Znajoma przesyła Ci w komunikatorze link do zbiórki na leczenie dziecka. Historia porusza, kwota do zebrania jest duża, a pod postem przybywa komentarzy. Chcesz wpłacić choćby kilkadziesiąt złotych, ale coś Cię zatrzymuje: skąd pewność, że otwierasz właściwą stronę i pieniądze trafią tam, gdzie powinny?
Nie musisz oceniać całego apelu na pierwszy rzut oka. Zanim zapłacisz, sprawdź kolejno wiadomość, adres otwartej strony, informacje o zbiórce i treść operacji w banku. To pozwala wychwycić dwa różne problemy: fałszywą stronę, która udaje serwis do wpłat, oraz apel, którego wiarygodności nie potrafisz potwierdzić. Phishing to próba nakłonienia Cię do podania danych, przekazania kodu albo wykonania operacji, której w rzeczywistości nie zamierzałeś zrobić.
Czy wiadomość z linkiem do zbiórki może być fałszywa?
Może, nawet jeśli przyszła od osoby, którą znasz. Ktoś mógł przejąć jej konto w mediach społecznościowych i rozsyłać prośby do znajomych. Oszust może też umieścić link w poście, opłaconej reklamie, e-mailu lub SMS-ie. W każdym z tych miejsc zdjęcie, imię osoby potrzebującej pomocy i opis choroby da się skopiować. Sama znajomość nadawcy ani siła historii nie potwierdzają więc, że odnośnik prowadzi do prawdziwej zbiórki.
Szczególną ostrożność zachowaj, gdy nadawca próbuje odebrać Ci czas na sprawdzenie sprawy. Wiadomość może głosić, że „wpłaty są możliwe tylko przez ten link”, „zostało dziesięć minut” albo „wyślij kod, pomogę Ci dokończyć płatność”. Pilna potrzeba leczenia bywa prawdziwa, ale wymóg przekazania kodu obcej osobie lub pośpiech narzucony przez wiadomość powinny skłonić Cię do zatrzymania się. Jeśli pisze znajomy, możesz zadzwonić do niego na numer, który już masz, i zapytać, skąd pochodzi zbiórka.
Zdarza się też, że fałszywy post odsyła do prawdziwego apelu, ale prośbę o wpłatę kieruje później poza serwis, na prywatne konto albo do rozmowy na komunikatorze. Sprawdzaj zatem nie tylko historię, lecz także drogę, którą masz przekazać pieniądze. Gdy ktoś twierdzi, że zwykła wpłata przez stronę zbiórki „nie działa”, a w zamian chce kodu BLIK przesłanego w czacie, przerwij rozmowę i zweryfikuj tę prośbę innym kanałem.
Jeśli otworzyłeś podejrzany odnośnik, nie zakładaj od razu, że straciłeś pieniądze. W typowym scenariuszu zagrożenie pojawia się przy wpisaniu danych karty lub bankowości, przekazaniu kodu, zatwierdzeniu operacji czy instalacji podsuniętej aplikacji. Dopóki tego nie zrobisz, masz czas zamknąć kartę i sprawdzić adres na spokojnie.
Jak sprawdzić, dokąd naprawdę prowadzi link?
Tekst w wiadomości może zapowiadać „Zbiórkę na leczenie Ani”, a pod nim kryć się może zupełnie inny adres. O tym, na jakiej stronie jesteś, rozstrzyga domena widoczna w pasku przeglądarki po otwarciu odnośnika. Grafika serwisu, logo i zdjęcia można skopiować. Adresu, który należy do prawdziwego serwisu, oszust nie może po prostu użyć dla swojej strony.
Wyobraź sobie, że spodziewasz się adresu przykladowa-domena.pl, a w pasku widzisz przykladowa-domena.pl.inna-strona.example. W tym wymyślonym przykładzie właściwą domeną jest inna-strona.example. Znany Ci adres umieszczono na jej początku, żeby łatwiej było go pomylić z oczekiwaną stroną. Zwracaj uwagę również na drobne literówki i dodatkowe wyrazy w adresie. Jeśli adres w telefonie jest ucięty, dotknij paska i obejrzyj go w całości przed wpisaniem danych.
Przed wpłatą wykonaj trzy proste czynności:
- Odczytaj właściwą domenę w pasku adresu, zamiast polegać na tytule linku w wiadomości.
