Fałszywy e-mail od banku czyści konta. Eksperci ostrzegają przed nową falą phishingu

Współczesne metody phishingu są tak dopracowane, że wystarczy jedna nieuważna reakcja na wiadomość e-mail, by stracić całe zaoszczędzone pieniądze. Służby zajmujące się bezpieczeństwem ostrzegają przed nowym trikiem, który ma skłonić ofiary do obniżenia gardy. Mechanizm oparty jest na fałszywej konieczności weryfikacji konta bankowego, a konsekwencje takiego działania mogą być bardzo bolesne.

Taki e-mail od banku trzeba natychmiast usunąć

Przeglądając skrzynkę odbiorczą o poranku, łatwo przeoczyć coś ważnego albo machnąć ręką na wiadomość wymagającą reakcji. Znacznie gorzej, jeśli naszą uwagę przykuje rzekomy komunikat z banku informujący o potrzebie natychmiastowej weryfikacji konta. Z obawy przed zablokowaniem dostępu do karty czy środków, klikamy w załączony link, wypełniamy formularz i uznajemy sprawę za zamkniętą. Tymczasem w rzeczywistości nie dokonujemy żadnej legalnej operacji, a najprawdopodobniej oddajemy przestępcom dostęp do swoich pieniędzy. Według doniesień służb, tego typu spreparowany e-mail bankowy to najnowsze narzędzie w arsenale cyberoszustów.

Sama technika bazuje na dobrze znanych mechanizmach wywierania presji, choć w nowej odsłonie. To właśnie presja czasu i strach są tu kluczowe - wiadomość sugeruje, że brak reakcji i podania danych skończy się poważnymi problemami. Jakich informacji przestępcy próbują od nas wyciągnąć?

• natychmiastowe potwierdzenie tożsamości
• aktualizacja profilu bezpieczeństwa konta online
• weryfikacja danych kontaktowych po domniemanej zmianie regulaminu

Link zawarty w takim mailu przenosi na witrynę stylizowaną tak, by przypominała autentyczną stronę banku. Po wpisaniu tam danych logowania - w tym jednorazowych kodów weryfikacyjnych - przestępcy zdobywają wszystko, czego potrzebują, by przejąć konto ofiary. Pierwsze zgłoszenia dotyczące tej kampanii pochodzą z południa Europy, konkretnie z Grecji, jednak schemat działania oszustów jest praktycznie taki sam bez względu na kraj.

Jak nie dać się złapać i zabezpieczyć się w internecie

Mnogość i pomysłowość zagrożeń w sieci może sugerować, że użytkownik jest wobec nich bezsilny. To jednak nieprawda - kluczowe jest podejście do wiadomości otrzymywanych mailem, SMS-em czy telefonicznie. Choć człowiek często bywa najsłabszym punktem systemu bezpieczeństwa, to właśnie on - a nie żaden program antywirusowy czy skrypt zabezpieczający - ma największy wpływ na to, czy dojdzie do oszustwa. Podstawą skutecznej ochrony jest zasada ograniczonego zaufania, stosowana nie tylko w ruchu drogowym. Warto sprawdzać każdy szczegół wiadomości, weryfikować domenę, z której przyszedł e-mail, a także numer telefonu dzwoniącego. W razie niejasności zawsze można samodzielnie skontaktować się z bankiem - telefonicznie na infolinię lub osobiście w placówce - i uzyskać jednoznaczną informację, czy dana próba kontaktu była próbą oszustwa.

Pomocna jest też wiedza o standardowych praktykach prawdziwych banków, bo oszuści podszywający się pod instytucje finansowe często żądają rzeczy, na które legalny bank nigdy by się nie zdecydował. Prawdziwa instytucja nigdy nie wysyła linków do logowania i nie prosi o podanie loginu, hasła czy jednorazowego kodu. Weryfikacja tożsamości owszem, ma miejsce, ale nigdy w oparciu o przekazanie takich danych. Podczas rozmowy z prawdziwym pracownikiem banku pojawi się odpowiedni monit w aplikacji mobilnej, który pozwoli potwierdzić autentyczność rozmówcy. Jeśli e-mail podający się za komunikat od banku wymaga kliknięcia w link, można być praktycznie pewnym, że mamy do czynienia z oszustwem - w takiej sytuacji nie warto ryzykować. Najlepiej zalogować się do aplikacji mobilnej banku, skontaktować się z jego pracownikiem i zgłosić całą sytuację.