Nowe metody oszustw internetowych – jak chronić dane i pieniądze?

Oszuści internetowi coraz rzadziej wysyłają wiadomości pełne błędów i łatwych do zauważenia obietnic. Wykorzystują sztuczną inteligencję, przejęte konta, fałszywe reklamy, kody QR, zdalny dostęp do urządzeń, podszywanie się pod banki, urzędy, firmy kurierskie, członków rodziny oraz partnerów biznesowych.

Po lekturze dowiesz się, jak działają najważniejsze typy oszustw, po czym je rozpoznać, jak zabezpieczyć konta i płatności oraz co zrobić w pierwszych minutach po utracie danych lub pieniędzy.

Czym są nowe metody oszustw internetowych?

Oszustwo internetowe to celowe wprowadzenie użytkownika w błąd, aby skłonić go do przekazania pieniędzy, danych, kodów autoryzacyjnych, dostępu do urządzenia albo kontroli nad kontem. Atak może odbywać się przez stronę internetową, e-mail, SMS, komunikator, telefon, kod QR, reklamę, aplikację mobilną lub media społecznościowe.

Określenie „nowe metody” nie zawsze oznacza całkowicie nowy mechanizm. Najczęściej są to znane schematy wykorzystujące nowe narzędzia:

• generatywną sztuczną inteligencję do tworzenia wiarygodnych wiadomości;
• klonowanie głosu i wizerunku;
• automatyzację kampanii phishingowych;
• fałszywe reklamy i wyniki wyszukiwania;
• przejmowanie aktywnych sesji zamiast samych haseł;
• kody QR ukrywające adres docelowy;
• aplikacje do zdalnego sterowania urządzeniem;
• dane pochodzące z wycieków i mediów społecznościowych.

Granica między oszustwem a cyberatakiem bywa płynna. Phishing może prowadzić zarówno do dobrowolnego zatwierdzenia przelewu, jak i do technicznego przejęcia konta. Z perspektywy użytkownika najważniejsze jest nie to, jak zdarzenie zostanie zaklasyfikowane, lecz jak szybko można ograniczyć jego skutki.

Dlaczego współczesne oszustwa są trudniejsze do rozpoznania?

Dawniej sygnałem ostrzegawczym często były błędy językowe, nietypowy adres nadawcy i mało wiarygodna historia. Obecnie przestępcy mogą przygotować poprawną wiadomość, nawiązać do prawdziwego zamówienia, podszyć się pod znaną osobę albo wykorzystać przejęte konto.

Skuteczność ataku zwiększają trzy elementy:

Personalizacja

Oszuści korzystają z informacji dostępnych publicznie lub pochodzących z wycieków. Mogą znać imię, numer telefonu, miejsce pracy, nazwę banku, adres e-mail, listę kontaktów albo dane o ostatnich zakupach.

Presja psychologiczna

Najczęściej wykorzystywane emocje to:

• strach przed utratą pieniędzy;
• pośpiech;
• chęć pomocy bliskiej osobie;
• obietnica szybkiego zysku;
• ciekawość;
• wstyd;
• poczucie obowiązku wobec przełożonego lub urzędu.

Wielokanałowość

Atak może rozpocząć się od reklamy, być kontynuowany przez telefon, a zakończyć na fałszywej stronie banku. Zgodność kilku kanałów tworzy pozory wiarygodności, mimo że wszystkie elementy są kontrolowane przez przestępcę.

Phishing, smishing, vishing i quishing

Phishing jest próbą wyłudzenia informacji lub skłonienia ofiary do wykonania określonej czynności. Jego nazwa zmienia się zależnie od kanału kontaktu.

Phishing e-mailowy

Fałszywa wiadomość może dotyczyć faktury, przesyłki, zaległej płatności, logowania, aktualizacji regulaminu albo problemu z kontem. Link prowadzi do strony przypominającej serwis banku, poczty, firmy kurierskiej lub platformy zakupowej.

Należy sprawdzać:

• pełny adres nadawcy, nie tylko wyświetlaną nazwę;
• rzeczywisty adres strony;
• niespodziewane załączniki;
• presję czasu;
• żądanie podania hasła lub kodu;
• nietypowy kontekst wiadomości.

