Oszuści w sieci – phishing oraz inne próby wyłudzania informacji

Internet jest popularnym źródłem informacji i rozrywki, ale jest też pełen zagrożeń. Można w nim często natrafić na oszustów czyhających na nasze dane i pieniądze. Popularnym oszustwem jest tzw. phishing, czyli próby wyłudzania informacji często wykorzystując przy tym socjotechnikę. Na szczęście przed phishingiem i innymi zagrożeniami w internecie można się skutecznie bronić. Oto porady, które pomogą nam zachować bezpieczeństwo w sieci.

Stosujmy mocne hasła składające się z kombinacji dużych i małych liter, cyfr oraz znaków specjalnych – najlepiej o długości co najmniej kilkunastu znaków. Unikajmy uwzględniania w hasłach informacji osobistych takich jak nazwiska i lata urodzenia, popularnych słów, ciągów kolejnych cyfr lub liter alfabetu (na przykład „abcd” lub „1234”) i sekwencji znajdujących się obok siebie znaków na klawiaturze takich jak „qwerty” lub „zaq12wsx”. Należy również stosować różne hasła do różnych kont – stosowanie jednego hasła do wielu kont stwarza ryzyko przejęcia przez przestępców wszystkich tych kont w przypadku kradzieży lub wycieku hasła.

Korzystajmy z weryfikacji dwuetapowej – jest to dodatkowa warstwa zabezpieczeń polegająca na tym, że podczas logowania oprócz hasła musimy podać kod wysłany w wiadomości e-mail lub SMS albo wygenerowany w specjalnej aplikacji.

Rozważmy zakup klucza sprzętowego U2F – są one jeszcze bezpieczniejszym elementem weryfikacji dwuetapowej. Podczas logowania należy podłączyć taki klucz do portu USB urządzenia lub zbliżyć do telefonu obsługującego NFC. Dzięki temu nawet jeśli oszustom uda się zdobyć nasze dane logowania, nie zalogują się na nasze konto bez fizycznego dostępu do klucza. Liczba stron internetowych, która obsługują klucze sprzętowe, jest ograniczona, ale znajdują się wśród nich znane serwisy takie jak Google, Facebook, Wirtualna Polska oraz Onet. Klucz sprzętowy możemy kupić za około 150 złotych. Dobrą, ale również oznaczającą dodatkowy wydatek praktyką, jest zakup co najmniej dwóch kluczy – dodatkowe klucze będą służyć wówczas jako klucze zapasowe w przypadku zniszczenia lub utraty klucza głównego.

Korzystajmy z menedżera haseł – jest to program, który umożliwia bezpieczne przechowywanie naszych haseł w jednym miejscu. Część menedżerów haseł jest bezpłatna, choć może oferować dodatkowe funkcje za dodatkową opłatą. Wiele menedżerów haseł potrafi generować mocne hasła i uzupełniać za nas formularze logowania – w przypadku menedżerów haseł współpracujących z przeglądarką internetową stanowi to dodatkowe zabezpieczenie przed phishingiem, ponieważ program nie zaproponuje uzupełnienia hasła na fałszywej stronie.

Pamiętajmy o aktualizowaniu oprogramowania – aktualizacje nie tylko dodają nowe funkcje, ale również naprawiają błędy, które mogą zostać wykorzystane przez przestępców.

Twórzmy kopie zapasowe najważniejszych danych – pozwoli to ochronić nasze dane nie tylko w przypadku zablokowania do nich dostępu przez przestępców, ale również w przypadku kradzieży, awarii lub przypadkowego uszkodzenia sprzętu. Eksperci zalecają stosowanie reguły 3-2-1, czyli tworzenie trzech kopii zapasowych na dwóch rodzajach nośników (na przykład na dysku zewnętrznym oraz w chmurze) i przechowywanie jednej z kopii w innym miejscu niż pozostałe.

Korzystając z systemu Windows włączmy wyświetlanie rozszerzeń plików – ułatwi nam to ochronę przed plikami, które wyglądają na przykład na zdjęcia lub dokumenty, ale w rzeczywistości są złośliwymi programami – przykładowo plik o nazwie „faktura.pdf” może w rzeczywistości nazywać się „faktura.pdf.exe”, a przy wyłączonym wyświetlaniu rozszerzeń plików rozszerzenie „exe” będzie niewidoczne.

