- Cyberprzestępcy wykorzystują Boże Narodzenie, Czarny Piątek i Cyberponiedziałek do przeprowadzania większej liczby oszustw za pomocą wiadomości e-mail, SMS i fałszywych reklam.
- Kluczem do uniknięcia oszustw jest sprawdzenie nadawcy, linków, tonu wiadomości i żądanych informacji przed kliknięciem lub zapłaceniem.
- Wzmocnij swoje bezpieczeństwo, stosując silne hasła, dwuetapową weryfikację, bezpieczne metody płatności i aktualne urządzenia.
- Jeśli podejrzewasz oszustwo, zablokuj karty, zmień hasła, zbierz dowody i skontaktuj się ze swoim bankiem oraz odpowiednimi władzami.
Okres świąteczny kojarzy się z iluminacjami, prezentami i zakupami na ostatnią chwilę, ale także z gwałtownym wzrostem liczby fałszywych e-maili, oszustw internetowych i oszustw cyfrowych . Właśnie wtedy, gdy robimy zakupy online częściej niż kiedykolwiek i uważnie śledzimy dostawy, cyberprzestępcy nasilają ataki, aby przeniknąć do naszych skrzynek odbiorczych i telefonów komórkowych.
O tej porze roku jesteśmy świadkami prawdziwego zalewu agresywnych ofert, powiadomień o dostawie paczek, loterii i rzekomych nagród , które w wielu przypadkach kryją w sobie dobrze przygotowane pułapki. Dobra wiadomość jest taka, że jeśli wiesz, na co zwracać uwagę, możesz wykryć większość oszustw, zanim w nie klikniesz. W tym poradniku, dzięki konkretnym przykładom i praktycznym wskazówkom, dowiesz się, jak rozpoznawać fałszywe wiadomości e-mail i unikać oszustw w te święta, jednocześnie ciesząc się zakupami online.
W grudniu kilka czynników zbiegło się, wywołując gwałtowny wzrost liczby cyberoszustw związanych z pocztą elektroniczną i zakupami online . Z jednej strony ruch w sklepach internetowych gwałtownie rośnie z powodu Czarnego Piątku, Cyberponiedziałku i zakupów świątecznych; z drugiej strony użytkownicy są bardziej spieszni, bardziej ufni i rzadziej sprawdzają szczegóły.
Cyberprzestępcy wykorzystują ten kontekst do przeprowadzania masowych kampanii phishingowych, smishingowych i fałszywych reklam, podszywając się pod firmy, banki, firmy kurierskie lub agencje rządowe. Wiedzą, że oczekujesz paczek, e-maili z potwierdzeniem zamówienia lub powiadomień bankowych, więc niemal idealnie kopiują wizerunek tych podmiotów.
W Hiszpanii oficjalne dane pokazują, że problem narasta: setki tysięcy cyberprzestępstw rocznie, głównie oszustw internetowych , z setkami tysięcy ofiar w samym ubiegłym roku. Co więcej, raporty Ministerstwa Spraw Wewnętrznych i wyspecjalizowanych agencji wskazują, że liczba oszustw związanych z zakupami online i kampaniami świątecznymi wzrasta w tym okresie o 30–40%.
Jest to szczególnie widoczne w najpopularniejszych kanałach: e-mailu, SMS-ach, WhatsAppie i mediach społecznościowych . Szacuje się na przykład, że w Czarny Piątek nawet 70% wiadomości e-mail, które wydają się ofertami sprzedaży, może być oszustwem, a wiele z nich krąży przez cały grudzień.
Poczta e-mail jest również jednym z ulubionych kanałów atakujących, ponieważ pozwala im łączyć manipulację psychologiczną (socjotechnikę) ze złośliwym oprogramowaniem, kradzieżą danych i tożsamości . Wystarczy kliknąć złośliwy link lub załącznik, aby włamać się na urządzenie lub ujawnić dane logowania.
Aby skutecznie się chronić, warto znać najczęstsze rodzaje oszustw w okresie świątecznym i wiedzieć, jak wykorzystują one wiadomości e-mail i SMS-y. Wiele z nich ma podobny schemat działania, nawet jeśli opakowanie ulega zmianie.
Phishing e-mailowy
Klasyczną formą phishingu są wiadomości e-mail podszywające się pod prawdziwe firmy (Amazon, duże sklepy, banki, platformy płatnicze, firmy transportowe itp.) i proszące o kliknięcie linku lub podanie poufnych danych.