Poprawny język i logo firmy nie potwierdzają autentyczności.

Smishing, czyli phishing przez SMS

Typowe wiadomości dotyczą niedopłaty do paczki, blokady konta, mandatu, zwrotu podatku lub wyłączenia usługi. Celem może być wyłudzenie danych karty, danych logowania albo instalacja złośliwej aplikacji.

Podejrzanego SMS-a można przekazać do CERT Polska na numer 8080. Nie należy przy tym otwierać zawartego w nim linku.

Vishing, czyli oszustwo telefoniczne

Dzwoniący może podszywać się pod pracownika banku, policjanta, konsultanta technicznego lub pracownika działu bezpieczeństwa. Numer wyświetlony na ekranie nie jest dowodem tożsamości rozmówcy — może zostać podrobiony.

Prawdziwy pracownik banku nie powinien prosić o:

• pełne hasło do bankowości;
• kod BLIK służący do wypłaty lub płatności;
• kod autoryzujący „konto techniczne”;
• instalację aplikacji do zdalnej obsługi;
• przelanie oszczędności na „bezpieczne konto”.

Najbezpieczniej zakończyć połączenie i samodzielnie zadzwonić na numer podany na karcie, w aplikacji lub na oficjalnej stronie banku.

Quishing, czyli phishing przez kod QR

Kod QR może prowadzić do fałszywej strony płatności lub logowania. Bywa umieszczany w wiadomości, na fakturze, parkomacie, automacie biletowym, stoliku restauracyjnym albo naklejony na oryginalny kod.

Przed otwarciem strony należy obejrzeć adres wyświetlony przez telefon. W przypadku płatności lepiej uruchomić oficjalną aplikację ręcznie niż korzystać z kodu pochodzącego z niepewnego źródła.

Oszustwa wykorzystujące sztuczną inteligencję i deepfake

Sztuczna inteligencja pozwala szybko tworzyć poprawne językowo wiadomości, realistyczne zdjęcia, nagrania głosowe i materiały wideo. Nie oznacza to, że każde takie oszustwo jest technicznie zaawansowane. Czasami wystarczy krótka próbka głosu opublikowana w mediach społecznościowych.

Klonowanie głosu bliskiej osoby

Osoba dzwoniąca może brzmieć jak dziecko, partner lub przełożony. Zwykle opowiada o wypadku, zatrzymaniu, zgubionym telefonie albo pilnej potrzebie opłacenia rachunku.

W takiej sytuacji:

1. Nie przekazuj pieniędzy podczas rozmowy.
2. Rozłącz się.
3. Zadzwoń na znany wcześniej numer tej osoby.
4. Skontaktuj się z innym członkiem rodziny.
5. Zadaj pytanie, na które odpowiedź zna tylko prawdziwa osoba.

Rodzina może wcześniej ustalić hasło bezpieczeństwa używane wyłącznie w nagłych sytuacjach. Hasła nie należy zapisywać publicznie ani przesyłać w łatwo dostępnym komunikatorze.

Deepfake wideo

Fałszywe nagrania wykorzystuje się m.in. do promowania inwestycji, podszywania się pod znane osoby oraz wydawania poleceń pracownikom. Sam obraz i głos nie są już wystarczającym potwierdzeniem tożsamości.

W firmie polecenie zmiany rachunku, wypłaty pieniędzy lub przekazania poufnych danych powinno być zatwierdzane drugim, niezależnym kanałem.

Fałszywi konsultanci i chatboty

Oszuści mogą używać automatycznych rozmów do kwalifikowania potencjalnych ofiar. Początkowa rozmowa wygląda neutralnie, a dopiero później pojawia się prośba o płatność, instalację programu lub przesłanie dokumentu.

Sygnałem ostrzegawczym nie musi być sposób wypowiedzi. Ważniejsze jest to, do jakiej czynności prowadzi rozmowa.

Przejęcie konta mimo uwierzytelniania dwuskładnikowego

Uwierzytelnianie wieloskładnikowe znacząco zwiększa bezpieczeństwo, ale nie każda jego forma zapewnia taką samą ochronę.