- Porównaj ją z adresem serwisu, którego spodziewasz się odwiedzić; zwróć uwagę na literówki i dopisane człony.
- Jeśli masz wątpliwości, samodzielnie wejdź do znanego serwisu i wyszukaj zbiórkę po nazwie lub imieniu osoby, której dotyczy.
To ostatni krok jest szczególnie wygodny, gdy link skrócono albo komunikator nie pokazuje całego adresu. Zamiast korzystać z odnośnika w wiadomości, możesz otworzyć serwis prowadzący zbiórki internetowe i poszukać akcji bezpośrednio na jego stronie. Jeżeli apel tam znajdziesz, porównaj jego tytuł i opis z informacjami, które dostałeś. Samo odnalezienie zbiórki potwierdza, gdzie dokonujesz wpłaty, ale nadal warto przeczytać jej treść.
Sprawdź też, czy strona używa HTTPS. Szyfrowane połączenie chroni dane w drodze między Twoim urządzeniem a odwiedzaną witryną. Kłódka, jeśli przeglądarka ją pokazuje, mówi o połączeniu, a nie o uczciwości właściciela strony. Fałszywa witryna również może działać przez HTTPS. Jeśli domena się nie zgadza, sama kłódka nie jest powodem, by kontynuować wpłatę.
Co sprawdzić w samej zbiórce przed wpłatą?
Załóżmy, że jesteś już na stronie właściwego serwisu. To rozwiązuje kwestię adresu, lecz pozostaje pytanie o sam apel. Przeczytaj, kto organizuje zbiórkę, komu ma pomóc i na co konkretnie mają zostać przeznaczone pieniądze. Przy zbiórce na leczenie opis powinien pozwalać zrozumieć potrzebę: czy chodzi o terapię, sprzęt, rehabilitację, dojazdy lub inne wydatki związane ze zdrowiem. Jeśli cel opisano tylko jako „pilną pomoc”, poszukaj dodatkowych informacji przed wpłatą.
Sprawdź sposób kontaktu z organizatorem i to, czy apel pojawia się również w kanałach osoby lub instytucji, która go udostępnia. Gdy zbiórkę rzekomo wspiera fundacja, klub lub szkoła, możesz zajrzeć na ich oficjalną stronę albo zapytać przez kontakt znaleziony niezależnie od przesłanej wiadomości. Jeśli historię podaje znajomy, który zna rodzinę, poproś go o potwierdzenie źródła. To pomaga ustalić, czy udostępniany apel jest tym, za który się podaje.
Jeśli jesteś po drugiej stronie i organizujesz pomoc bliskiej osobie, możesz sprawdzić, jak założyć zbiórkę internetową dla chorego. Jasny opis celu i czytelne informacje o organizatorze ułatwią innym podjęcie decyzji o wsparciu.
Jako darczyńca oceń jednak całość, a nie jeden szczegół. Zdjęcie dokumentu można pokazać bez kontekstu, a fotografia chorej osoby może zostać użyta bez jej wiedzy. Z drugiej strony brak publicznie udostępnionych danych medycznych nie przesądza o oszustwie, bo dotyczą one prywatności. Także obecność apelu na znanej platformie nie jest obietnicą, że każdy podany w nim szczegół został przez Ciebie sprawdzony. Jeśli coś się nie zgadza, poproś o wyjaśnienie lub wybierz akcję, którą umiesz zweryfikować.
W praktyce dobrym sygnałem jest spójność informacji: ta sama osoba, cel i adres zbiórki pojawiają się w komunikatach, które możesz odnaleźć niezależnie. Gdy link z wiadomości prowadzi do apelu na inne nazwisko niż w poście, kwoty i cel nagle się zmieniają albo organizator nalega na płatność poza serwisem, zatrzymaj się. Nie musisz rozstrzygać, czy to celowe oszustwo czy pomyłka. Przed przekazaniem pieniędzy wystarczy ustalić, co rzeczywiście wspierasz.
Na co uważać przy potwierdzaniu wpłaty?
Po wybraniu kwoty uwaga często przenosi się z opisu zbiórki na przycisk „potwierdź”. Właśnie wtedy przeczytaj, co wyświetla aplikacja bankowa lub SMS z banku. Sprawdź kwotę, odbiorcę i rodzaj czynności. Jeśli bank informuje o przelewie albo dodaniu nowego urządzenia, choć miałeś tylko wpłacić drobną darowiznę, nie zatwierdzaj operacji. Zawartość komunikatu bankowego jest ważniejsza niż zapewnienie osoby piszącej do Ciebie, że „wszystko się zgadza”.
