Jak rozpoznać fałszywy panel płatności po adresie strony?

Fałszywy panel płatności może wyglądać niemal identycznie jak strona banku lub znanego operatora. Logo, kolory i formularz da się skopiować, ale oszust nie może posłużyć się prawdziwą domeną przejętej firmy. Dlatego przed wpisaniem loginu, hasła albo danych karty trzeba przeczytać adres strony od właściwej strony.

Najgroźniejsze ataki zwykle zaczynają się niewinnie: od dopłaty do przesyłki, potwierdzenia sprzedaży, rachunku, mandatu albo opłaty wynoszącej kilka złotych. Niska kwota ma uśpić czujność. Celem nie musi być pobranie tej drobnej należności, lecz przejęcie danych pozwalających wykonać znacznie większą transakcję.

Wygląd strony nie potwierdza jej autentyczności

Oszust może skopiować elementy prawdziwego serwisu płatniczego, łącznie z listą banków, regulaminem i animacją oczekiwania na transakcję. Starannie wykonana witryna nadal może być fałszywa.

Więcej mówi adres widoczny w pasku przeglądarki. To on wskazuje, z jakim serwisem urządzenie faktycznie nawiązało połączenie. Nazwa banku umieszczona w logo, nagłówku albo treści strony nie ma takiej wartości.

Fałszywy panel płatności może również wyświetlić komunikaty dopasowane do działań użytkownika. Po wpisaniu loginu pojawi się prośba o hasło, a następnie o kod SMS. Nie oznacza to, że trwa prawdziwe logowanie. Dane mogą być na bieżąco przekazywane przestępcy, który równolegle próbuje użyć ich w rzeczywistym banku.

Jak odczytać adres strony bez znajomości informatyki?

Najpierw trzeba dotknąć lub kliknąć pasek adresu, aby przeglądarka pokazała cały zapis. Na telefonie jego fragment może być ukryty, a część widoczna na ekranie nie zawsze jest najważniejsza.

Adres można podzielić na trzy elementy:

• początek określający sposób połączenia, na przykład https://,
• nazwę hosta, czyli część prowadzącą do konkretnej strony,
• ścieżkę pojawiającą się po pierwszym pojedynczym ukośniku.

W przykładowym zapisie https://bank.platnosci-bezpieczne[.]com/logowanie nazwa banku znajduje się jedynie w subdomenie. Kluczowa jest domena platnosci-bezpieczne[.]com, która nie należy automatycznie do banku tylko dlatego, że przed nią dodano jego nazwę.

Z kolei w adresie https://platnosc24[.]com/oferta/bank.pl fragment bank.pl został umieszczony dopiero po ukośniku. Jest częścią ścieżki i nie mówi, do kogo należy witryna.

Czytanie adresu od prawej strony

Przestępcy liczą na to, że użytkownik zauważy znajomą nazwę na początku adresu i pominie jego dalszą część. Dlatego host trzeba analizować od prawej strony, zwracając uwagę na właściwą domenę i jej końcówkę.

Podejrzenia powinny wzbudzić między innymi:

• nazwa instytucji dodana przed zupełnie inną domeną,
• przypadkowe słowa takie jak „secure”, „verify”, „payment” lub „login”,
• kilka nazw marek połączonych myślnikami,
• nietypowa końcówka domeny, której firma zwykle nie używa,
• dodatkowa litera, brak jednej litery albo zamiana ich kolejności,
• cyfra udająca literę, na przykład 0 zamiast o,
• ciąg xn--, który może oznaczać domenę zawierającą znaki spoza standardowego alfabetu,
• bardzo długi adres utrudniający znalezienie właściwej domeny.

Samo pojawienie się jednego z takich elementów nie przesądza o oszustwie. Jest jednak wystarczającym powodem, aby przerwać płatność i sprawdzić usługę inną drogą.

Kłódka i HTTPS nie oznaczają, że odbiorca jest uczciwy

Kłódka przy adresie informuje przede wszystkim, że połączenie pomiędzy urządzeniem a daną stroną jest szyfrowane. Nie potwierdza, że witryna należy do banku, sklepu lub operatora płatności, którego udaje.

Oszuści również mogą uzyskać certyfikat dla własnej domeny. W rezultacie fałszywa strona może działać przez HTTPS i nie wyświetlać ostrzeżenia przeglądarki.

Brak kłódki albo komunikat o nieważnym certyfikacie jest powodem do natychmiastowego przerwania płatności. Obecność kłódki nie może być jednak jedynym testem bezpieczeństwa. Nadal trzeba sprawdzić pełną domenę.