Kradzież aktywnej sesji

Złośliwe oprogramowanie lub fałszywa strona mogą przechwycić plik sesyjny zapisany po prawidłowym logowaniu. Przestępca nie zawsze potrzebuje wtedy hasła ani kolejnego kodu.

Ryzyko ograniczają:

• aktualizacje systemu i przeglądarki;
• nieinstalowanie programów z reklam i przypadkowych stron;
• wylogowywanie nieznanych urządzeń;
• kontrola aktywnych sesji;
• klucze bezpieczeństwa i passkeys;
• ochrona urządzenia przed złośliwym oprogramowaniem.

Atak adversary-in-the-middle

Fałszywa strona pośredniczy między użytkownikiem a prawdziwym serwisem. Przekazuje dane logowania i kod jednorazowy, jednocześnie przejmując sesję.

Dlatego kod SMS lub kod z aplikacji nie naprawia sytuacji, jeśli został wpisany na fałszywej stronie. Odporność na taki phishing zwiększają passkeys oraz sprzętowe klucze bezpieczeństwa zgodne ze standardami FIDO.

MFA fatigue, czyli zmęczenie powiadomieniami

Przestępca wielokrotnie wywołuje prośbę o potwierdzenie logowania. Użytkownik może zaakceptować ją z irytacji lub przekonania, że to błąd systemu.

Nieoczekiwane żądanie logowania należy odrzucić, a następnie:

• zmienić hasło;
• sprawdzić aktywne sesje;
• wylogować obce urządzenia;
• skontrolować dane odzyskiwania konta;
• zgłosić zdarzenie administratorowi lub dostawcy usługi.

SIM swapping

Przestępca próbuje uzyskać duplikat karty SIM albo przenieść numer do innego operatora. Może dzięki temu odbierać SMS-y i resetować hasła.

Nagła utrata zasięgu bez wyraźnej przyczyny powinna skłonić do szybkiego kontaktu z operatorem. Jeżeli to możliwe, warto ograniczyć korzystanie z SMS-ów jako jedynej metody ochrony najważniejszych kont.

Oszustwa na platformach sprzedażowych i w mediach społecznościowych

Popularny schemat polega na kontakcie poza oficjalnym systemem platformy. „Kupujący” wysyła link do odbioru pieniędzy, zamówienia kuriera lub potwierdzenia sprzedaży. Sprzedający trafia na fałszywą stronę, na której podaje dane karty albo logowania do banku.

Aby otrzymać zwykły przelew, nie trzeba podawać:

• numeru karty;
• daty jej ważności;
• kodu CVV lub CVC;
• loginu do banku;
• kodu BLIK;
• kodu autoryzacyjnego z SMS-a.

Należy pozostawać w oficjalnym systemie płatności i komunikacji platformy. Przejście do komunikatora utrudnia weryfikację oraz późniejsze postępowanie reklamacyjne.

Oszustwo „na znajomego” i kod BLIK

Przestępca przejmuje konto w mediach społecznościowych, a następnie prosi kontakty właściciela o pilną pożyczkę lub kod BLIK. Wiadomość pochodzi z prawdziwego konta, ale nie od prawdziwej osoby.

Każdą prośbę o pieniądze warto potwierdzić telefonicznie. W aplikacji bankowej należy czytać pełną treść autoryzacji, w tym kwotę, rodzaj operacji i miejsce wypłaty.

Fałszywe inwestycje, kryptowaluty i „odzyskiwanie pieniędzy”

Oszustwa inwestycyjne często rozpoczynają się od reklamy z wizerunkiem znanej osoby lub fałszywego artykułu informacyjnego. Po pozostawieniu numeru telefonu kontaktuje się „doradca”.

Typowy przebieg obejmuje:

1. Niewielką pierwszą wpłatę.
2. Prezentowanie fikcyjnych zysków na platformie.
3. Namawianie do coraz większych przelewów.
4. Instalację programu do zdalnego dostępu.
5. Żądanie „podatku”, „prowizji” lub „opłaty odblokowującej”.
6. Zerwanie kontaktu albo dalsze próby wyłudzenia.

Zysk widoczny na stronie nie oznacza, że pieniądze rzeczywiście istnieją. Panel inwestycyjny może być wyłącznie symulacją.

