Jak nie dać się oszukać w internecie i chronić swoje pieniądze - Jak rozpoznawać oszustwa, zabezpieczyć konta i reagować, zanim znikną pieniądze ebook

INTRO

Telefon wibruje. Dostajesz SMS: „Twoja przesyłka została wstrzymana. Dopłać 1,47 zł, aby uniknąć zwrotu”. Akurat czekasz na paczkę, więc wszystko wygląda logicznie. Kwota jest śmiesznie mała. Klikasz. Strona przypomina stronę firmy kurierskiej, logo się zgadza, kolory się zgadzają, nawet ten charakterystyczny korporacyjny smutek projektu graficznego wygląda znajomo. Wpisujesz dane karty, zatwierdzasz i wracasz do życia.

Przesyłka kosztowała 1,47 zł.

Lekcja może kosztować znacznie więcej.

Internetowi oszuści nie wygrywają dlatego, że wszyscy nagle staliśmy się idiotami. Gdyby ich metoda polegała na wysyłaniu wiadomości: „Dzień dobry, jestem przestępcą, proszę podać hasło do banku”, branża cyberprzestępcza prawdopodobnie przeżywałaby lekki kryzys kadrowy. Problem polega na tym, że dobre oszustwo nie wygląda jak oszustwo. Wygląda jak bank. Kurier. Znajomy. Sklep. Pracownik działu bezpieczeństwa. Okazja inwestycyjna. Wiadomość od dziecka. Telefon z numeru, który wydaje się prawidłowy. Reklama czegoś, czego akurat szukasz.

Czyli wygląda jak wtorek.

CERT Polska ostrzega między innymi przed fałszywymi inwestycjami, sklepami, załącznikami, prośbami o szybki przelew, przejmowaniem danych logowania i podszywaniem się pod zaufane instytucje. KNF opisuje równie szeroki zestaw schematów: phishing, fałszywe SMS-y i e-maile, vishing, oszustwa w serwisach ogłoszeniowych i mediach społecznościowych, złośliwe aplikacje czy reklamy prowadzące do fałszywych ofert inwestycyjnych.

Innymi słowy: przestępca internetowy nie ma jednego garnituru.

Ma całą garderobę.

Największy błąd polega na przekonaniu, że przed oszustwem chroni nas inteligencja. Oczywiście pomaga wiedza, doświadczenie i zdrowy rozsądek, ale człowiek posiada jeszcze kilka innych funkcji, z których oszuści korzystają wyjątkowo chętnie: strach, pośpiech, ciekawość, chciwość, zaufanie, zmęczenie i niechęć do komplikowania sobie życia. Wystarczy nacisnąć odpowiedni guzik.

„Wykryliśmy podejrzaną transakcję.”

Strach.

„Oferta ważna jeszcze przez 10 minut.”

Pośpiech.

„Zobacz, kto umieścił twoje zdjęcia tutaj.”

Ciekawość.

„Zainwestuj 1000 zł i zarabiaj 400 zł dziennie.”

Chciwość.

„Cześć mamo, zepsuł mi się telefon, to mój nowy numer.”

Zaufanie.

I nagle rozsądny człowiek, który przez cztery dni porównuje w internecie ceny czajnika różniące się o dziewięć złotych, potrafi w trzy minuty przelać kilka tysięcy obcej osobie.

Ekonomia behawioralna w wersji premium.

To właśnie dlatego ta książka nie będzie próbowała zrobić z ciebie specjalisty od cyberbezpieczeństwa. Nie musisz wiedzieć, jak wygląda infrastruktura serwera przestępczej grupy działającej gdzieś na drugim końcu świata. Nie musisz analizować kodu strony internetowej. Nie musisz kupować czarnej bluzy z kapturem i siedzieć nocą przed trzema monitorami, żeby twoje konto bankowe było bezpieczniejsze.

Musisz przede wszystkim nauczyć się zatrzymywać w odpowiednich momentach.

Bo większość oszustw potrzebuje twojego działania.

Kliknij.

Podaj.

Zainstaluj.

