Phishing - co to jest? Definicja phishingu

Phishing to jeden z najpopularniejszych rodzajów oszustwa internetowego, którego celem jest wyłudzenie poufnych danych od nieświadomej ofiary. Ataki phishingowe polegają na podszywaniu się pod zaufane instytucje – bank, urząd skarbowy, firmę kurierską czy portale społecznościowe by nakłonić użytkownika do podania danych logowania, numeru karty płatniczej lub innych wrażliwych informacji. Atak phishingowy może dotknąć każdego: zarówno osoby prywatne, jak i pracowników firm, bo oszuści doskonale wykorzystują ludzką skłonność do zaufania pozornie znajomym nadawcom.

Jak wygląda typowy atak? Przykłady phishingu

Schemat jest zazwyczaj podobny. Ofiara otrzymuje wiadomość e-mail lub SMS, który wygląda jak oficjalna korespondencja – ma logo banku, stopkę z adresem i profesjonalne sformułowania. W wiadomościach tego typu najczęściej pojawia się pilny komunikat: „Twoje konto zostało zablokowane”, „Wymagana natychmiastowa weryfikacja” albo „Kliknij w link, aby potwierdzić tożsamość”. Fałszywy adres strony, na który prowadzą takie linki, bywa łudząco podobny do prawdziwego – różni się jedną literą lub rozszerzeniem domeny. Wiadomości często zawierają też załącznik, który po otwarciu instaluje złośliwe oprogramowanie i daje dostęp dla przestępców.

Poniżej zestawienie najczęstszych wariantów ataków:

Jak rozpoznać i nie paść ofiarą phishingu?

Zanim klikniesz w cokolwiek, sprawdź kilka rzeczy. Wiadomości phishingowe często zdradzają się detalami, które przy chwili uwagi stają się oczywiste:

• Nadawca ma podejrzany adres e-mail, niepasujący do domeny instytucji (np. bank-pl@gmail.com zamiast @pko.pl)
• Treść prosi o podanie danych np. karty kredytowej – żaden prawdziwy bank nigdy nie robi tego przez e-mail
• Adres witryny w linku różni się od oficjalnego, gdy najedziemy na niego kursorem
• Wiadomość zawiera błędy językowe lub sztucznie wywołuje poczucie pilności
• Podejrzane linki prowadzą do domen z literówkami lub dziwnych krajowych rozszerzeń
• Załącznik w nieoczekiwanej wiadomości, szczególnie pliki .exe, .zip lub makra w dokumentach Office

Jak bronić się przed phishingiem? 

Skuteczna ochrona to przede wszystkim nawyk weryfikacji. Jeśli otrzymasz podejrzane wiadomości z prośbą o działanie, zadzwoń bezpośrednio do instytucji, której dotyczy wiadomość – nie używając numeru podanego w e-mailu. Przed podaniem danych logowania zawsze sprawdzaj adres strony w pasku przeglądarki i szukaj kłódki HTTPS. Warto też włączyć dwuetapową weryfikację na kontach bankowych i w serwisach online. Nawet jeśli ofiara poda hasło, atakujący bez drugiego składnika uwierzytelnienia nie przejmie konta.

Oprogramowanie antywirusowe i filtr antyphishingowy w przeglądarce potrafią automatycznie blokować znane fałszywe strony. Ale żaden program nie zastąpi zdrowego rozsądku i ostrożności: podanie danych logowania na fałszywej stronie trwa sekundę, a odzyskanie przejętego konta bankowego nawet tygodnie.

Co zrobić, gdy dałeś się nabrać na oszustwo internetowe?

Nawet ostrożni użytkownicy czasem klikają nie tam, gdzie powinni – link do fałszywej strony potrafi zmylić każdego, szczególnie gdy wiadomości email czy SMS przychodzą w chwili nieuwagi. Jeśli podałeś dane logowania lub numer karty, liczy się każda minuta.

Pierwsza rzecz to zmiana hasła – natychmiast, na każdym serwisie, gdzie używałeś tego samego. Jeśli próby oszustwa dotyczyły konta bankowego, zadzwoń na infolinię i poproś o tymczasową blokadę karty oraz transakcji internetowych. Nie czekaj na potwierdzenie, że coś złego się stało – działaj prewencyjnie.

Kolejny krok to zgłoszenie incydentu. W Polsce działa CERT Polska (cert.pl), gdzie można zgłosić podejrzaną stronę lub wiadomość – to realnie pomaga blokować kolejne ataki i chroni innych użytkowników. Policja przyjmuje zawiadomienia o próbach wyłudzenia danych online, a w przypadku rzeczywistej straty finansowej zgłoszenie jest wręcz niezbędne.

Warto też przez kilka tygodni uważniej obserwować wyciągi bankowe i powiadomienia z kont w serwisach online. Oszuści często nie działają od razu – przejęte dane logowania bywają sprzedawane i wykorzystywane tygodnie później. Im szybciej zareagujesz, tym mniejsza szansa, że uda im się wyłudzić cokolwiek więcej.