Od czasu do czasu w dużych serwisach internetowych dochodzi do wycieków danych. Przy użyciu strony internetowej haveibeenpwned.com możemy sprawdzić, czy nasz adres e-mail nie znajduje się wśród takich danych. Jeśli serwis ten potwierdzi, że nasz adres e-mail znajduje się w bazie wycieków, powinniśmy jak najszybciej zmienić hasła we wszystkich serwisach, w których doszło do wycieku.

Korzystając z wyszukiwarek internetowych uważajmy na pozycje oznaczone jako sponsorowane – przestępcy mogą opłacać reklamy, które są wyświetlane na pierwszym miejscu na liście wyników wyszukiwania i wykorzystywać je do kierowania użytkowników na fałszywe strony internetowe lub skłaniania ich do pobierania złośliwego oprogramowania.

Uważajmy na reklamy w serwisach społecznościowych takich jak Facebook – są one często wykorzystywane przez oszustów do zwabiania ofiar. Popularnym oszustwem jest tzw. oszustwo „na szokującą wiadomość” – oszuści przygotowują strony udające popularne serwisy z wiadomościami, gdzie możemy przeczytać o rzekomym zabójstwie, porwaniu, zaginięciu lub innym budzącym emocje wydarzeniu. Taka wiadomość zawiera również rzekomy film, który ze względu na drastyczne treści wymaga potwierdzenia wieku przez zalogowanie się na Facebooka. Strona wyświetla w tym celu fałszywy formularz logowania, którego wypełnienie powoduje wysłanie danych logowania do przestępców. Oszuści podszywają się również pod znane marki rzekomo rozdające darmowe przedmioty i obiecują nam łatwy zarobek poprzez platformy inwestycyjne gwarantujące zysk i kasyna internetowe. W rzeczywistości są to kolejne próby wyłudzenia danych i pieniędzy. Aby uwiarygodnić swoje reklamy, oszuści wykorzystują fałszywe komentarze od osób, które rzekomo wygrały duże pieniądze oraz wizerunek polityków lub znanych internetowych twórców, którzy rzekomo zachęcają do skorzystania z oferty, ale w rzeczywistości ich głos został wygenerowany przy użyciu sztucznej inteligencji. Pamiętajmy również, że kasyno do legalnego działania potrzebuje koncesji Ministerstwa Finansów, a za udział w nielegalnych grach hazardowych możemy zostać ukarani grzywną.

Uważajmy na fałszywe e-maile informujące, że musimy pilnie wykonać jakieś działanie na przykład pod groźbą blokady konta w banku – przestępcy chcą w ten sposób skłonić nas do działania, wykorzystując presję czasu. Nie otwierajmy linków w takich e-mailach – zamiast tego samodzielnie otwórzmy stronę wpisując jej adres w przeglądarce internetowej. Linki mogą prowadzić na zupełnie inną stronę, niż na to wskazują. Możemy sprawdzić dokąd prowadzi link, wskazując go kursorem myszy na komputerze lub przytrzymując na nim palec na urządzeniu mobilnym.

Zwracajmy uwagę na adres strony internetowej, na której się znajdujemy – jeśli strona wygląda znajomo, ale adres się nie zgadza, nie podawajmy żadnych danych. Adres może również wyglądać znajomo, ale zawierać drobne różnice, takie jak pojedyncze znaki zastąpione bardzo podobnymi – na to też należy uważać. Symbol kłódki wyświetlany w przeglądarce nie jest potwierdzeniem, że znajdujemy się na prawdziwej stronie internetowej – oznacza jedynie, że połączenie jest szyfrowane.

Pobierajmy aplikacje mobilne wyłącznie z oficjalnych sklepów z aplikacjami – App Store w przypadku urządzeń Apple, Google Play w przypadku urządzeń z systemem Android lub AppGallery w przypadku urządzeń firmy Huawei bez dostępu do usług Google. Aplikacje publikowane w nieoficjalnych źródłach mogą być zmodyfikowane i zawierać złośliwy kod. Sprawdzajmy również, jakich uprawnień wymagają aplikacje – na przykład prosta aplikacja do robienia notatek nie powinna wymagać dostępu do listy kontaktów i możliwości wysyłania SMS-ów.