Potwierdź.

Przelej.

Zeskanuj.

Zaloguj się.

Powiedz kod.

Oszuści mogą przygotować scenografię, historię, presję i fałszywą stronę, ale w wielu przypadkach potrzebują jeszcze jednego elementu: ciebie, który wykonasz ostatni krok. Phishing właśnie na tym często polega - oszust podszywa się pod zaufany podmiot i próbuje skłonić ofiarę do ujawnienia danych albo przekazania pieniędzy.

To dobra wiadomość.

Bo skoro ostatni ruch należy do ciebie, można nauczyć się go nie wykonywać.

Nie oznacza to życia w paranoi. Nie musisz odbierać telefonu od własnej matki słowami: „Najpierw uwierzytelnianie wieloskładnikowe”. Nie musisz podejrzewać sprzedawcy marchewki na targu o próbę przejęcia bankowości elektronicznej. Chodzi o coś znacznie prostszego: stworzenie kilku nawyków, które uruchamiają się zanim emocje zdążą przejąć sterowanie.

To szczególnie ważne dlatego, że oszuści bardzo lubią sytuacje, w których nie masz czasu myśleć.

Bank dzwoni „natychmiast”.

Kurier potrzebuje dopłaty „dzisiaj”.

Kupujący z portalu ogłoszeniowego już wysłał pieniądze i wystarczy „odebrać je przez link”.

Fantastyczna inwestycja zaraz zniknie.

Ktoś bliski pilnie potrzebuje przelewu.

Pracownik banku każe przenieść środki na „bezpieczne konto”.

CERT Polska opisuje właśnie taki wariant podszywania się pod konsultanta banku: rozmówca może przekonywać, że pieniądze są zagrożone i trzeba przelać je na rzekomo bezpieczny rachunek.

Zauważ wspólny element.

Nigdy nie ma czasu zrobić herbaty.

A herbata bywa bardzo skutecznym narzędziem cyberbezpieczeństwa, bo oznacza pięć minut, podczas których możesz odłożyć telefon, wejść do banku własną drogą, zadzwonić na oficjalny numer, sprawdzić wiadomość albo zapytać bliską osobę, czy rzeczywiście potrzebuje pieniędzy.

Oszuści uwielbiają szybkość.

Ty polubisz opóźnienie.

W tej książce zajmiemy się więc nie tylko oczywistym „nie klikaj podejrzanych linków”, bo ta rada jest mniej więcej tak użyteczna jak „nie podejmuj złych decyzji”. Problem polega przecież na tym, że link w chwili kliknięcia zazwyczaj nie wygląda podejrzanie. Gdyby obok znajdowała się animowana czaszka oraz napis „UWAGA, ZA CHWILĘ STRACISZ PIENIĄDZE”, współczynnik skuteczności phishingu zapewne delikatnie by spadł.

Nauczysz się rozpoznawać presję stosowaną przez oszustów, sprawdzać wiadomości i strony bez doktoratu z informatyki, zabezpieczać najważniejsze konta, rozsądniej korzystać z bankowości, zakupów internetowych i portali ogłoszeniowych oraz reagować, gdy ktoś próbuje podszyć się pod bank, firmę kurierską, urząd, znajomego albo członka rodziny. Przyjrzymy się także fałszywym inwestycjom, cudownym okazjom, przejmowaniu kont, kodom autoryzacyjnym, kartom płatniczym i temu niezwykłemu momentowi, w którym człowiek zaczyna wierzyć, że nieznajomy z internetu naprawdę chce uczynić go bogatym.

Spoiler: zazwyczaj chce uczynić bogatszym siebie.

Będzie też plan awaryjny, bo nawet ostrożny człowiek może się pomylić. Możesz kliknąć. Możesz podać dane. Możesz coś zatwierdzić, zanim zorientujesz się, że historia się nie zgadza. Wtedy najgorszą strategią jest siedzenie przez dwie godziny i analizowanie, jak mogłeś być tak głupi. W sytuacji zagrożenia liczy się szybka reakcja. Policja zaleca między innymi pilny kontakt z bankiem, gdy konto lub środki mogły zostać przejęte lub wykorzystane; podejrzane SMS-y z linkami można również przekazywać do CERT Polska na numer 8080.