Oszustwo wtórne: odzyskanie utraconych środków

Po pierwszym oszustwie dane ofiary mogą trafić do kolejnej grupy. „Prawnik”, „haker”, „urząd” lub „firma odzyskująca kryptowaluty” obiecuje zwrot pieniędzy po wniesieniu opłaty.

Nie należy płacić za:

• odblokowanie rzekomego portfela;
• podatek wymagany przed wypłatą;
• zakup klucza deszyfrującego;
• wpisanie transakcji do rejestru;
• techniczną legalizację środków.

Obietnica gwarantowanego odzyskania pieniędzy jest silnym sygnałem ostrzegawczym.

Fałszywe aplikacje, reklamy i zdalny dostęp do urządzenia

Złośliwe aplikacje mogą podszywać się pod narzędzia bankowe, programy kurierskie, aktualizacje, antywirusy lub aplikacje inwestycyjne. Szczególne ryzyko wiąże się z instalowaniem plików spoza oficjalnego sklepu.

Aplikacje do zdalnego pulpitu

Legalne narzędzia do pomocy technicznej bywają wykorzystywane przez oszustów. Po uzyskaniu dostępu przestępca może obserwować ekran, wydawać polecenia i pomagać ofierze w wykonaniu przelewu.

Nie należy instalować aplikacji na polecenie osoby, która niespodziewanie zadzwoniła i podaje się za pracownika banku, platformy inwestycyjnej lub firmy technologicznej.

Malvertising i fałszywe wyniki wyszukiwania

Sponsorowany wynik może prowadzić do strony podszywającej się pod bank, giełdę kryptowalut, serwis społecznościowy lub popularny program. Pierwszy wynik wyszukiwania nie musi być wynikiem oficjalnym.

Bezpieczniej:

• korzystać z zapisanych zakładek;
• wpisywać znany adres ręcznie;
• używać oficjalnej aplikacji;
• sprawdzać domenę przed podaniem danych;
• nie pobierać oprogramowania z reklam.

Kłódka przy adresie oznacza jedynie szyfrowanie połączenia. Nie potwierdza, że strona jest uczciwa.

Oszustwa firmowe: BEC, fałszywe faktury i zmiana rachunku

Business Email Compromise, czyli BEC, polega na podszyciu się pod kontrahenta, przełożonego lub pracownika. Przestępca może przejąć prawdziwą skrzynkę e-mail i przez pewien czas obserwować korespondencję.

Najczęstsze scenariusze to:

• faktura z podmienionym numerem rachunku;
• prośba prezesa o poufny, pilny przelew;
• zmiana danych płatniczych kontrahenta;
• przesłanie listy wynagrodzeń;
• zakup kart podarunkowych;
• przekazanie danych klientów lub pracowników.

Jak chronić firmowe płatności?

Skuteczne zabezpieczenia organizacyjne obejmują:

• potwierdzanie zmiany rachunku przez znany wcześniej numer telefonu;
• zasadę dwóch osób przy wysokich przelewach;
• oddzielenie przygotowania płatności od jej zatwierdzania;
• limity transakcyjne;
• ochronę skrzynek za pomocą MFA lub passkeys;
• alerty dotyczące nowych reguł przekazywania poczty;
• procedurę na wypadek presji ze strony przełożonego;
• szkolenia oparte na realnych procesach firmy.

Weryfikacji nie należy wykonywać przez numer lub link podany w wiadomości informującej o zmianie rachunku.

Jak chronić dane osobowe, konta i pieniądze?

Najlepsza ochrona nie opiera się na jednym programie. Potrzebne są warstwy zabezpieczeń, które ograniczają zarówno prawdopodobieństwo ataku, jak i jego możliwe skutki.

Używaj unikalnych haseł i menedżera haseł

Każde ważne konto powinno mieć inne hasło. Dzięki temu wyciek z jednego serwisu nie prowadzi automatycznie do przejęcia pozostałych.

Menedżer haseł:

• generuje długie, losowe hasła;
• ogranicza ich ponowne używanie;
• ułatwia rozpoznanie fałszywej domeny, ponieważ nie uzupełni danych na innej stronie;
• pozwala bezpiecznie przechowywać kody odzyskiwania.

Hasło główne do menedżera powinno być długie, unikalne i chronione dodatkowym składnikiem logowania.

