Na ekranie telefonu widzisz numer banku. Osoba po drugiej stronie informuje o podejrzanym przelewie i proponuje natychmiastową pomoc. Brzmi wiarygodnie? Właśnie na to liczą oszuści. Wyświetlany numer nie jest wystarczającym dowodem tożsamości rozmówcy.

W trzeciej części cyklu Oxynet „Bezpieczeństwo w sieci” wyjaśniamy, czym jest spoofing telefoniczny, jak wykorzystują go fałszywi pracownicy banków oraz jak sprawdzić rozmówcę, zanim przekażesz dane lub pieniądze.

Zatrzymaj się. Rozłącz. Sprawdź rozmówcę niezależnym kanałem.
Nie przekazuj pieniędzy ani danych tylko dlatego, że ktoś przedstawia sprawę jako pilną.

Czym jest spoofing numeru telefonu?

Spoofing telefoniczny, nazywany też CLI spoofingiem, polega na podszyciu się pod numer prezentowany odbiorcy połączenia. Na wyświetlaczu może pojawić się numer kojarzony z bankiem, instytucją albo znajomą osobą, mimo że połączenie nie pochodzi od niej.

Nie oznacza to automatycznie przejęcia telefonu właściciela numeru. Oszust wykorzystuje fałszywą identyfikację, aby uwiarygodnić swoją historię.

Spoofing może dotyczyć różnych identyfikatorów, na przykład adresów e-mail. W tym poradniku skupiamy się na fałszowaniu identyfikacji połączeń telefonicznych i próbach wyłudzeń podczas rozmowy.

Fałszywy pracownik banku: trzy sygnały ostrzegawcze

Rozmowa często zaczyna się od informacji o podejrzanym przelewie lub kredycie. Rzekomy konsultant proponuje natychmiastowe „ratowanie pieniędzy”. Na co szczególnie uważać?

1. Polecenie zainstalowania aplikacji

Program ma podobno zabezpieczyć rachunek lub pomóc w weryfikacji. W rzeczywistości może umożliwić dostęp do ekranu i sterowanie urządzeniem. Nawet legalne narzędzie do zdalnej pomocy może zostać wykorzystane przez przestępcę. Nie instaluj go na polecenie niezweryfikowanego rozmówcy.

2. Przelew na „bezpieczne konto”

Przestępca przekonuje, że trzeba przenieść oszczędności na wskazany rachunek. Nie wykonuj takiego przelewu. Przerwij rozmowę i sprawdź sytuację bezpośrednio w banku.

3. Prośba o hasło lub kod autoryzacyjny

Nie dyktuj hasła do bankowości, PIN-u, kodów SMS ani kodu BLIK. Nie zatwierdzaj operacji tylko dlatego, że rozmówca nazywa ją „anulowaniem przelewu”. Przeczytaj, czego rzeczywiście dotyczy komunikat w aplikacji.

Jak sprawdzić, kto naprawdę dzwoni?

1. Zakończ połączenie. Nie pozwalaj rozmówcy „przełączyć” Cię do innego konsultanta w celu potwierdzenia jego tożsamości.
2. Samodzielnie wybierz właściwy numer. Numer banku sprawdź na karcie lub oficjalnej stronie. Wpisz go samodzielnie zamiast bez sprawdzenia oddzwaniać z historii połączeń. Nie korzystaj z numeru podyktowanego przez podejrzanego rozmówcę.
3. Opisz otrzymaną prośbę. Zapytaj, czy bank rzeczywiście próbował się z Tobą skontaktować i czy na rachunku występuje zgłoszony problem. Jeśli Twój bank oferuje weryfikację konsultanta w oficjalnej aplikacji, możesz z niej skorzystać.
4. Nie działaj pod presją. Groźba utraty pieniędzy, żądanie tajemnicy i zakaz rozłączania się to powody do przerwania rozmowy.

Znajomość Twojego imienia, adresu czy innych danych również nie jest dowodem, że rozmówca reprezentuje bank. Najpierw potwierdź jego tożsamość.

Co zrobić, jeśli przekazano pieniądze lub dane?

Przerwij kontakt z oszustem i reaguj od razu. Dalsze kroki zależą od tego, co się wydarzyło:

• Przekazano dane bankowe lub wykonano operację: pilnie skontaktuj się z bankiem przez oficjalny kanał. Zgłoś oszustwo, poproś o zabezpieczenie rachunku i ustalenie, jakie działania dotyczące transakcji są jeszcze możliwe. Zwrot pieniędzy nie jest gwarantowany.
• Ujawniono hasło: zmień je z zaufanego urządzenia. Jeśli używasz go również w innych usługach, zmień je także tam.
• Udostępniono zdalny dostęp: odłącz podejrzane urządzenie od internetu. Z bankiem skontaktuj się z innego telefonu. Nie loguj się ponownie do bankowości na tym urządzeniu, dopóki nie zostanie sprawdzone.
• Doszło do wyłudzenia: zgłoś sprawę policji. Zachowaj wiadomości, historię połączeń i potwierdzenia operacji. Zapisz godzinę, wyświetlany numer i przebieg rozmowy. Pamiętaj, że numer na ekranie mógł należeć do osoby lub instytucji niezwiązanej z oszustwem.

Podejrzaną stronę lub inny incydent internetowy możesz dodatkowo zgłosić przez formularz CERT Polska. Takie zgłoszenie nie zastępuje kontaktu z bankiem ani zawiadomienia policji.

Ostrzeż bliskich przed fałszywym telefonem z banku

Porozmawiaj z rodzicami, dziadkami i znajomymi o tym, że numer telefonu można sfałszować. Ustalcie prostą zasadę: niepokojący telefon z banku weryfikujecie po rozłączeniu, przez samodzielny kontakt z oficjalną infolinią. Pomóż bliskim zapisać jej numer w łatwo dostępnym miejscu.

Przypomnij też, że można przerwać każdą niepokojącą rozmowę. Jeśli ktoś został oszukany, potrzebuje pomocy, a nie oceniania. Najważniejsze są szybka reakcja i ograniczenie dalszych strat.

Udostępnij ten poradnik rodzinie i znajomym. To kolejna część cyklu Oxynet „Bezpieczeństwo w sieci”. Zobacz również: jak rozpoznawać phishing i fałszywe wiadomości.

---

Materiały źródłowe: CERT Polska – fałszywi konsultanci, CERT Polska – ataki socjotechniczne.