Wstyd nie blokuje przelewu.

Bank czasem może.

Najważniejsze jednak będzie coś innego: nie zamierzamy budować bezpieczeństwa na ciągłym strachu. Internet ma pozostać miejscem, w którym kupujesz, płacisz, rozmawiasz, sprzedajesz, inwestujesz i załatwiasz sprawy. Tylko zamiast ufać każdej wiadomości wyglądającej wystarczająco profesjonalnie, zaczniesz stosować prostą zasadę:

Im bardziej ktoś chce, żebyś działał natychmiast, tym bardziej warto zwolnić.

Oszuści liczą na reakcję.

My zbudujemy procedurę.

A jeżeli dzięki niej choć raz spojrzysz na SMS „Twoja paczka została zatrzymana”, odłożysz telefon i pomyślisz: „No dobrze, Sherlocku z firmy kurierskiej, najpierw cię sprawdzimy”, ta książka zacznie zarabiać na siebie.

Tym razem twoimi pieniędzmi.

Nie cudzymi.

Rozdział 1 - Dlaczego rozsądni ludzie dają się nabrać

Marek ma czterdzieści sześć lat, prowadzi firmę, podpisuje umowy na setki tysięcy złotych i potrafi przez pół godziny tłumaczyć znajomym, dlaczego trzeba uważać w internecie. Pewnego wtorku dzwoni do niego bank. A przynajmniej tak wygląda numer na ekranie. Uprzejmy mężczyzna przedstawia się jako pracownik działu bezpieczeństwa i informuje, że ktoś właśnie próbuje zaciągnąć kredyt na jego dane. Marek natychmiast się prostuje.

Pięć minut wcześniej jadł kanapkę.

Teraz uczestniczy w operacji ratowania majątku narodowego.

Rozmówca zna nazwę banku, mówi spokojnie, używa fachowych określeń i informuje, że sprawa jest pilna. Trzeba zabezpieczyć konto, anulować operację i zweryfikować urządzenie. Marek czuje niepokój, ale jednocześnie ulgę. Dobrze, że bank zauważył problem. Dobrze, że zadzwonił. Dobrze, że po drugiej stronie siedzi człowiek, który najwyraźniej wie, co robi.

To właśnie ten moment jest najważniejszy.

Nie chwila, w której Marek podaje kod.

Chwila, w której przestaje zastanawiać się, czy rozmawia z bankiem.

KNF opisuje vishing jako oszustwo telefoniczne, w którym przestępcy mogą wykorzystywać spoofing, czyli podszywanie się pod numer telefonu, oraz występować w roli pracownika banku, instytucji publicznej czy organów ścigania. Typowy scenariusz może obejmować informację o zagrożeniu pieniędzy, nakłanianie do instalacji programu do zdalnego dostępu, wykonania przelewu albo przekazania kodu autoryzacyjnego.

Czyli fakt, że na ekranie widzisz nazwę banku, nie jest aktem notarialnym.

To jest pierwsza ważna rzecz do zrozumienia: oszustwo internetowe rzadko zaczyna się od technologii.

Zaczyna się od psychologii.

Komputer, telefon, wiadomość, strona internetowa i aplikacja są tylko scenografią. Głównym celem jest doprowadzenie cię do stanu, w którym wykonasz określone działanie szybciej, niż zdążysz je ocenić. CERT Polska zwraca uwagę, że phishing, smishing i vishing wykorzystują przede wszystkim oszustwo oraz socjotechnikę, a presja czasu, emocje i autorytet znanej instytucji mogą być elementami próby wyłudzenia danych lub pieniędzy.

Dlatego inteligencja nie daje immunitetu.

Ba, czasami wręcz przeszkadza.

Człowiek inteligentny potrafi bardzo szybko znaleźć sensowne wyjaśnienie sytuacji, która od początku nie ma sensu.