Włącz silne uwierzytelnianie

Preferowana kolejność ochrony najważniejszych kont to:

1. Passkey lub sprzętowy klucz bezpieczeństwa.
2. Aplikacja uwierzytelniająca.
3. Kod SMS, jeśli silniejsza metoda nie jest dostępna.
4. Samo hasło — jako rozwiązanie najmniej bezpieczne.

Szczególnej ochrony wymagają skrzynka e-mail, bankowość, konto operatora telekomunikacyjnego, menedżer haseł i konta administracyjne.

Aktualizuj urządzenia

Aktualizacje systemu, przeglądarki i aplikacji usuwają znane podatności. Warto włączyć aktualizacje automatyczne, blokadę ekranu, szyfrowanie urządzenia i funkcję zdalnego odnalezienia lub wymazania danych.

Ograniczaj zakres ujawnianych informacji

Publiczne dane mogą posłużyć do przygotowania spersonalizowanego ataku. Warto ograniczyć widoczność:

• numeru telefonu;
• daty urodzenia;
• planów podróży;
• informacji o rodzinie;
• stanowiska i zakresu obowiązków;
• zdjęć dokumentów, biletów oraz identyfikatorów.

Ustaw limity i powiadomienia bankowe

Limity nie zapobiegają samemu oszustwu, ale mogą ograniczyć stratę. Przydatne są:

• niski limit transakcji internetowych;
• osobny limit BLIK;
• powiadomienia o każdej płatności;
• wyłączone płatności zagraniczne, jeśli nie są potrzebne;
• czasowa blokada karty;
• osobna karta lub konto do zakupów internetowych.

Zastrzeż PESEL

Zastrzeżenie numeru PESEL może ograniczyć ryzyko wykorzystania danych do zaciągnięcia określonych zobowiązań. Można zrobić to m.in. przez usługę państwową lub aplikację mObywatel.

Zastrzeżenie PESEL nie blokuje logowania do banku, płatności kartą ani zwykłych przelewów. Nie zastępuje również zgłoszenia utraty dokumentu i kontaktu z bankiem po wyłudzeniu danych.

Tabela decyzyjna: co zrobić w podejrzanej sytuacji?

Sytuacja	Najbezpieczniejsza decyzja	Czego nie robić	Dalszy krok
Bank informuje telefonicznie o ataku	Rozłącz się i samodzielnie zadzwoń do banku	Nie podawaj kodów i nie instaluj aplikacji	Sprawdź historię operacji oraz aktywne urządzenia
Bliski prosi o pilny przelew	Potwierdź prośbę przez znany numer lub osobiście	Nie polegaj wyłącznie na głosie lub komunikatorze	Ustal rodzinne hasło bezpieczeństwa
SMS informuje o niedopłacie	Wejdź samodzielnie do aplikacji usługodawcy	Nie klikaj linku	Przekaż podejrzany SMS na numer 8080
Kupujący wysyła link do odbioru pieniędzy	Korzystaj wyłącznie z systemu platformy	Nie podawaj danych karty ani loginu do banku	Zgłoś konto użytkownika platformie
Reklama obiecuje szybki zysk	Sprawdź podmiot i ryzyko poza reklamą	Nie instaluj zdalnego pulpitu	Zweryfikuj ostrzeżenia organów nadzoru
Kontrahent zmienia rachunek	Potwierdź zmianę znanym wcześniej kanałem	Nie odpowiadaj wyłącznie na otrzymany e-mail	Zastosuj zatwierdzenie przez drugą osobę
Pojawia się nieoczekiwany monit MFA	Odrzuć żądanie	Nie zatwierdzaj „dla świętego spokoju”	Zmień hasło i zakończ obce sesje
Telefon nagle traci zasięg	Skontaktuj się z operatorem innym kanałem	Nie czekaj do następnego dnia	Sprawdź bank i konta odzyskiwane przez SMS
Podano dane karty	Natychmiast zablokuj lub zastrzeż kartę	Nie ograniczaj się do obserwowania rachunku	Skontaktuj się z bankiem i zgłoś zdarzenie
Wykonano przelew oszustowi	Natychmiast zadzwoń do banku	Nie czekaj na odpowiedź oszusta	Zgłoś sprawę policji i zachowaj dowody
Zainstalowano zdalny pulpit	Odłącz urządzenie od internetu	Nie loguj się z niego do banku	Skontaktuj się z bankiem z innego urządzenia
Ujawniono hasło	Zmień je z bezpiecznego urządzenia	Nie używaj podobnego hasła	Wyloguj sesje i włącz silne MFA

Co zrobić po oszustwie lub wycieku danych?

