Fałszywy SMS ani mail nie wyrządza szkody sam z siebie. Problem zaczyna się po kliknięciu, a właściwie po wpisaniu danych na stronie, która się wtedy otwiera. Ocena adresu zajmuje kilkanaście sekund i w większości przypadków rozstrzyga sprawę. Oto, na co patrzeć.
Czytaj domenę, nie cały adres
W adresie liczy się jeden fragment: to, co stoi bezpośrednio przed pierwszym pojedynczym ukośnikiem, a w tym fragmencie dwa ostatnie człony oddzielone kropką. W adresie inpost.doplata-paczka.xyz/sledzenie prawdziwą domeną jest doplata-paczka.xyz, a słowo inpost to tylko subdomena, którą oszust może nazwać dowolnie. Zasada działa też w drugą stronę: allegro.pl/oferta/cokolwiek prowadzi do Allegro, niezależnie od tego, co znajduje się po ukośniku.
Na telefonie adres bywa ucięty, więc przytrzymaj link zamiast go dotknąć: Android i iOS pokażą pełny adres w podglądzie, bez otwierania strony.
Trzy sztuczki, na które nabiera się najwięcej osób
- Literówka w znanej nazwie. Adresy w rodzaju allegr0.pl, inpots.pl czy paczkomaty-inpost.com wyglądają poprawnie przy pobieżnym spojrzeniu.
- Marka w subdomenie. mbank.bezpieczne-logowanie.info to domena bezpieczne-logowanie.info, a nie mBank.
- Podmienione znaki. Litery z innych alfabetów potrafią wyglądać identycznie jak łacińskie. Przeglądarki bronią się przed tym, wyświetlając wtedy adres w zapisie zaczynającym się od xn--, i taki ciąg w pasku adresu jest sygnałem ostrzegawczym.
Kłódka i https niczego nie gwarantują
Certyfikat oznacza tylko tyle, że połączenie ze stroną jest szyfrowane. Certyfikaty są darmowe i wystawiane automatycznie, więc strony phishingowe mają je praktycznie zawsze. Kłódka mówi, że nikt nie podsłuchuje transmisji, a nie że strona jest uczciwa.
Skracacze linków: rozwiń przed otwarciem
Adresy typu bit.ly czy tinyurl ukrywają cel i dokładnie o ten efekt chodzi oszustom. Zanim otworzysz, sprawdź, dokąd prowadzi skrócony link: część usług pokazuje podgląd po dopisaniu znaku plus na końcu adresu, są też darmowe narzędzia do rozwijania linków. Zasada bez wyjątków: skrócony adres w wiadomości o pieniądzach, paczce albo koncie w banku traktuj jako podejrzany.
Narzędzia, które sprawdzą adres za Ciebie
- Lista ostrzeżeń CERT Polska pod adresem hole.cert.pl zbiera domeny wykorzystywane w polskich kampaniach phishingowych. Operatorzy blokują je w swoich sieciach, a Ty możesz sprawdzić konkretny adres albo zgłosić nowy.
- VirusTotal sprawdza adres w kilkudziesięciu silnikach reputacyjnych naraz. Wynik traktuj jako wskazówkę, nie wyrocznię: świeżo zarejestrowana domena bywa jeszcze czysta.
- Numer 8080. Podejrzany SMS przekaż na ten numer. Zgłoszenie jest bezpłatne, trafia do CERT Polska i na jego podstawie operatorzy blokują kampanię u wszystkich abonentów. Mechanizm opisujemy w przewodniku po fałszywych SMS-ach.
Kod QR to ten sam problem w innej formie, bo adresu nie widać przed zeskanowaniem. Jak się przed tym bronić, piszemy w artykule o quishingu.
Kliknąłem. Co teraz
Samo otwarcie strony rzadko wystarcza do przejęcia konta. Groźne jest to, co dzieje się potem: wpisanie loginu, hasła, kodu z SMS-a albo instalacja aplikacji spoza oficjalnego sklepu.
- 1Jeśli podałeś dane logowania do banku, dzwoń na infolinię i blokuj dostęp, a potem zmień hasło.
- 2Jeśli podałeś numer karty, zastrzeż ją. Oszuści testują dane zwykle w ciągu kilkunastu minut.
- 3Jeśli zainstalowałeś aplikację, odłącz telefon od sieci i odinstaluj ją. Przy podejrzeniu zdalnego dostępu sprawdź poradnik o fałszywym telefonie o wirusie.
- 4Zgłoś incydent na incydent.cert.pl, a przy stracie pieniędzy złóż zawiadomienie na policji.
Najczęściej zadawane pytania
Czy samo kliknięcie w link może zainfekować telefon?
W praktyce rzadko. Zdecydowana większość ataków w Polsce polega na wyłudzeniu danych na fałszywej stronie albo na nakłonieniu do instalacji aplikacji, a nie na automatycznej infekcji. To nie powód do beztroski, ale też nie powód do paniki po samym otwarciu adresu.
Jak sprawdzić link, nie otwierając go?
Na telefonie przytrzymaj palcem, na komputerze najedź kursorem i przeczytaj adres na pasku stanu. Możesz też skopiować sam link przez menu kontekstowe i wkleić go do wyszukiwarki na hole.cert.pl albo do VirusTotal, zamiast wklejać do paska adresu przeglądarki.
Skąd oszust wie, że akurat czekam na paczkę?
Zwykle nie wie. Wiadomości idą masowo na listy numerów pochodzące z wycieków, a trafienie w osobę faktycznie oczekującą przesyłki jest kwestią statystyki. Skąd biorą się takie listy, tłumaczymy w tekście o wycieku numeru telefonu.
Czy adres bez https jest zawsze niebezpieczny?
Brak szyfrowania to dziś sygnał zaniedbania, ale sam w sobie nie przesądza o oszustwie. Rozstrzyga domena i to, czego strona od Ciebie chce. Formularz logowania albo płatności na stronie bez https zostaw bez wypełniania.
