Oszukańcze telefony i smishing: jak je rozpoznać i zablokować

Skala problemu

Oszukańcze telefony i SMS-y to nie zagrożenie niszowe. W 2023 roku Amerykanie odebrali szacunkowo 60 miliardów automatycznych połączeń, a oszustwa przez SMS (smishing) spowodowały w samych Stanach Zjednoczonych ponad 330 mln USD strat. W skali świata liczby są oszałamiające — także w Polsce CERT Polska co roku odnotowuje dziesiątki tysięcy zgłoszeń dotyczących oszustw telefonicznych i SMS-owych.

To nie są nieporadni przestępcy popełniający oczywiste błędy. Współczesne grupy oszustów to profesjonalne przedsiębiorstwa ze scenariuszami rozmów, call center, grafikami zmian i zaawansowaną technologią podszywania się pod numery. Zrozumienie, jak działają, to Twoja najlepsza obrona.

Vishing: phishing głosowy

Vishing (phishing głosowy) to wykorzystywanie rozmów telefonicznych do nakłaniania ludzi do ujawnienia danych osobowych, wysłania pieniędzy lub udostępnienia kont.

Typowe scenariusze vishingu:

• Oszustwa „na urząd skarbowy”: dzwoniący twierdzą, że masz zaległy podatek i zostaniesz aresztowany, jeśli natychmiast nie zapłacisz kartami podarunkowymi lub przelewem. Urzędy skarbowe (w USA IRS) nie dzwonią z żądaniem natychmiastowej zapłaty.
• Oszustwa na numer identyfikacyjny: Twój numer (w USA SSN, w Polsce np. PESEL) został rzekomo „zawieszony” z powodu podejrzanej aktywności. Musisz go „zweryfikować”, by go przywrócić — czyli podać prosto oszustowi.
• Oszustwa na pomoc techniczną: „Microsoft” lub „Apple” dzwoni z ostrzeżeniem o wirusie na komputerze. Proszą o zdalny dostęp, a potem instalują malware lub każą płacić za fałszywe „naprawy”.
• Oszustwa „na pracownika banku”: ktoś podający się za dział bezpieczeństwa Twojego banku dzwoni w sprawie podejrzanej aktywności i prosi o „weryfikację” numeru konta i PIN-u.
• Oszustwa „na wnuczka”: wymierzone w osoby starsze — dzwoniący podaje się za wnuczka w tarapatach, który pilnie potrzebuje pieniędzy.

Wspólny mianownik: pośpiech, strach i prośba o działanie wbrew zwykłemu rozsądkowi.

Podszywanie się pod numer: dlaczego nie możesz ufać temu, co widzisz

Numer wyświetlany podczas połączenia można całkowicie podrobić. Nazywa się to spoofingiem numeru i dla przestępców korzystających z internetowych usług telefonicznych jest to banalnie proste.

Oszuści regularnie podszywają się pod:

• Dokładny numer Twojego banku (ten prawdziwy, z odwrotu karty)
• Numery urzędów i instytucji państwowych
• Lokalne numery kierunkowe, by wyglądało na telefon od sąsiada

Na wyświetlaczu pojawił się numer Twojego banku? To nic nie znaczy. Jeśli dzwoniący prosi o wrażliwe informacje, rozłącz się i oddzwoń pod numer, który sam znajdziesz — na oficjalnej stronie firmy lub na odwrocie karty.

Smishing: phishing przez SMS

Smishing to phishing przez SMS. Zyskał na popularności, bo ludzie bardziej ufają SMS-om niż e-mailom i chętniej klikają w nich linki.

Typowe ataki smishingowe:

• SMS-y o dostawie paczki: „Twoja paczka została wstrzymana. Potwierdź adres: [link]” — link wyłudza dane lub instaluje malware
• Alerty z konta bankowego: „Wykryto nietypową aktywność. Zweryfikuj konto: [link]”
• SMS-y o nagrodach i loteriach: „Wygrałeś! Odbierz nagrodę: [link]”
• Kradzież kodów dwuskładnikowych: po zdobyciu Twojego hasła oszuści piszą, podając się za usługę, z prośbą o „potwierdzenie” kodu, który właśnie dostałeś — a to w rzeczywistości ich próba logowania

Nigdy nie klikaj linków w SMS-ach od nieznanych numerów. Jeśli wiadomość rzekomo pochodzi z banku, wejdź bezpośrednio do aplikacji lub na stronę banku. W Polsce podejrzanego SMS-a możesz bezpłatnie przesłać do CERT Polska na numer 8080.