Czas reakcji ma kluczowe znaczenie. Nie należy czekać na pewność, że doszło do kradzieży.

Pierwsze minuty

1. Skontaktuj się z bankiem i poproś o blokadę odpowiednich instrumentów.
2. Zastrzeż kartę, jeśli ujawniono jej dane.
3. Zgłoś przelew jako wykonany pod wpływem oszustwa albo transakcję jako nieautoryzowaną — zależnie od sytuacji.
4. Zmień hasło do poczty oraz przejętego konta.
5. Wyloguj wszystkie aktywne sesje.
6. Odłącz urządzenie od internetu, jeśli zainstalowano podejrzany program.
7. Skorzystaj z innego, zaufanego urządzenia do kontaktu z bankiem.

Pierwsze godziny

• zabezpiecz wiadomości, numery telefonów, adresy stron i potwierdzenia transakcji;
• wykonaj zrzuty ekranu;
• zapisz chronologię zdarzeń;
• zgłoś incydent do odpowiedniej platformy;
• zawiadom policję, szczególnie gdy doszło do straty lub kradzieży tożsamości;
• zgłoś incydent do CERT Polska;
• zastrzeż PESEL, jeżeli ujawniono dane tożsamości;
• skontaktuj się z operatorem, jeżeli podejrzewasz przejęcie numeru.

Po zainstalowaniu złośliwego oprogramowania

Samo usunięcie aplikacji może być niewystarczające. Należy rozważyć:

• skanowanie sprawdzonym narzędziem;
• usunięcie nieznanych rozszerzeń przeglądarki;
• kontrolę uprawnień administratora i dostępności;
• zmianę haseł z innego urządzenia;
• przywrócenie ustawień fabrycznych;
• ponowną instalację systemu przy poważnym podejrzeniu infekcji.

Najpierw należy zabezpieczyć konta i płatności, a dopiero później logować się na oczyszczanym urządzeniu.

Transakcja nieautoryzowana a przelew zatwierdzony pod wpływem oszustwa

Te sytuacje nie są identyczne.

Transakcja nieautoryzowana to operacja, na którą użytkownik nie wyraził zgody. Przykładem może być użycie skradzionych danych karty.

W przelewie zatwierdzonym pod wpływem manipulacji użytkownik sam wykonuje lub potwierdza operację, ale robi to dlatego, że został oszukany. Odzyskanie środków może być wtedy trudniejsze, jednak nadal należy natychmiast zgłosić zdarzenie bankowi. Szybka reakcja może pozwolić zatrzymać przelew, zablokować rachunek odbiorcy lub rozpocząć procedurę odzyskiwania pieniędzy.

W przypadku płatności kartą można zapytać bank o reklamację oraz możliwość zastosowania procedury chargeback. Jej dostępność zależy m.in. od rodzaju transakcji, okoliczności i zasad organizacji płatniczej.

Najczęstsze błędy użytkowników

Ufanie numerowi telefonu

Numer widoczny na ekranie może zostać podrobiony. Tożsamość należy potwierdzać przez samodzielnie wybrany kanał.

Sprawdzanie tylko kłódki w przeglądarce

Fałszywa strona także może mieć certyfikat i szyfrowane połączenie. Trzeba sprawdzić całą domenę.

Zatwierdzanie bez czytania komunikatu

Kod lub przycisk w aplikacji może autoryzować inną operację niż ta opisana przez rozmówcę. Należy czytać kwotę, odbiorcę i typ transakcji.

Używanie jednego hasła

Jeden wyciek może wtedy prowadzić do przejęcia poczty, mediów społecznościowych i innych usług.

Odkładanie zgłoszenia z powodu wstydu

Oszuści celowo wywierają presję i wykorzystują profesjonalne techniki manipulacji. Szybkie zgłoszenie jest ważniejsze niż obawa przed oceną.