„Pewnie bank ma taki nowy dział.”

„Może naprawdę muszą zainstalować ten program.”

„Widocznie procedury się zmieniły.”

„Przecież zna moje nazwisko.”

„Numer wygląda prawidłowo.”

„Skoro mówi o bezpieczeństwie, to chyba chce mi pomóc.”

Mózg dostał sześć puzzli i już zamówił ramkę.

Najpierw emocja, potem historia

Wyobraź sobie dwie wiadomości.

Pierwsza:

„Dzień dobry. Prosimy w dogodnym terminie sprawdzić ustawienia bezpieczeństwa konta.”

Druga:

„UWAGA. Wykryto próbę logowania do Twojego konta. Jeśli to nie Ty, potwierdź blokadę w ciągu 10 minut.”

Która szybciej podnosi ciśnienie?

No właśnie.

Oszuści nie potrzebują, żebyś dokładnie przeczytał wiadomość. Potrzebują, żebyś ją poczuł.

Strach jest świetny, bo zawęża uwagę do problemu. Chciwość działa podobnie, tylko zamiast „ratuj pieniądze” pojawia się „zarób pieniądze”. Ciekawość daje „zobacz zdjęcia”. Współczucie daje „potrzebuję pomocy”. Autorytet daje „tu policja”. Presja daje „masz pięć minut”.

Mechanizm zmienia kostium.

Cel pozostaje ten sam: działaj, zanim sprawdzisz.

Serwis administracji publicznej poświęcony cyberbezpieczeństwu opisuje phishing jako wykorzystanie inżynierii społecznej do skłonienia odbiorcy do działania zgodnego z zamierzeniem przestępcy. Wiadomość może podszywać się między innymi pod kuriera, urząd, operatora, bank albo znajomego i prowadzić do wyłudzenia danych logowania czy innych poufnych informacji.

To tłumaczy pewien internetowy paradoks.

Im bardziej wiadomość wywołuje potrzebę natychmiastowego działania, tym bardziej przydałoby się niczego natychmiast nie robić.

Oszust sprzedaje ci opowieść

Dobry oszust nie prosi cię po prostu o przelew.

Najpierw daje powód.

To bardzo ważne, ponieważ ludzie znacznie łatwiej wykonują dziwne czynności, kiedy otrzymają historię, która nadaje im sens.

Masz przelać pieniądze na obcy rachunek?

Absurd.

Masz „przenieść środki na rachunek techniczny, ponieważ obecne konto zostało przejęte przez grupę przestępczą”?

Brzmi już jak procedura.

Masz podać kod?

Nigdy.

Masz „potwierdzić anulowanie podejrzanej transakcji kodem, który właśnie przyszedł”?

A, anulowanie. To co innego.

Nie jest.

Ale historia wykonała swoją robotę.

To jedna z najważniejszych umiejętności, jakie możesz wyrobić: oddzielić czynność od historii, którą ktoś do niej dołączył.

Kiedy ktoś prosi cię o działanie dotyczące pieniędzy, zadaj sobie pytanie:

Co dokładnie mam zrobić, jeśli usunę z tej sytuacji całą opowieść?

Przelać pieniądze nieznanej osobie?

Podać kod?

Wpisać hasło na stronie z wiadomości?

Zainstalować aplikację na polecenie człowieka, który przed chwilą zadzwonił?

Przekazać dane karty?

Jeżeli sama czynność wygląda źle, efektowna historia jej nie naprawia.

Możesz pomalować pułapkę na pastelowo.

Nadal jest pułapką.

Autorytet działa, bo ma działać

Gdy dzwoni kolega i mówi: „Stary, podaj mi hasło do banku”, prawdopodobnie zakończysz rozmowę dość szybko.

Gdy dokładnie to samo opakujesz w słowa „procedura bezpieczeństwa”, „dział techniczny”, „identyfikator pracownika” i „zabezpieczenie rachunku”, sytuacja zaczyna wyglądać inaczej.

To dlatego oszuści tak chętnie podszywają się pod instytucje.

