwa, sprawę należy zgłosić również policji lub prokuraturze.
Jeśli tylko otworzyłeś stronę, zamknij ją i sprawdź pobrane pliki. Jeśli podałeś hasło – natychmiast je zmień i zabezpiecz powiązane konta. Jeśli ujawniłeś dane karty lub bankowości – skontaktuj się z bankiem. A jeśli uruchomiłeś podejrzany plik lub aplikację, potraktuj urządzenie jak potencjalnie zainfekowane. Kilka minut rozsądnego działania może zrobić większą różnicę niż kilka godzin zastanawiania się, czy może jednak nic się nie stało.
*Źródło grafiki wprowadzającej: Warchi, Getty Images Signature, Canva Pro / Canva Pro
Redaktor Spider's Web specjalizujący się w tematyce naukowej. O nowych technologiach zaczął pisać w 2012 r. na łamach portalu Telix. Później współtworzył treści dla Komputer Świata i PCLabu. Epizod dziennikarski zaliczył także w lokalnej gazecie i w dziale blogowym SpeedTest. Współzałożyciel agencji BlueCopy, zajmującej się copywritingiem i poligrafią. Przez pewien czas właściciel firmy transportowej. Prywatnie fan starych polskich oper mydlanych (oglądanych obowiązkowo z konkubiną), dumny opiekun kotki brytyjskiej i pasjonat-amator druku 3D.