Przychodzi mail „od PKO”: nowe zasady logowania do iPKO, trzeba zaktualizować dane. Klikasz, wpisujesz login i hasło, a strona prosi jeszcze o wysłanie SMS-a. Ten krok jest najgroźniejszy. Taki SMS może aktywować aplikację IKO na telefonie przestępcy, który dostaje wtedy mobilny dostęp do twojego konta.
Dlaczego to SMS, a nie hasło, jest tu kluczem
Przed tą kampanią ostrzega CSIRT KNF. Oszuści podszywają się pod PKO Bank Polski i rozsyłają e-maile o konieczności aktualizacji danych albo o zmianie zasad logowania do iPKO i iPKO Biznes. Link z wiadomości prowadzi na fałszywą stronę bankowości, przygotowaną tak, żeby przypominała prawdziwą.
Login i hasło to dla przestępcy dopiero początek. Bez kodów i zatwierdzeń z twojego telefonu niewiele zdziała. Dlatego scenariusz z SMS-em jest tak niebezpieczny: jeśli wyślesz wiadomość, o którą prosi strona, IKO może zostać aktywowane na urządzeniu oszusta. Wtedy bankowość mobilną ma we własnej kieszeni.
Przyznam, że ten krok sam łatwo bym przeoczył. Prośba o wysłanie SMS-a nie budzi takiej czujności jak pytanie o PIN, bo wygląda na zwykłą formalność. A właśnie ona otwiera oszustowi drzwi do konta.
Co po kolei wyłudza fałszywy formularz?
Strona nie działa według jednego sztywnego scenariusza. Według CSIRT KNF przestępcy w trakcie ataku dobierają kolejne komunikaty do tego, czego akurat potrzebują. Kolejne prośby mogą wyglądać tak:
- Login i hasło do iPKO lub iPKO Biznes, wpisywane w formularz łudząco podobny do bankowego.
- Kod z SMS-a albo zatwierdzenie operacji w aplikacji, rzekomo potrzebne do dokończenia aktualizacji.
- Wysłanie SMS-a, które może aktywować IKO na telefonie przestępcy.
- Numer karty płatniczej i PIN, o które proszą niektóre formularze.
- Zdjęcia dokumentów tożsamości, czyli już nie tylko dostęp do pieniędzy, ale też twoje dane osobowe.
Jeśli po kliknięciu w link z maila strona chce kolejno hasła, kodu, PIN-u i skanu dowodu, to dla mnie wystarczający sygnał, żeby od razu zamknąć kartę przeglądarki. Im dłuższa lista próśb, tym więcej oszust zdążył już zebrać.
Co przeczytać w powiadomieniu IKO, zanim zatwierdzisz
Przed zatwierdzeniem kodu SMS czy powiadomienia w aplikacji przeczytaj całą jego treść, a nie tylko szukaj przycisku. Najważniejsze jest to, jakiej operacji dotyczy. Porównaj ją z tym, co faktycznie robisz w tej chwili.
Jeśli treść nie pasuje do twojej czynności albo w ogóle niczego nie rozpoczynałeś, nie zatwierdzaj. Odruchowe klikanie „tak” to dokładnie to, na co liczą przestępcy, bo autoryzacja z twojego telefonu wygląda dla banku jak twoja decyzja.
- Do bankowości wchodź przez zapisaną zakładkę albo samodzielnie wpisany adres, nigdy przez link z wiadomości.
- Prośbę o nietypową weryfikację sprawdź bezpośrednio w banku, dzwoniąc pod oficjalny numer.
- Nie wysyłaj żadnego SMS-a tylko dlatego, że każe ci to strona otwarta z maila.
Dane już poszły. Co teraz?
Nie czekaj, aż z konta coś zniknie. Skontaktuj się z bankiem natychmiast, korzystając z oficjalnego numeru telefonu, i powiedz wprost, co podałeś na podejrzanej stronie: hasło, kod, dane karty, zdjęcie dokumentu.
Koniecznie wspomnij o SMS-ie, jeśli go wysłałeś. To dla banku informacja, że IKO mogło zostać uruchomione na obcym telefonie, więc konsultant od razu wie, czego szukać. Im szybciej zgłosisz incydent, tym mniej czasu ma oszust.
CSIRT KNF razem z PKO BP i CERT Polska pracuje nad wykrywaniem kolejnych fałszywych stron i ograniczaniem skutków kampanii. Formularze zmieniają jednak komunikaty w biegu, więc najpewniejszą blokadą pozostaje niekliknięcie linku z maila.
