Phishing bankowy
Oszustwo polegające na wyłudzeniu danych do logowania, karty albo potwierdzenia transakcji przez fałszywe SMS-y, strony i telefony podszywające się pod bank.
Phishing to wyłudzanie danych przez podszywanie się pod zaufaną instytucję: bank, firmę kurierską, operatora płatności czy urząd. Typowe formy to SMS z linkiem do „dopłaty do przesyłki”, e-mail o „zablokowanym koncie”, fałszywa strona logowania banku w wynikach wyszukiwania, ogłoszenie z linkiem do „odbioru płatności” oraz telefon od rzekomego pracownika banku albo policji (vishing), często ze sfałszowanym numerem wyświetlanym na ekranie.
Celem jest zdobycie loginu i hasła do bankowości, danych karty, kodu BLIK albo skłonienie ofiary do potwierdzenia transakcji w aplikacji, zainstalowania aplikacji zdalnego pulpitu czy wykonania przelewu na „bezpieczne konto”. Ustawa o usługach płatniczych zobowiązuje użytkownika do ochrony indywidualnych danych uwierzytelniających i niezwłocznego zgłaszania nieuprawnionego użycia (art. 42). Ujawnienie danych oszustowi bank może uznać za rażące niedbalstwo, za które płatnik odpowiada w pełnej wysokości (art. 46 ust. 3), dlatego spory o zwrot po phishingu często trafiają do Rzecznika Finansowego i sądów.
Przykład: SMS „Twoja paczka czeka, dopłać 1,99 zł” prowadzi do strony udającej operatora płatności. Po wpisaniu danych karty i kodu z SMS-a oszust dodaje kartę do swojego portfela mobilnego i wydaje 4 000 zł. Kwota dopłaty jest niska, aby uśpić czujność, a kod SMS w rzeczywistości autoryzuje dodanie karty, co widać w treści wiadomości banku.
Podejrzany SMS można bezpłatnie przekazać CERT Polska na numer 8080, a fałszywą stronę zgłosić na incydent.cert.pl. Ustawa z 28 lipca 2023 r. o zwalczaniu nadużyć w komunikacji elektronicznej zobowiązuje operatorów do blokowania takich wiadomości i stron. Po ujawnieniu danych trzeba od razu zablokować kartę i dostęp do bankowości przez infolinię banku, zastrzec PESEL i zgłosić sprawę na policji. Bank nigdy nie prosi o podanie pełnego hasła, kodu BLIK ani o instalację aplikacji do zdalnego dostępu.
Banki wprowadzają też opóźnienia albo dodatkową weryfikację przelewów na nowe rachunki i dodawania kart do portfeli mobilnych, co wydłuża operację, ale ogranicza skutki przejęcia dostępu do konta. Bank nie dzwoni z prośbą o przelew na „bezpieczne konto”.
Źródła
Najczęściej zadawane pytania
- Gdzie zgłosić podejrzany SMS od banku?
- Bezpłatnie na numer 8080 CERT Polska, przekazując wiadomość bez zmian. Fałszywą stronę zgłasza się na incydent.cert.pl, a o próbie oszustwa warto też poinformować bank.
- Czy bank zwróci pieniądze po phishingu?
- Zależy od oceny autoryzacji. Bank musi zwrócić kwotę nieautoryzowanej transakcji do końca następnego dnia roboczego (art. 46 ust. 1 ustawy o usługach płatniczych), ale może odmówić, jeśli uzna, że klient doprowadził do niej umyślnie lub przez rażące niedbalstwo (art. 46 ust. 3). Spór rozstrzyga Rzecznik Finansowy albo sąd.