Wiadomości te zazwyczaj twierdzą, że występuje pilny problem: zaległa płatność, zablokowane zamówienie, niedostarczona paczka lub rzekomy problem z kontem. Link prowadzi do fałszywej strony internetowej, która imituję oryginał, gdzie użytkownik jest proszony o podanie nazwy użytkownika i hasła, danych karty kredytowej lub innych danych osobowych.
Oszustwa phishingowe związane z zakupami, wysyłką i ofertami specjalnymi znacznie nasilają się w okresie świątecznym . Czasami logo, kolory i projekt są tak przekonujące, że jedynym sposobem na ich wykrycie jest dokładne sprawdzenie adresu nadawcy i adresu URL odbiorcy.
Smishing i oszustwa za pośrednictwem WhatsApp
Smishing działa tak samo jak phishing, ale z wykorzystaniem SMS-ów lub aplikacji do przesyłania wiadomości, takich jak WhatsApp . Otrzymujesz wiadomość informującą na przykład o wstrzymaniu przesyłki, braku niewielkiej opłaty za wysyłkę lub konieczności potwierdzenia pewnych informacji za pomocą skróconego linku.
Wiadomości te często wymieniają znane firmy kurierskie, banki lub usługi płatnicze, takie jak Bizum, i grają na Twoim poczuciu pilności i strachu przed utratą przesyłki lub zablokowaniem konta . Po kliknięciu linku trafiasz na fałszywą stronę internetową, gdzie Twoje dane uwierzytelniające mogą zostać skradzione, a pobranie plików może nawet spowodować zainstalowanie złośliwego oprogramowania.
Fałszywe sklepy internetowe i niemożliwe oferty
Bardzo dochodowe oszustwo świąteczne dla przestępców polega na oferowaniu przez fałszywe sklepy internetowe horrendalnie niskich rabatów . Często pojawiają się one w reklamach w mediach społecznościowych, banerach, e-mailach promocyjnych lub wiadomościach WhatsApp.
Te strony internetowe naśladują wizerunek znanych marek lub modnych sprzedawców detalicznych z branż takich jak technologia, moda, kosmetyki czy zabawki . Przyciągają klientów rabatami sięgającymi 70% lub 80% na poszukiwane produkty, takie jak najmodniejsze zabawki roku czy luksusowe kalendarze adwentowe w absurdalnie niskich cenach.
Proces zakupu wydaje się bardzo legalny: wypełniony formularz, bramka płatności, e-maile z potwierdzeniem… ale zamówienie nigdy nie dociera, albo otrzymany produkt w niczym nie przypomina reklamowanego . Co więcej, dane Twojej karty mogą zostać sprzedane lub ponownie wykorzystane w innych oszustwach.
Loterie, kupony i oszukańcze kampanie charytatywne
W okresie świątecznym mnożą się również fałszywe loterie, bony upominkowe i oszukańcze akcje charytatywne . Wiele z nich dociera do nas za pośrednictwem poczty elektronicznej lub mediów społecznościowych, podszywając się pod organizacje pozarządowe, znane marki, instytucje publiczne, a nawet kradnąc profile znajomych.
Przynętą jest zazwyczaj gwarantowana nagroda, karta podarunkowa, ekskluzywny zwrot pieniędzy lub bardzo emocjonalna akcja charytatywna. W zamian proszą o podanie danych osobowych, uiszczenie rzekomych opłat lub udostępnienie kampanii swoim kontaktom , zamieniając oszustwo w masową aferę.
Podszywanie się pod organy urzędowe i banki
Kolejnym klasycznym oszustwem świątecznym jest podszywanie się pod administrację publiczną, służby bezpieczeństwa lub banki . Wykorzystując wzmożone zakupy i formalności w tym okresie, wysyłają e-maile lub SMS-y podszywające się pod Urząd Skarbowy, agencje ochrony konsumentów, Gwardię Cywilną, banki internetowe itp.
Wiadomości te mogą informować o nieregularnych opłatach, zwrotach podatku, otwartych roszczeniach lub prewencyjnych blokadach kont. Ich celem jest nakłonienie Cię do kliknięcia linku lub pobrania pliku, w którym podasz swoje dane bankowe, lub nieświadomego zainstalowania złośliwego oprogramowania, które może zaszyfrować Twój komputer (oprogramowanie wymuszające okup) lub rejestrować naciśnięcia klawiszy.
Chociaż przestępcy są coraz lepsi, prawie zawsze zostawiają po sobie ślady. Jeśli zastosujesz prostą procedurę za każdym razem, gdy otrzymasz podejrzaną wiadomość e-mail, możesz wykryć większość prób oszustwa, zanim dasz się nabrać.
1. Dokładnie sprawdź nadawcę
Pierwszy filtr służy sprawdzeniu, kto faktycznie do Ciebie pisze. