Oszustwa telefoniczne i internetowe - jak rozpoznać zagrożenia i chronić dane

Oszustwa prowadzone drogą telefoniczną i przez internet przestały ograniczać się do fikcyjnych scenariuszy – pojawiają się w codziennych sytuacjach. Zaczynają od kontaktu z rzekomego banku, SMS-a o dopłacie do paczki, prośby o weryfikację danych, reklamy inwestycji z udziałem celebryty albo od internetowej znajomości, która w końcu zamienia się w prośbę o pieniądze. Przestępcy łączą tradycyjne metody manipulacji z nowymi kanałami komunikacji, a ich celem nie ogranicza się jedynie do wyłudzeń - często chodzi o całkowite przejęcie kontroli nad urządzeniem, dostępem do konta bankowego lub wywołanie silnych emocji.

Najczęstsze scenariusze oszustw

Najgroźniejszą grupą są oszustwa telefoniczne wykorzystujące spoofing, czyli podszywanie się pod numer banku, Policji lub innej zaufanej instytucji. Sam numer wyświetlany na telefonie nie świadczy o autentyczności rozmowy; złodzieje potrafią sfałszować dzwoniący numer. Działanie spoofing polega na tym, że odbiorca widzi inne dane identyfikujące rozmówcę. Typowy przekaz to informacja o rzekomo wykrytej podejrzanej transakcji, o zaciągniętym kredycie lub o konieczności zabezpieczenia środków. Następnie żądany jest przelew na konto techniczne lub podanie kodów autoryzacyjnych. Pamiętajmy: policjant ani prawdziwy pracownik banku nigdy nie prosi o wypłatę pieniędzy ani przelew na obce rachunki ani wpłatę gotówki do wpłatomatu jako formę zabezpieczenia środków.

Drugą powszechną metodą jest smishing, czyli phishing przez wiadomości SMS. Obejmują one zwykle paczki, dopłaty, blokady konta, brakujące adresy, niezapłacone rachunki lub pilną weryfikację danych. Oszuści podszywają się pod firmy kurierskie, banki, dostawców energii i instytucje publiczne. Efekt to przekierowanie ofiary na fałszywą stronę płatności lub logowania, gdzie zbierane są dane karty, login i hasło lub skłania do instalacji aplikacji.

Trzeci scenariusz to fałszywe alerty bankowe i phishing bankowy. Celem jest skłonienie ofiary do podania danych do logowania do bankowości online. Wiadomości sugerują nowe zabezpieczenia, konieczność weryfikacji danych lub podejrzane logowanie. Często serwis wygląda identycznie z prawdziwą stroną, dlatego kluczowa jest weryfikacja domeny oraz unikanie klikania w linki z podejrzanych wiadomości.

Dlaczego AnyDesk i TeamViewer bywają niebezpieczne w rękach oszustów

AnyDesk i TeamViewer same w sobie nie są złem – to legalne narzędzia zdalnego dostępu. Problem pojawia się, gdy ofiara instaluję je na polecenie obcej osoby i nadaje uprawnienia. Taki program może zapewnić pełny dostęp do urządzenia, a także obsługuje transfer plików i schowek. W praktyce oszust może obserwować ekran, widzieć wpisywane dane i pomagać na odległość, a w rzeczywistości przejmować dostęp do kont bankowych, poczty, komunikatorów czy kryptowalut. Dlatego każdy wniosek o instalację AnyDesk lub TeamViewer od pracownika banku czy informatyka banku powinien być uznany za sygnał ostrzegawczy.

Fałszywe inwestycje, kryptowaluty i oszustwa romantyczne

Wzmożone działania widoczne są w oszustwach inwestycyjnych, często prezentowanych jako szybki zysk z akcji, surowców, sztucznej inteligencji lub kryptowalut. Przestępcy wykorzystują chęć szybkiego pomnażania pieniędzy oraz techniki socjotechniczne; sponsorowane reklamy w mediach społecznościowych są jednym z głównych sposobów dotarcia do ofiar. W 2024 r. CSIRT KNF zidentyfikował 45 985 domen związanych z fałszywymi inwestycjami, a najczęściej wykorzystywano wizerunki polityków, celebrytów i firm Skarbu Państwa. Zwracają uwagę wspólne czerwone flagi: gwarantowany lub nierealistycznie wysoki zysk, presja czasu, dzwoniący po pozostawieniu numeru „opiekun inwestycyjny”, żądanie szybkiej wpłaty, prośba o instalację zdalnego pulpitu, namowa do kolejnych dopłat rzekomo niezbędnych do odblokowania wypłaty, zapłaty podatku albo odzyskania środków.

W przypadku kryptowalut przypominamy, że ochrona inwestora jest niższa niż w przypadku tradycyjnych instrumentów, a same projekty mogą być nieprzejrzyste albo wręcz oszukańcze. Na tym rynku łatwo o manipulację cenami znaną jako pump and dump. Dla przeciętnego odbiorcy wniosek jest prosty: jeśli ktoś obiecuje pewne zyski na kryptowalutach, używa wizerunku znanej osoby, nie daje czasu na rzetelną weryfikację firmy lub próbuje przenieść rozmowę na komunikator i zdalnie pomaga w transakcji - to bardzo silne sygnały ostrzegawcze.

Najważniejsze zasady ochrony i działania po oszustwie

Najskuteczniejsze zasady zapobiegania są proste, ale trzeba stosować je konsekwentnie: zachowuj czujność przy każdym telefonie, SMS-ie czy wiadomości z żądaniem podania danych lub wykonania przelewu; w razie wątpliwości odmów i nie wykonuj operacji bez potwierdzenia u źródła.

Jeśli doszło do oszustwa lub próby, działaj natychmiast. Najpierw skontaktuj się z bankiem poprzez oficjalny numer - zgłoś nieautoryzowaną transakcję, zastrzeż kartę, zmień dane logowania i zabezpiecz dostęp do konta. Jeżeli doszło do wycieku danych osobowych, rozważ zastrzeżenie numeru PESEL w mObywatelu lub w urzędzie. Zgłoś oszustwo Policji – zawiadomienie można złożyć w dowolnej jednostce. Zabezpiecz dowody: SMS-y, e-maile, numery telefonów, potwierdzenia przelewów, zrzuty ekranu i historię rozmów.