„Twoja paczka czeka. Dopłać 1,99 zł, aby ją odebrać.” Taki SMS dostał prawie każdy. Wygląda niewinnie, kwota jest śmiesznie mała, a link zwykle kończy się na stronie łudząco podobnej do bramki płatności. Tak działa smishing, czyli phishing przez SMS. Poniżej wyjaśniam, jak go rozpoznać, co zrobić po kliknięciu i jak ograniczyć ryzyko na przyszłość. 

Dlaczego fałszywe SMS-y działają tak dobrze 

Oszuści nie liczą na naiwność. Liczą na pośpiech i przypadek. Jeśli akurat czekasz na przesyłkę, wiadomość o dopłacie wydaje się całkiem prawdopodobna. Do tego dochodzą trzy mechanizmy: 

• Mała kwota. Przy 1,99 zł nie czujesz, że ryzykujesz cokolwiek, więc nie sprawdzasz niczego dokładnie. Prawdziwy cel to jednak dane karty, a nie złotówki.  

• Presja czasu. „Ostatnia próba doręczenia”, „konto zostanie zablokowane w ciągu 24 godzin”. Stres wyłącza ostrożność.  

• Wiarygodny kontekst. Oszuści podszywają się pod kurierów, urzędy, banki, operatorów prądu i serwisy ogłoszeniowe, bo wiedzą, że ktoś z odbiorców akurat korzysta z takiej usługi.  

Jak rozpoznać fałszywy SMS: 7 sygnałów 

1. Dziwny lub skrócony adres. Zamiast domeny firmy widzisz losowy ciąg znaków, skrót linku albo adres z literówką.  

2. Brak konkretów. Prawdziwy kurier zna numer przesyłki i często imię lub miasto. Fałszywy SMS ogranicza się do ogólników.  

3. Nietypowy nadawca. Zwykły numer komórkowy zamiast oznaczenia firmy albo nazwa, której nie rozpoznajesz.  

4. Prośba o płatność kartą przez link. Firmy kurierskie zwykle nie żądają dopłat w taki sposób.  

5. Presja i groźby. Zablokowanie konta, zwrot paczki do nadawcy, kara. Wszystko „natychmiast”.  

6. Błędy językowe i dziwne formatowanie. Coraz rzadsze, ale wciąż się zdarzają.  

7. Nieoczekiwany temat. Nie zamawiałeś niczego, a dostajesz informację o paczce.  

Co zrobić, jeśli kliknąłeś w link 

Samo kliknięcie to jeszcze nie katastrofa. Dużo zależy od tego, co zrobiłeś potem. 

Jeśli tylko otworzyłeś stronę i zamknąłeś ją: 
Nie podawałeś żadnych danych, więc w większości przypadków nic się nie stało. Wyczyść historię przeglądarki, zrestartuj telefon i uważnie obserwuj konta przez kilka dni. 

Jeśli wpisałeś dane karty lub dane do logowania do banku: 
Działaj od razu, w tej kolejności: 

1. Zastrzeż kartę. Zadzwoń na infolinię banku albo zrób to w aplikacji. To najszybszy sposób na zatrzymanie nieautoryzowanych transakcji.  

2. Zmień hasło do bankowości, jeśli podałeś dane logowania. Zrób to z innego, zaufanego urządzenia, jeśli masz taką możliwość.  

3. Sprawdź historię transakcji i zgłoś bankowi każdą podejrzaną operację. Im szybciej to zrobisz, tym większa szansa na odzyskanie środków.  

4. Zgłoś sprawę na policję i do CSIRT NASK. Wiadomości z oszukańczymi linkami można też przekazać na numer 8080, co pomaga blokować fałszywe strony.  

5. Zmień hasła do poczty i innych kont, jeśli używałeś tego samego hasła w kilku miejscach, i włącz weryfikację dwuetapną.  

Jeśli po kliknięciu pobrała się jakaś aplikacja lub plik: 
Nie otwieraj go. Jeśli już go zainstalowałeś, odłącz telefon od internetu, usuń aplikację, uruchom skan systemowy i zmień hasła z innego urządzenia. Na Androidzie sprawdź też, jakie uprawnienia dostała ta aplikacja. 

Jak zabezpieczyć się przed smishingiem na przyszłość 

Najważniejsza zasada jest prosta: nigdy nie płać ani nie loguj się przez link z SMS-a. Jeśli sprawa dotyczy paczki, wejdź na stronę kuriera lub do jego aplikacji, wpisując adres ręcznie. Jeśli dotyczy banku, otwórz aplikację bankową. Nic więcej nie trzeba. 

Dobrze jest też zadbać o ogólny poziom bezpieczeństwa urządzenia, bo smishing to tylko jedna z dróg ataku. Silna blokada ekranu, weryfikacja dwuetapna, aktualizacje i menedżer haseł zamykają większość realnych zagrożeń. Wszystkie te zasady omawiamy w osobnym poradniku: jak zabezpieczyć telefon przed hakerami. 

Pomagają też proste nawyki: 

• Ustaw w banku niskie limity transakcji internetowych i bezgotówkowych oraz powiadomienia o każdej płatności.  

• Używaj karty wirtualnej lub osobnej karty z niewielkim saldem do zakupów w internecie.  

• Włącz w telefonie filtrowanie spamu i blokowanie nieznanych nadawców.  

• Naucz bliskich, zwłaszcza starszych członków rodziny, jednej reguły: SMS z linkiem i pilną prośbą o pieniądze to sygnał alarmowy.  

Najczęstsze pytania 

Czy samo kliknięcie w link może zainfekować telefon? 
Rzadko. Zwykle infekcja wymaga dodatkowego działania z Twojej strony, na przykład pobrania i zainstalowania pliku lub podania danych. Mimo to po kliknięciu warto zachować czujność. 

Czy oszust wie, że czytałem wiadomość? 
Niektóre linki są unikatowe i pokazują, że ktoś je otworzył. Dla oszusta to sygnał, że numer jest „aktywny”, więc możesz dostawać kolejne wiadomości. Najlepiej zgłosić numer i zablokować nadawcę. 

Skąd oszuści mają mój numer telefonu? 
Z wycieków baz danych, formularzy w internecie albo po prostu z masowego generowania numerów. Często nie mają żadnych informacji o Tobie poza numerem. 

Czy bank odda pieniądze po takim oszustwie? 
To zależy od okoliczności, w tym od tego, czy płatność została autoryzowana i jak szybko ją zgłosiłeś. Dlatego liczy się czas. Zastrzeż kartę i skontaktuj się z bankiem natychmiast. 

Gdzie zgłosić fałszywy SMS? 
Przekaż go na numer 8080 (CERT Polska) oraz zgłoś w swoim banku, jeśli podszywano się pod niego. Możesz też zgłosić sprawę policji. 

Podsumowanie 

Smishing działa dlatego, że uderza w rutynę i pośpiech, a nie w techniczne luki. Wystarczy zasada ograniczonego zaufania do SMS-ów z linkami, a w razie wpadki szybka reakcja: zastrzeżenie karty, zmiana haseł i zgłoszenie. Kilka minut ustawień dziś oszczędzi sporo nerwów i pieniędzy w przyszłości.