Bank.

Policję.

Urząd.

Firmę kurierską.

Operatora.

Znany sklep.

Portal sprzedażowy.

Szefa.

Nie chodzi wyłącznie o logo. Chodzi o wypożyczenie zaufania.

Jeżeli znasz markę, przestępca nie musi budować wiarygodności od zera. Próbuje wejść do środka na cudzej reputacji.

Jak człowiek, który przychodzi na wesele z tabliczką „kuzyn pana młodego”.

Nikt go nie kojarzy.

Ale garnitur ma.

„Ale przecież wiedział coś o mnie”

To również nie jest dowód.

Twoje imię, nazwisko, numer telefonu, adres e-mail, miejsce pracy, stanowisko, zdjęcia, znajomi, niedawne wakacje czy informacja o sprzedaży samochodu mogą być dostępne w różnych miejscach albo wynikać z wcześniejszych wycieków i aktywności w sieci. W ukierunkowanym phishingu przestępca może wcześniej zebrać informacje o konkretnej osobie lub organizacji, aby wiadomość wyglądała bardziej wiarygodnie.

Wyobraź sobie wiadomość:

„Cześć.”

Podejrzane.

A teraz:

„Cześć Rafale, kontaktuję się w sprawie twojego ogłoszenia dotyczącego Skody.”

Od razu lepiej.

Oszust nie stał się uczciwszy.

Dostał tylko dodatkowe dane do scenariusza.

Personalizacja jest dziś fatalnym testem autentyczności. To, że ktoś wie, jak masz na imię, nie oznacza jeszcze, że powinien wiedzieć, ile masz na koncie.

Najgroźniejsze zdanie brzmi: „To ma sens”

Wiele osób wyobraża sobie oszustwo jako coś pełnego błędów, dziwnych adresów i księcia z odległego kraju, który z jakiegoś powodu wybrał właśnie pana Zbigniewa z Radomia na partnera do transferu trzydziestu milionów dolarów.

Takie oszustwa nadal istnieją.

Ale nie na nich warto budować swoją czujność.

Nowoczesna próba wyłudzenia może wyglądać schludnie, używać poprawnego języka i odnosić się do sytuacji, która rzeczywiście mogła się wydarzyć. CERT Polska wręcz zwraca uwagę, że samo hasło „nie klikaj w podejrzane linki” jest niewystarczające, ponieważ użytkownik często nie ma łatwego sposobu, by przed kliknięciem rozpoznać, że link jest złośliwy; fałszywa strona może bardzo przypominać prawdziwy serwis.

Dlatego nie pytaj tylko:

„Czy to wygląda podejrzanie?”

Pytaj również:

„Czy mogę potwierdzić to niezależnie?”

To ogromna różnica.

Pierwsze pytanie wymaga, żebyś był dobrym detektywem.

Drugie wymaga, żebyś umiał znaleźć oficjalny numer telefonu.

Sherlock może zostać w książce.

Zasada dwóch światów

Od teraz warto oddzielić dwa światy.

Pierwszy to świat, w którym ktoś do ciebie przychodzi.

SMS.

E-mail.

Telefon.

Wiadomość na komunikatorze.

Reklama.

Link.

Drugi to świat, do którego idziesz sam.

Sam otwierasz aplikację banku.

Sam wpisujesz znany adres.

Sam znajdujesz numer na oficjalnej stronie lub na karcie.

Sam dzwonisz do członka rodziny.

Sam wchodzisz na portal sprzedażowy.

Im poważniejsza sprawa, tym częściej powinieneś przenosić się ze świata pierwszego do drugiego.

Przykład.

Dzwoni „bank”.

Nie musisz podczas tej rozmowy ustalać, czy człowiek jest prawdziwy.

Rozłączasz się.

Otwierasz aplikację bankową albo korzystasz z oficjalnego numeru kontaktowego.

Sam rozpoczynasz nową rozmowę.

To radykalnie zmienia sytuację, ponieważ przestajesz weryfikować osobę wewnątrz kanału, który wybrał potencjalny oszust.