Próba odzyskania pieniędzy przez kontakt z oszustem

Dalsza rozmowa może prowadzić do kolejnych wpłat. Po wykryciu oszustwa priorytetem powinien być kontakt z bankiem, platformą i organami ścigania.

Mity dotyczące bezpieczeństwa w internecie

„Nie mam nic wartościowego, więc nikt mnie nie zaatakuje”

Konto może zostać wykorzystane do oszukiwania znajomych, rozsyłania phishingu, przejmowania innych usług albo prania pieniędzy.

„SMS z kodem zawsze mnie ochroni”

Kod SMS zwiększa bezpieczeństwo, ale może zostać wyłudzony, przechwycony lub wykorzystany w czasie rzeczywistym na fałszywej stronie.

„Jeśli rozmówca zna moje dane, musi być prawdziwy”

Dane mogą pochodzić z wycieku, publicznych rejestrów, mediów społecznościowych lub wcześniejszego etapu ataku.

„Bank cofnie każdy przelew”

Nie ma takiej gwarancji. Szczególnie trudne są przypadki, w których użytkownik sam zatwierdził operację. Mimo to zawsze należy natychmiast zgłosić zdarzenie.

„Oszuści atakują tylko osoby starsze”

Atakowane są wszystkie grupy. Scenariusz jest dopasowywany do wieku, zawodu, zainteresowań i używanych usług.

„Deepfake zawsze można rozpoznać po obrazie”

Artefakty obrazu lub nienaturalny głos mogą być wskazówką, ale nie powinny stanowić podstawowej metody weryfikacji. Skuteczniejsze jest potwierdzenie żądania niezależnym kanałem.

Liczby i statystyki dotyczące oszustw internetowych

Statystyki należy interpretować ostrożnie. Poszczególne instytucje stosują różne definicje zgłoszenia, incydentu, oszustwa i straty. Znaczna część zdarzeń nigdy nie jest zgłaszana.

• W 2023 roku CERT Polska zarejestrował ponad 80 tys. incydentów bezpieczeństwa, przy czym phishing pozostawał jedną z najważniejszych kategorii zagrożeń.
• W 2024 roku do CERT Polska trafiło ponad 600 tys. zgłoszeń, na podstawie których zarejestrowano ponad 100 tys. incydentów. Wzrost zgłoszeń pokazuje skalę automatyzacji i masowego charakteru kampanii.
• Amerykańskie centrum FBI IC3 otrzymało w 2024 roku ponad 859 tys. zgłoszeń, a deklarowane straty przekroczyły 16,6 mld dolarów.
• W danych FBI za 2024 rok osoby w wieku co najmniej 60 lat zgłosiły straty przekraczające 4,8 mld dolarów. Nie oznacza to jednak, że młodsze osoby są odporne — często padają ofiarą innych scenariuszy, np. oszustw zakupowych, rekrutacyjnych i inwestycyjnych.
• Amerykańska FTC informowała o około 12,5 mld dolarów strat zgłoszonych przez konsumentów w 2024 roku. Największą kategorią pod względem wartości pozostawały oszustwa inwestycyjne.
• Nawet pojedynczy incydent BEC może powodować znacznie większą stratę niż masowa kampania phishingowa, ponieważ dotyczy firmowych faktur, wynagrodzeń i wysokich przelewów.

Najważniejszy wniosek nie wynika wyłącznie z liczby zgłoszeń. Rosną przede wszystkim potencjalne straty oraz jakość personalizacji ataków. Dlatego ochrona powinna obejmować procedury weryfikacji, a nie tylko rozpoznawanie błędów w wiadomościach.

Krótka lista kontrolna bezpieczeństwa

Sprawdź, czy:

• każde ważne konto ma unikalne hasło;
• używasz menedżera haseł;
• poczta elektroniczna jest chroniona silnym MFA;
• masz zapisane kody odzyskiwania;
• regularnie sprawdzasz aktywne sesje;
• telefon i komputer aktualizują się automatycznie;
• bank wysyła powiadomienie o każdej operacji;
• limity płatności odpowiadają realnym potrzebom;
• potrafisz zdalnie zablokować telefon;
• bliscy znają zasadę telefonicznego potwierdzania próśb o pieniądze;
• firma weryfikuje każdą zmianę rachunku kontrahenta;
• wiesz, jak szybko skontaktować się z bankiem i operatorem.

