Anna, 42-letnia graficzka, dzień pracy zaczęła od przeglądania skrzynki mailowej. Przychodziło do niej dużo wiadomości – newslettery, oferty współpracy, zapytania ofertowe, a czasem zaproszenia na wydarzenia kulturalne od znajomych. Część maili od razu kasowała, nawet ich nie otwierając.
Nagle jej uwagę przykuł jeden tytuł wiadomości „Ostateczne wezwanie do zapłaty mandatu! Numer referencyjny: PL/2025/34552”. Nadawcą wiadomości był „Centralny System Windykacji”.
To ją zaniepokoiło. Raczej jeździła zgodnie z przepisami, choć zdarzyło jej się kilka razy zatrzymać w niedozwolonym miejscu czy przekroczyć prędkość. Być może złapał ją fotoradar?
Przeczytała powiadomienie informujące ją o zaległym mandacie na 300 zł, który w wyniku nieuregulowania w terminie wzrósł do 500 zł. Podkreślono też, że brak płatności spowoduje przekierowanie jej sprawy do komornika i blokadę rachunków bankowych. Na końcu znalazł się tekst napisany większą czcionką – termin wyznaczono do końca dnia. Wystarczyło kliknąć w czerwony przycisk, który miał przekierować do płatności. Szybkie działanie miało pozwolić uniknąć egzekucji komorniczej.
Spanikowała. Hasła “blokada rachunków” i “egzekucja komornicza” krążyły jej po głowie. Czuła, że musi działać szybko. Nie miała czasu na dzwonienie i weryfikację – szykowała się do wyjazdu do klienta, miała kilka pilnych projektów do ukończenia. Słowem, masa obowiązków, których nie mogła przesunąć.
Kliknęła w przycisk.
Została przekierowana na stronę płatności, gdzie proszono ją o podanie danych karty płatniczej. Wyjęła kartę z portfela i zaczęła przepisywać numery. Coś jednak zwróciło jej uwagę. Na stronie nie podano kwoty, jak to zwykle bywa przy płatnościach internetowych. Miała podać pełne dane swojej karty, ale nie wiedziała, jak duży przelew zlecała!
Przeczytała jeszcze raz maila o zaległości, po czym wpisała w pasku wyszukiwarki nazwę instytucji, która żądała płatności – Centralny System Windykacji. Wyszukiwarka zasugerowała jej inne wyniki – m.in . Krajowy Rejestr Zadłużonych oraz reklamy systemów windykacyjnych dla firm. Brak pasujących wyników utwierdził ją w przekonaniu, że coś tu nie pasowało.
Zaczęła uważnie analizować stronę płatności. Chociaż wyglądała profesjonalnie i korzystała z wiarygodnie wyglądających logotypów, nie była zabezpieczona – przed adresem widniało HTTP zamiast HTTPS.
Odetchnęła głęboko i zamknęła fałszywą stronę. Była bezpieczna – rzekomy mandat był próbą wyłudzenia pieniędzy. Zlecenie płatności mogło skończyć się przelaniem pieniędzy na konto oszustów lub przekazanie im pełnych danych karty płatniczej, co również groziło utratą środków.
Weszła na stronę www.incydent.cert.pl i zgłosiła sytuację.
Jak rozpoznać oszusta?
- Jedną z technik stosowanych przez oszustów jest informowanie o zaległym mandacie.
- O konieczności uregulowania spłaty informują najczęściej za pomocą:
- wiadomości mailowej z linkiem do płatności
- SMS-a z linkiem do płatności
- kartki z ponagleniem i kodem QR, który ma prowadzić do płatności.
- Piszą rzekomo z ramienia instytucji państwowej, policji lub firmy windykacyjnej. Wykorzystują znane logotypy i wprowadzają urzędowy styl komunikatu.
- W wiadomościach oszuści powołują się na dokumenty i skomplikowane procedury. Grożą konsekwencjami i wywierają presję czasu.
- Nie klikaj w linki i nie skanuj kodów QR. Oszustwo zgłoś jak najszybciej do CERT Polska.
Jak zgłosić incydent do CERT Polska?
Wejdź na stronę www.incydent.cert.pl, następnie wybierz, że zgłaszasz sytuację jako osoba fizyczna.
- Wybierz, jakiego rodzaju oszustwo zgłaszasz. W przypadku powyższej sytuacji należy wybrać opcję ”Podejrzana wiadomość e-mail”.
- Opisz krótko incydent.
- Do wiadomości załącz maila od oszustów w pliku eml. Jak to zrobić, dowiesz się tutaj: https://incydent.cert.pl/instrukcje-email
Zgłoś sytuację, nawet jeśli nie doszło do kradzieży pieniędzy lub wyłudzenia danych. Pozwala to analizować sposoby działania cyberprzestępców i szukać sposobów chronienia się przed nimi.