Zachowajmy czujność, jeśli nagle dzwoni do nas lub kontaktuje się z nami przez komunikator internetowy krewny, który informuje, że pilnie potrzebuje pieniędzy – może to być przestępca, który ukradł telefon naszego krewnego lub przejął jego konto w mediach społecznościowych. W takiej sytuacji warto samemu skontaktować lub spotkać się z krewnym, aby upewnić się, że rzeczywiście potrzebuje pieniędzy. Dobrym pomysłem jest również ustalenie z całą rodziną hasła, dzięki któremu w razie wątpliwości będziemy mogli potwierdzić, że faktycznie mamy do czynienia z naszym krewnym.

Zastrzeżmy nasz numer PESEL – uniemożliwi to przestępcom wykorzystanie naszych danych między innymi do wzięcia kredytu. Zastrzeżenie numeru PESEL jest bezpłatne i możemy to zrobić korzystając ze strony internetowej mobywatel.gov.pl lub aplikacji mobilnej mObywatel albo wypełniając wniosek w urzędzie gminy. Przy użyciu mObywatela możemy również tymczasowo cofnąć zastrzeżenie numeru PESEL, aby załatwić niezbędną sprawę.

Ustawmy dzienne limity transakcji na swoim koncie bankowym i w razie potrzeby pomóżmy zrobić to samo krewnym – pozwoli to ograniczyć szkody, jeśli przestępcy uzyskają dostęp do naszego konta lub karty płatniczej. Włączmy również powiadomienia o transakcjach wychodzących – jeśli zauważymy podejrzaną transakcję, będziemy mogli szybko zareagować i na przykład zablokować kartę płatniczą. Oszuści podszywający się pod pracowników banku mogą stosować tzw. spoofing telefoniczny – gdy do nas zadzwonią, na ekranie wyświetli się prawidłowy numer infolinii banku. W razie jakichkolwiek podejrzeń należy się rozłączyć i samemu zadzwonić na numer infolinii. Banki umożliwiają nam ustalenie hasła zwrotnego, które umożliwi potwierdzenie podczas rozmowy telefonicznej, że faktycznie rozmawia z nami pracownik banku. Pracownik może również wygenerować w aplikacji mobilnej banku powiadomienie ze swoimi danymi, które powinien potwierdzić podczas rozmowy z nami. Pamiętajmy również, że pracownik banku nigdy nie poprosi nas o podanie danych logowania do bankowości elektronicznej, numeru i kodu zabezpieczającego naszej karty płatniczej, numeru PIN, kodu Blik ani zainstalowanie jakiejkolwiek aplikacji.

Przed zrobieniem zakupów w nieznanym sklepie internetowym zapoznajmy się z opiniami na jego temat – wątpliwości powinien wzbudzać również między innymi brak regulaminu i polityki prywatności, brak danych na temat firmy takich jak adres oraz numery CEIDG, REGON i KRS oraz oferowanie tylko jednej formy płatności – na przykład przelewem na konto bez możliwości przeprowadzenia transakcji za pośrednictwem zaufanego dostawcy płatności. Nie dajmy się również nabrać na wyjątkowo dobre okazje – jeśli cena jest o wiele niższa niż w innych sklepach, oferta prawdopodobnie jest podejrzana.

Robiąc zakupy w serwisach ogłoszeniowych takich jak OLX i Allegro Lokalnie korzystajmy tylko z komunikatorów i narzędzi do realizacji płatności oferowanych przez te serwisy – nie korzystajmy z zewnętrznych komunikatorów takich jak WhatsApp i nie otwierajmy linków, które rzekomo mają służyć do sfinalizowania płatności. Nieuczciwi kupujący mogą nam wysłać zdjęcie rzekomego potwierdzenia płatności – przed wysłaniem przedmiotu upewnijmy się, że pieniądze faktycznie znalazły się na naszym koncie. Możemy zmniejszyć prawdopodobieństwo, że zostaniemy oszukani oferując odbiór osobisty lub wysyłkę za pobraniem.

Zgłaszajmy złośliwe strony internetowe i SMS-y do CERT Polska – strony internetowe możemy zgłaszać przy użyciu formularza na stronie incydent.cert.pl. Złośliwe SMS-y natomiast możemy zgłaszać używając funkcji „Przekaż” na numer 8080 – numer ten jest bezpłatny.

Przemysław Rutkowski