Pięć przykładów adresów, które powinny zatrzymać płatność

Poniższe zapisy są celowo nieaktywne i służą jedynie jako przykłady konstrukcji stosowanych w podejrzanych adresach.

1. Nazwa firmy znajduje się przed cudzą domeną

operator.bankowanie-online[.]com

Najbardziej widoczne słowo może przypominać nazwę prawdziwego operatora. Faktyczna domena należy jednak do bankowanie-online[.]com.

2. Domena zawiera drobną literówkę

bezpieczne-platnoscl[.]pl

Ostatni znak może wyglądać jak litera „i”, chociaż w rzeczywistości jest małą literą „l”. Przy szybkim czytaniu różnica łatwo umyka.

3. Prawdziwa nazwa została umieszczona po ukośniku

potwierdzenie-transakcji[.]com/nazwa-banku.pl

Przeglądarka łączy się z pierwszą domeną. Wszystko po ukośniku może zostać dowolnie przygotowane przez właściciela tej strony.

4. Adres składa się z wielu uspokajających słów

bezpieczna-autoryzacja-bank-klient[.]com

Słowa kojarzące się z bezpieczeństwem nie stanowią zabezpieczenia. Długa, opisowa domena może być przygotowana tylko na potrzeby krótkiej kampanii phishingowej.

5. Link prowadzi przez skracacz adresów

Skrócony link ukrywa miejsce docelowe. Nie musi być szkodliwy, ale przy płatności odbiera możliwość sprawdzenia domeny przed otwarciem strony. Bezpieczniej samodzielnie uruchomić aplikację banku, sklepu lub operatora.

Najprostszy test: wejdź do usługi niezależną drogą

Jeżeli wiadomość informuje o zaległej opłacie, nie trzeba korzystać z przesłanego przycisku. Należy zamknąć stronę, samodzielnie uruchomić oficjalną aplikację albo wpisać znany adres serwisu w przeglądarce.

Przykładowo wiadomość o dopłacie do paczki można zweryfikować w aplikacji przewoźnika lub na jego stronie po samodzielnym wpisaniu numeru przesyłki. Informację o płatności za zakupy najlepiej sprawdzić w historii zamówienia otwartej bezpośrednio z konta klienta.

Taki test rozwiązuje również problem skróconych, długich i trudnych do oceny linków. Nie trzeba ustalać, jak działa podejrzany adres, jeśli prawdziwą informację można sprawdzić poza nim.

Jak fałszywy panel płatności wykorzystuje pośpiech?

Adres jest ważnym sygnałem, ale trzeba ocenić również okoliczności, w których pojawił się link. Typowy scenariusz ma wywołać presję i skłonić do działania bez sprawdzania szczegółów.

Sygnałem ostrzegawczym może być:

• groźba zwrotu przesyłki lub natychmiastowej blokady usługi,
• prośba o niewielką dopłatę, której wcześniej nie zapowiadano,
• wiadomość od kupującego twierdzącego, że sprzedawca musi „odebrać pieniądze” przez link,
• żądanie zalogowania się do banku w celu przyjęcia przelewu,
• prośba o podanie danych karty, aby otrzymać pieniądze,
• informacja o konieczności pilnej weryfikacji rachunku,
• link wysłany poza oficjalnym systemem sklepu lub platformy ogłoszeniowej.

Do otrzymania zwykłego przelewu nadawca nie potrzebuje loginu do bankowości, hasła, kodu z SMS-a ani pełnych danych karty odbiorcy. Formularz żądający takich informacji przy rzekomym odbiorze pieniędzy należy zamknąć.

Co sprawdzić przed zatwierdzeniem transakcji?

Nawet jeśli adres nie wzbudził podejrzeń, ostatnim zabezpieczeniem pozostaje treść autoryzacji w aplikacji bankowej lub wiadomości SMS. Nie można traktować kodu jako formalności.

Przed zatwierdzeniem trzeba porównać:

1. rodzaj wykonywanej operacji,
2. kwotę transakcji,
3. nazwę lub dane odbiorcy,
4. numer rachunku, jeśli jest widoczny,
5. informację o dodawaniu urządzenia albo zmianie ustawień bezpieczeństwa.

Jeżeli użytkownik zamierza zapłacić kilka złotych, a komunikat banku dotyczy znacznie wyższej kwoty, dodania zaufanego odbiorcy lub aktywacji nowego urządzenia, operację trzeba odrzucić. Treść autoryzacji opisuje rzeczywistą czynność zlecaną w banku, a nie historię przedstawioną przez stronę płatności.