To jak kontrolowanie dowodu osobistego przez człowieka, który sam go wydrukował.

Pierwszy odruch bezpieczeństwa

Nie potrzebujesz na tym etapie pięćdziesięciu zasad.

Potrzebujesz jednej.

Jeżeli wiadomość dotycząca pieniędzy wywołuje nagły strach, ekscytację albo presję, nie wykonuj od razu żadnej nietypowej czynności.

Nie klikaj.

Nie instaluj.

Nie przelewaj.

Nie podawaj kodu.

Najpierw zatrzymaj scenariusz.

Możesz powiedzieć:

„Dziękuję. Sam skontaktuję się z bankiem.”

Albo:

„Sprawdzę to w aplikacji.”

Albo:

„Oddzwonię do ciebie na znany mi numer.”

Albo po prostu:

„Nie wykonuję operacji finansowych podczas przychodzących rozmów telefonicznych.”

To ostatnie brzmi trochę jak regulamin elektrowni atomowej.

I bardzo dobrze.

Regulaminy mają tę przewagę nad intuicją, że działają również wtedy, kiedy jesteś zestresowany.

Jeśli zapamiętasz z tego rozdziału jedną rzecz, niech będzie nią ta:

Nie musisz rozpoznawać każdego oszustwa.

Musisz rozpoznawać moment, w którym ktoś próbuje przejąć tempo twojej decyzji.

Kiedy robi się pilnie, dziwnie i finansowo jednocześnie, zwolnij.

Przestępca ma scenariusz.

Ty masz hamulec.

---

Rozdział 2 - Czerwone flagi, które wyglądają całkiem normalnie

Sobota, 11:27. Anna sprzedaje ekspres do kawy na portalu ogłoszeniowym. Po czterech minutach pojawia się kupująca.

„Dzień dobry, biorę.”

Piękne.

Bez negocjacji.

Bez pytania, czy ekspres „pójdzie za połowę, bo jadę z daleka”.

Bez propozycji wymiany na komplet felg do Opla.

Anna przez chwilę czuje, że internet jednak może być miejscem cywilizowanym.

Kupująca informuje, że zapłaciła już za produkt i przesyła link, przez który trzeba „odebrać pieniądze”. Strona wygląda podobnie do portalu. Jest logo, zdjęcie ekspresu, kwota i duży przycisk.

Anna ma wpisać dane karty.

Zatrzymajmy film.

Bo właśnie pojawił się jeden z najważniejszych sygnałów ostrzegawczych w internecie:

normalna czynność nagle zaczyna wymagać nienormalnej procedury.

Sprzedajesz rzecz.

Masz otrzymać pieniądze.

A ktoś prosi cię o dane potrzebne do obciążenia karty.

To trochę tak, jakby kelner przyszedł do stolika i powiedział:

„Państwa rachunek wynosi 120 zł. Żebyśmy mogli przyjąć płatność, potrzebujemy jeszcze kodu PIN do alarmu w domu.”

Można oczywiście długo analizować logo restauracji.

Ale może warto zacząć od procedury.

Nie szukaj jednej magicznej oznaki

Dawniej poradniki bezpieczeństwa lubiły prostą listę:

literówki,

dziwne tłumaczenie,

fatalna grafika,

podejrzany nadawca,

dziwny link.

Problem polega na tym, że oszust również potrafi przeczytać poradnik.

Phishing może być przygotowany tak, aby wiadomość wyglądała autentycznie, a cyberprzestępcy stale modyfikują scenariusze i dostosowują je do aktualnych wydarzeń czy trendów. KNF podkreśla, że wspólnym celem tych działań pozostaje zdobycie danych lub nakłonienie ofiary do przekazania środków.

Dlatego literówka jest sygnałem.

Ale brak literówki nie jest certyfikatem bezpieczeństwa.

Logo jest sygnałem.

Ale piękne logo również nie jest certyfikatem.

Profesjonalny ton?

Też nie.

Oszust może być uprzejmy.

To nie jest zawód wymagający chamstwa.