Przykład: na stronie wybierasz 50 zł, a w aplikacji widzisz prośbę o zatwierdzenie przelewu na 500 zł. W takim przypadku przerwij płatność, nawet jeśli adres zbiórki wyglądał poprawnie. Podobnie zareaguj, gdy telefon prosi o potwierdzenie czynności, której sam przed chwilą nie rozpocząłeś. Komunikat w banku dotyczy konkretnej operacji; nie traktuj go jako rutynowego powiadomienia do odkliknięcia.
Nie przesyłaj nikomu w rozmowie kodu autoryzacyjnego ani kodu BLIK, nawet jeśli rozmówca twierdzi, że bez tego wpłata nie dotrze do chorego. Przy standardowej płatności to Ty działasz w formularzu i zatwierdzasz własną operację w banku. Prośba o podanie kodu w prywatnej wiadomości zmienia tę sytuację: oddajesz drugiej osobie możliwość użycia go w sposób, którego nie kontrolujesz.
Ocena zbiórki i bezpieczeństwo formularza płatności to dwa osobne sprawdzenia. Prawdziwy apel może zostać wykorzystany jako pretekst do skierowania Cię na podrobioną bramkę płatniczą, a poprawnie działający formularz nie przesądza o prawdziwości historii. Dlatego nawet po weryfikacji organizatora czytaj adres strony podczas płatności i opis operacji w banku. Jeżeli cokolwiek odbiega od wpłaty, którą chciałeś zrobić, wróć do początku i wyjaśnij rozbieżność.
Co zrobić, jeśli podejrzewasz phishing?
Najpierw ustal, na jakim etapie jesteś. Samo otrzymanie wiadomości wymaga innych działań niż wpisanie danych karty lub potwierdzenie przelewu. Nie próbuj „dokończyć” płatności po to, by sprawdzić, czy strona działa. Zatrzymaj się dokładnie tam, gdzie pojawiła się wątpliwość.
Postępuj zależnie od tego, co już się wydarzyło:
- Otrzymałeś link, ale nie podałeś danych? Wstrzymaj wpłatę, otwórz serwis samodzielnie i potwierdź apel innym kanałem.
- Podałeś dane karty lub bankowości albo zatwierdziłeś niezamierzoną operację? Niezwłocznie skontaktuj się z bankiem i postępuj zgodnie z jego instrukcjami.
- Znalazłeś podejrzaną stronę lub SMS? Zgłoś stronę przez formularz CERT Polska, a wiadomość SMS przekaż w niezmienionej formie na numer 8080.
Bank może wskazać Ci kolejne działania odpowiednie do tego, jakie dane podałeś i jaka operacja została wykonana. Jeśli wpisałeś również hasło używane w innych serwisach, zmień je także tam. Gdy straciłeś pieniądze, zgłoś sprawę policji. Podejrzaną stronę możesz przekazać CERT Polska przez formularz pod adresem incydent.cert.pl; samo zgłoszenie nie zastępuje pilnego kontaktu z bankiem po ujawnieniu danych lub zatwierdzeniu płatności.
Jeśli link przyszedł z konta znajomego, powiadom go poza tą rozmową. Być może nie wie, że ktoś wysyła wiadomości w jego imieniu. Możesz też ostrzec osoby, którym sam przekazałeś podejrzany odnośnik. Krótka informacja, by wstrzymały wpłatę i wyszukały zbiórkę samodzielnie, pomoże im uniknąć tego samego ryzyka.
Przed wpłatą zapamiętaj trzy pytania: skąd pochodzi apel, jaka domena widnieje w pasku przeglądarki i co dokładnie zatwierdzasz w banku? Każde dotyczy innego momentu, w którym oszust może próbować wykorzystać Twoją chęć pomocy.
Sprawdzenie tych rzeczy zajmuje chwilę, a pozwala pomóc z większą pewnością. Jeśli odpowiedź na któreś pytanie budzi wątpliwości, odłóż płatność i zweryfikuj sprawę niezależnie. Ani znajoma twarz w poście, ani kłódka przy adresie, ani pojedynczy dokument nie dają pełnej gwarancji. Dopiero zgodność informacji i uważne potwierdzenie własnej operacji tworzą rozsądną podstawę do wpłaty.