Szybka procedura przed wpisaniem danych

Kontrola adresu nie musi trwać długo. Można przeprowadzić ją w kilku krokach:

1. Zatrzymaj się przed wpisaniem loginu, hasła lub danych karty.
2. Rozwiń pełny adres w pasku przeglądarki.
3. Oddziel domenę od wszystkiego, co znajduje się po ukośniku.
4. Poszukaj literówek, dodatkowych słów i nietypowej końcówki.
5. Zastanów się, czy link pochodzi z oczekiwanego etapu zakupu.
6. W razie wątpliwości zamknij stronę i otwórz usługę samodzielnie.
7. Przeczytaj pełną treść komunikatu autoryzacyjnego przed jego zatwierdzeniem.

Jeżeli adres jest tak skomplikowany, że nie da się go pewnie ocenić, nie należy ryzykować. Brak pewności przy płatności jest wystarczającym powodem do przerwania operacji.

Czego nie robić na podejrzanej stronie?

Nie należy testować formularza przez wpisywanie nieprawdziwego loginu ani próbować przechodzić do kolejnych ekranów. Takie działanie może przekazać oszustowi informacje o aktywności użytkownika, urządzeniu lub numerze telefonu.

Nie powinno się również:

• pobierać aplikacji lub plików proponowanych przez stronę,
• instalować dodatkowego „modułu bezpieczeństwa”,
• udostępniać ekranu osobie podającej się za konsultanta,
• podawać kodów BLIK w celu „odebrania” przelewu,
• zatwierdzać powiadomień, których treść nie odpowiada planowanej operacji,
• dzwonić pod numer telefonu podany w podejrzanej wiadomości.

Kontakt z bankiem lub firmą należy nawiązać za pomocą numeru znajdującego się w oficjalnej aplikacji, na karcie płatniczej albo na stronie otwartej samodzielnie.

Co zrobić po wpisaniu danych na fałszywej stronie?

Samo zamknięcie karty przeglądarki nie unieważnia informacji, które zostały już wysłane. Jeśli na podejrzanej stronie wpisano login, hasło, dane karty lub kod autoryzacyjny, trzeba działać od razu.

Gdy podano dane logowania do banku

Należy niezwłocznie skontaktować się z bankiem przez oficjalną infolinię i powiedzieć, jakie informacje zostały ujawnione. Bank może zablokować dostęp elektroniczny, przerwać podejrzane operacje lub wskazać dalszą procedurę.

Hasło powinno zostać zmienione z zaufanego urządzenia. Jeżeli ten sam zestaw danych był używany w innych usługach, trzeba zmienić go również tam.

Gdy podano dane karty

Kartę należy jak najszybciej zablokować lub zastrzec zgodnie z instrukcją banku. Samo ustawienie niskiego limitu może nie wystarczyć, ponieważ ujawnione dane pozostają w rękach oszusta.

Gdy zatwierdzono operację

Trzeba natychmiast skontaktować się z bankiem, podając rodzaj, kwotę i czas transakcji. Nie należy czekać na jej pełne zaksięgowanie. Im szybciej bank otrzyma informację, tym większa możliwość podjęcia działań przewidzianych dla danego rodzaju operacji.

Gdy tylko otwarto stronę

Jeżeli użytkownik niczego nie wpisał, nie pobierał plików i nie instalował aplikacji, ryzyko przejęcia danych jest wyraźnie mniejsze. Stronę należy zamknąć, usunąć powiązaną wiadomość po zachowaniu potrzebnych dowodów i zgłosić próbę oszustwa.

Podejrzany SMS można przekazać do CERT Polska na numer 8080. Samą stronę lub inny rodzaj wiadomości można zgłosić przez oficjalny formularz zespołu CERT Polska. Przydatne będą zrzuty ekranu, pełny adres i treść otrzymanej wiadomości.

Kontrola, która chroni skuteczniej niż znajome logo

Najbezpieczniejsza decyzja nie polega na ocenianiu, czy strona „wygląda profesjonalnie”. Trzeba ustalić, dokąd rzeczywiście prowadzi adres, a następnie porównać go z domeną otwartą niezależnie z oficjalnej aplikacji lub własnej zakładki.

Jeśli płatność pojawiła się niespodziewanie, domena budzi choćby niewielką wątpliwość albo komunikat autoryzacyjny nie odpowiada planowanej czynności, należy zamknąć stronę. Prawdziwą należność można sprawdzić ponownie. Danych przekazanych fałszywemu panelowi często nie da się już cofnąć.