Jak rozpoznać oszukańczy telefon lub SMS

Sygnały ostrzegawcze wskazujące na oszustwo:

• Pośpiech i groźby: „zostaniesz aresztowany”, „konto zostanie dziś zamknięte”, „masz 10 minut”
• Nietypowe metody płatności: prośby o karty podarunkowe, kryptowaluty, przelewy natychmiastowe czy BLIK — żadna legalna firma ani instytucja ich nie żąda
• Prośby o dyskrecję: „nikomu nie mów o tej rozmowie” to klasyczna technika manipulacji
• Prośby o zdalny dostęp: namawianie do instalacji oprogramowania, by „naprawić” komputer lub „zabezpieczyć” konto
• Presja, by się nie rozłączać: zakaz rozłączania się lub oddzwaniania pod inny numer
• Prośba o potwierdzenie danych osobowych: prawdziwi rozmówcy już mają Twoje dane — nie muszą prosić Cię o odczytanie numeru identyfikacyjnego, by Cię zweryfikować

Co zrobić, gdy odbierzesz podejrzany telefon

1. Rozłącz się. Nie jesteś nikomu winien uprzejmej rozmowy.
2. Nie oddzwaniaj pod numer podany przez rozmówcę. Samodzielnie znajdź oficjalny numer organizacji.
3. Nie wciskaj klawiszy, by „wypisać się z listy” — to potwierdza, że numer jest aktywny, i może zwiększyć liczbę połączeń.
4. Nigdy nie ujawniaj danych osobowych, nawet w celu „weryfikacji”, kim jesteś.
5. Zgłoś połączenie: w Polsce do CERT Polska (incydent.cert.pl) i na policję, w USA do FTC na ReportFraud.ftc.gov. Te dane pomagają organom ścigania budować sprawy.

Narzędzia do blokowania i filtrowania

Technologia może pomóc ograniczyć niechciane połączenia i SMS-y:

• iOS: Ustawienia > Telefon > Wycisz nieznanych rozmówców — nierozpoznane numery trafiają od razu na pocztę głosową
• Android: aplikacja Telefon Google ma wbudowane filtrowanie spamu; Ustawienia > Spam i filtrowanie połączeń
• Narzędzia operatorów: większość operatorów oferuje bezpłatne filtrowanie połączeń; w Polsce operatorzy są ustawowo zobowiązani blokować m.in. połączenia z podszytych numerów i SMS-y z linkami z listy ostrzeżeń CERT Polska, a w USA dostępne są np. T-Mobile Scam Shield, Verizon Call Filter i AT&T ActiveArmor
• Aplikacje zewnętrzne: Hiya, Nomorobo i RoboKiller identyfikują numery oszustów na podstawie zgłoszeń społeczności
• STIR/SHAKEN: obowiązujący w USA standard sieci telefonicznej weryfikujący numery dzwoniących — połączenia oznaczone jako „Verified” rzadziej są podszyte

Zapisz się na listę zastrzeżeń połączeń

W USA zarejestruj swój numer na DoNotCall.gov. Choć nie powstrzyma to oszustów, którzy ignorują listę, znacznie ograniczy legalny telemarketing, a pozostałe połączenia będą częściej oszustwami — przez co łatwiej je zbyć. W Polsce nie ma centralnej listy tego typu, ale telemarketing wymaga Twojej uprzedniej zgody — możesz ją w każdej chwili wycofać, a natrętne połączenia zgłaszać do UODO lub UKE.

Pamiętaj: oszuści odnoszą sukces, wywołując emocje — strach, ekscytację, pośpiech — które wyłączają krytyczne myślenie. W chwili, gdy podczas rozmowy czujesz presję, sama ta presja jest sygnałem ostrzegawczym. Prawdziwe organizacje dają Ci czas na weryfikację i decyzję.