Znacznie skuteczniejsze jest patrzenie na zestaw sygnałów i na to, do czego ostatecznie jesteś nakłaniany.

Czerwona flaga numer jeden: pośpiech

„Tylko teraz.”

„Natychmiast.”

„Za dziesięć minut konto zostanie zablokowane.”

„Kupujący czeka.”

„Przelew musi zostać wykonany przed zakończeniem procedury.”

„Ostatnia szansa.”

Presja czasu jest wyjątkowo wygodna, ponieważ utrudnia wykonanie najgroźniejszej dla oszusta czynności:

sprawdzenia.

CERT Polska wskazuje presję czasu i niewielkie dopłaty jako elementy spotykane w kampaniach phishingowych, a KNF opisuje scenariusze, w których oszuści wykorzystują strach i niepewność, aby nakłonić rozmówcę do wykonania polecenia.

Dlatego przyjmij prostą zasadę:

Jeżeli decyzja finansowa nie może wytrzymać pięciu minut weryfikacji, nie zasługuje na twoje pieniądze.

Prawdziwy bank przeżyje.

Kurier również.

Kupujący prawdopodobnie też.

A jeśli tajemnicza inwestycja gwarantująca 300 procent zysku zniknie w ciągu siedmiu minut, być może właśnie uratowałeś sobie bardzo kosztowną przygodę.

Czerwona flaga numer dwa: zmiana normalnej procedury

Znasz mniej więcej sposób działania swojego banku.

Portalu sprzedażowego.

Firmy kurierskiej.

Sklepu.

Jeśli nagle ktoś mówi ci, że tym razem musisz zrobić coś zupełnie innego, zatrzymaj się.

„Proszę zainstalować aplikację do zabezpieczenia konta.”

„Proszę podać kod pracownikowi.”

„Trzeba wpłacić środki na konto techniczne.”

„Płatność odbiera się przez link od kupującego.”

„Aby otrzymać zwrot, najpierw trzeba zapłacić podatek.”

„Proszę zatwierdzić operację, żeby ją anulować.”

KNF w opisach oszustw telefonicznych wskazuje między innymi scenariusze z instalacją oprogramowania do zdalnego pulpitu, przelewem na rzekomy rachunek techniczny, podawaniem kodu BLIK czy zatwierdzaniem operacji, które w rzeczywistości mogą umożliwiać przestępcy dostęp do pieniędzy.

Jeżeli procedura brzmi jak coś, czego nigdy wcześniej nie robiłeś, nie próbuj być grzeczny.

Bądź powolny.

Grzeczność jest świetna przy stole.

Przy podejrzanym przelewie bardziej przydaje się podejrzliwość.

Czerwona flaga numer trzy: ktoś chce sekretu

Hasło.

Kod SMS.

Kod BLIK.

Kod autoryzacyjny.

Dane logowania.

Numer karty, data ważności i kod zabezpieczający.

Jeżeli ktoś próbuje wyciągnąć od ciebie informacje, które służą do potwierdzania tożsamości albo transakcji, potraktuj sytuację poważnie. KNF zaleca nieprzekazywanie osobom trzecim kodów SMS służących do autoryzacji transakcji oraz dokładne czytanie komunikatów dotyczących zatwierdzanych operacji.

Tu warto zmienić sposób myślenia.

Kod nie jest wiadomością od banku.

Kod jest kluczem.

Jeżeli SMS mówi:

„Kod 483921. Potwierdzasz przelew 6000 zł na rachunek…”

to nie czytaj tylko pierwszych sześciu cyfr.

Czytaj resztę.

Bank nie napisał tej treści dla dekoracji.

To niezwykłe, jak często człowiek potrafi dokładnie przeczytać skład jogurtu, żeby sprawdzić, czy ma siedem czy osiem gramów cukru, a potem zatwierdzić sześciotysięczny przelew bez przeczytania jednego zdania.

Priorytety czasami wychodzą na spacer bez właściciela.

Czerwona flaga numer cztery: masz kliknąć zamiast wejść sam