Dostałeś SMS z urzędu? Jedno kliknięcie i tracisz oszczędności

Groźny SMS z "Urzędu" i tylko 24 godziny na reakcję

Specjaliści z zespołu CERT Orange Polska ostrzegają przed nową falą ataków phishingowych. Oszuści po raz kolejny podszywają się pod instytucje państwowe, aby uśpić czujność swoich ofiar i wywołać w nich panikę.

Mechanizm działania jest prosty, ale wciąż bardzo skuteczny. Na telefon przychodzi wiadomość "przypominająca" o rzekomej zaległości oraz o konieczności podjęcia konkretnych działań. Te należy wykonać w krótkim czasie, na przykład w ciągu 24 godzin.

Przestępcy korzystają ze specjalnych bramek SMS, które pozwalają na podmianę nazwy nadawcy. Dzięki temu zamiast zwykłego numeru telefonu na ekranie smartfonu wyświetla się poważnie brzmiący podpis. W trwającej właśnie kampanii wykorzystywane są między innymi takie nazwy jak:

• Urzad.pl,
• Urzad-pl,
• e-Urzad,
• e-Urzad.pl,
• Urzad,
• MyGOV,
• TKINFO.

Trzeba jednak pamiętać, że oszuści na bieżąco modyfikują swoje metody. W kolejnych dniach na telefonach mogą pojawiać się zupełnie inne, równie wiarygodnie wyglądające podpisy.

Fałszywa skarbówka wyłudza dane do banku

W treści wiadomości znajduje się link, na przykład e-urzad.eu.cc. Po kliknięciu w niego ofiara trafia na stronę, która do złudzenia przypomina oficjalny serwis e-Urzędu Skarbowego. Znalazły się tam nawet logotypy Ministerstwa Finansów oraz Krajowej Administracji Skarbowej.

Na fałszywej witrynie widnieją różne opcje logowania do usług rządowych. W praktyce nie ma jednak żadnego znaczenia, w którą z nich klikniemy. Każda opcja prowadzi dokładnie w to samo miejsce, czyli do panelu z wyborem naszego banku.

Dalszy przebieg ataku to już klasyczny schemat wyłudzenia danych:

• wybierasz z listy swój bank i trafiasz na stronę, która jest idealną kopią jego prawdziwego serwisu logowania,
• wpisujesz w formularzu swój login oraz hasło, oddając je bezpośrednio w ręce przestępców,
• oszuści stosują kolejną sztuczkę socjotechniczną i podsuwają komunikat, który ma skłonić Cię do zatwierdzenia drugiego składnika uwierzytelniania (np. kodu SMS lub powiadomienia w aplikacji mobilnej),
• przestępcy przejmują pełną kontrolę nad rachunkiem i na bieżąco wyprowadzają z niego wszystkie oszczędności.

Nie daj się okraść!

Uważaj na takie wiadomości, by nie stracić oszczędności zgromadzonych na koncie w banku. Przede wszystkim nie wierz w samą nazwę nadawcy wiadomości SMS. Wyświetlenie podpisu "Urzad.pl" czy "MyGOV" w żaden sposób nie potwierdza, że nadawcą jest prawdziwa instytucja publiczna. Zawsze warto dokładnie sprawdzić sam adres linku przed kliknięciem. Prawdziwe strony polskiej administracji państwowej korzystają z domeny kończącej się na gov.pl. Dziwne adresy z końcówkami takimi jak .eu.cc to stuprocentowa gwarancja oszustwa.

Naszą czujność powinien też natychmiast wzbudzić sam proces logowania. Jeśli na rzekomej stronie rządowej wybieramy opcję logowania na przykład danymi podatkowymi, a system nagle żąda od nas wybrania banku i podania hasła do konta osobistego, mamy do czynienia z pułapką. Podczas logowania do bankowości elektronicznej zawsze trzeba mieć absolutną pewność, że znajdujemy się na oryginalnej stronie naszego banku.

Co zrobić, jeśli daliśmy się nabrać, wpisaliśmy dane na fałszywej stronie i zatwierdziliśmy operację w telefonie? W takiej sytuacji liczy się każda sekunda. Należy natychmiast skontaktować się ze swoim bankiem, zablokować dostęp do konta i spróbować wstrzymać zlecone przez oszustów transakcje.

Pamiętaj jednak, że nawet jeśli transakcja zostanie już wykonana, wciąż masz określone prawa jako konsument. Przeczytasz o nich między innymi na stronach Rzecznika Finansowego oraz Urzędu Ochrony Konkurencji i Konsumentów. Jest tam mowa o rzeczach, o których banki często "zapominają".