FAQ

Jak rozpoznać fałszywą stronę banku?

Sprawdź pełną domenę, a nie tylko logo, wygląd i kłódkę. Uważaj na literówki, dodatkowe słowa, nietypowe końcówki oraz adresy ukryte w skracaczach. Najbezpieczniej otworzyć bank z zapisanej zakładki lub oficjalnej aplikacji.

Czy bank może poprosić o kod BLIK?

Kod BLIK służy do konkretnej operacji, którą użytkownik sam inicjuje. Nie należy podawać go rozmówcy w celu „zabezpieczenia konta”, anulowania przelewu lub wykonania testu bezpieczeństwa.

Co zrobić po kliknięciu podejrzanego linku?

Jeśli tylko otwarto stronę i nie podano danych ani niczego nie zainstalowano, należy ją zamknąć i sprawdzić urządzenie. Jeżeli wpisano hasło, trzeba je natychmiast zmienić z zaufanego urządzenia oraz wylogować aktywne sesje. Po podaniu danych karty konieczny jest kontakt z bankiem.

Czy samo odebranie telefonu może spowodować kradzież pieniędzy?

Zwykle nie. Zagrożeniem są działania wykonane podczas lub po rozmowie: podanie danych, instalacja aplikacji, zatwierdzenie operacji albo wykonanie przelewu. Wyjątkiem mogą być rzadkie ataki wykorzystujące podatności urządzenia, dlatego system powinien być aktualny.

Jak sprawdzić, czy wiadomość od znajomego jest prawdziwa?

Zadzwoń na znany wcześniej numer lub skontaktuj się innym kanałem. Nie pytaj wyłącznie „czy to ty?”, ponieważ oszust może odpowiedzieć twierdząco. Poproś o informację znaną obu stronom.

Czy antywirus chroni przed każdym oszustwem?

Nie. Antywirus może wykryć część złośliwych plików i stron, ale nie powstrzyma użytkownika przed dobrowolnym wykonaniem przelewu lub przekazaniem kodu. Potrzebne są również procedury weryfikacji.

Czy passkeys są bezpieczniejsze od haseł?

Zwykle tak. Passkey jest powiązany z właściwą usługą i zapewnia wysoką odporność na klasyczny phishing. Nie eliminuje jednak wszystkich zagrożeń, np. przejęcia odblokowanego urządzenia lub manipulacji prowadzącej do wykonania płatności.

Gdzie zgłosić podejrzany SMS?

Podejrzaną wiadomość SMS można przekazać do CERT Polska na numer 8080. Incydenty internetowe można również zgłaszać przez oficjalny formularz CERT Polska.

Czy zastrzeżenie PESEL wystarczy po kradzieży danych?

Nie zawsze. Należy również rozważyć zgłoszenie utraty dokumentu, kontakt z bankiem, zmianę haseł i kontrolę prób wykorzystania tożsamości. Zakres działań zależy od rodzaju ujawnionych danych.

Czy można odzyskać pieniądze przelane oszustowi?

Czasami jest to możliwe, szczególnie gdy bank zostanie powiadomiony bardzo szybko. Nie ma jednak gwarancji zwrotu. Należy natychmiast zgłosić transakcję bankowi, zachować dowody i zawiadomić policję.

Jak odróżnić prawdziwą inwestycję od oszustwa?

Należy sprawdzić podmiot w oficjalnych rejestrach i komunikatach organów nadzoru, zrozumieć ryzyko oraz samodzielnie zweryfikować domenę. Gwarancja zysku, presja na szybką wpłatę, kontakt wyłącznie przez komunikator i instalacja zdalnego pulpitu to poważne sygnały ostrzegawcze.

Jaka jest najważniejsza zasada ochrony przed oszustwami?

Nie wykonuj nieodwracalnej czynności pod presją. Przed przelewem, podaniem kodu, instalacją aplikacji lub zmianą rachunku przerwij kontakt i zweryfikuj żądanie niezależnym kanałem.