Czekasz na dostawę do biura. Telefon pokazuje wiadomość o małej dopłacie, bez której przesyłka ma wrócić do nadawcy. Kwota jest niewielka, a link wygląda jak najszybszy sposób zamknięcia sprawy. Zanim przejdziesz do płatności, sprawdź przesyłkę w oficjalnej aplikacji lub na stronie przewoźnika otwartej samodzielnie.
Phishing wysyłany SMS-em nazywa się smishingiem. W oszustwie na paczkę drobna opłata może być tylko pretekstem do zdobycia danych karty, danych logowania lub nakłonienia do innej niebezpiecznej czynności.
Dlaczego tak łatwo zlekceważyć małą kwotę?
Rozważmy fikcyjny przykład. Marek zamówił materiały do firmy. Między spotkaniami dostaje prośbę o dopłatę 2,49 zł. Nie zastanawia się nad nadawcą, bo sam pamięta, że paczka jest w drodze. Chce jedynie uniknąć kłopotu z dostawą.
W jego ocenie ryzyko wynosi kilka złotych. Na stronie może jednak podać informacje pozwalające przeprowadzić znacznie większą operację. CERT Polska opisuje połączenie presji czasu i niewielkiej dopłaty jako mechanizm usypiania czujności. Materiał o fałszywych SMS-ach.
Nie trzeba też zakładać, że oszust zna konkretną przesyłkę. Wiadomość może po prostu trafić na osobę, która akurat czegoś oczekuje.
Jakie elementy SMS-a warto sprawdzić?
Przyjrzyj się, czy wiadomość pasuje do sytuacji: czy rzeczywiście korzystasz z tego przewoźnika, czy rozpoznajesz numer przesyłki i czy informacja jest widoczna w oficjalnym systemie.
Nie traktuj nazwy nadawcy, logo na stronie ani znajomo brzmiącego adresu jako wystarczającego dowodu. Zwróć też uwagę, czego wymaga formularz. Czy do wyjaśnienia problemu z doręczeniem rzeczywiście potrzebna jest instalacja aplikacji albo podanie danych bankowości?
Wariantów wiadomości jest więcej niż dopłata. Pretekstem bywa uzupełnienie adresu, zmiana terminu dostawy lub zainstalowanie narzędzia do śledzenia paczki. Schemat może się zmieniać; nawyk niezależnego sprawdzenia pozostaje przydatny.
Jak sprawdzić paczkę bez korzystania z linku?
Otwórz aplikację przewoźnika, z której korzystasz, albo samodzielnie wpisz znany adres jego strony. Użyj numeru z potwierdzenia zamówienia, niekoniecznie tego, który pojawił się w podejrzanym SMS-ie.
Jeśli nadal nie możesz wyjaśnić sytuacji, skontaktuj się ze sklepem lub przewoźnikiem przez oficjalny kanał. Nie odpowiadaj oszustowi, żeby poprosić o dodatkowe dowody: zdjęcie paczki czy potwierdzenie płatności również można podrobić.
Nie instaluj programu z linku tylko dlatego, że wiadomość przedstawia go jako niezbędny do odebrania zamówienia. CERT Polska wymienia fałszywe prośby o instalację aplikacji wśród schematów wykorzystywanych w takich wiadomościach. Przykłady CERT Polska.
Gdzie zgłosić podejrzany SMS?
W Polsce przekaż całą wiadomość na numer 8080, korzystając z funkcji przekazywania w telefonie. Zachowaj oryginalną treść i link. CERT Polska potwierdza ten sposób zgłaszania; numer służy do przyjmowania SMS-ów. Informacja CERT Polska.
Jeśli wiadomość dotyczy telefonu służbowego albo wpłynęła na bezpieczeństwo kont firmowych, skorzystaj również z wewnętrznego kanału zgłoszeń. Zgłoszenie zewnętrzne nie poinformuje automatycznie administratora Twojej firmy.
Co zrobić po wpisaniu danych na fałszywej stronie?
To zależy od rodzaju danych. Przy informacjach o karcie lub bankowości skontaktuj się pilnie z bankiem. Przy haśle do służbowego konta zgłoś sprawę IT i zabezpiecz konto. Jeśli instalowano aplikację, powiedz o tym osobie udzielającej pomocy.
Zachowaj wiadomość i potwierdzenia operacji. Nie uznawaj problemu za zamknięty tylko dlatego, że strona wyświetliła błąd. Dalsze kroki opisujemy w poradniku co zrobić po kliknięciu podejrzanego linku.
Co ma prywatna paczka do bezpieczeństwa firmy?
Granica między pracą a prywatnym telefonem bywa cienka. To na nim może działać firmowa poczta lub aplikacja do zatwierdzania logowania. Sam prywatny SMS nie oznacza zagrożenia całej organizacji, ale użycie tego samego urządzenia do kilku celów powinno być uwzględnione w zasadach pracy.
Warto ustalić, komu pracownik zgłasza podejrzaną instalację na telefonie używanym również służbowo. Pomaga też prosta zasada: problemu z prywatną dostawą nie rozwiązujemy hasłem do firmowej poczty.
Czy każdy SMS z linkiem to oszustwo?
Nie. Sam link nie przesądza o zagrożeniu. Szczególnej uwagi wymagają wiadomości, które wymuszają szybką płatność, logowanie lub instalację.
Mechanizm presji czasu pojawia się także w phishingu e-mailowym. Omawianie go podczas kampanii e-mailowych w SafeLure pomaga połączyć szkolenie z sytuacjami, które pracownicy znają z telefonu.
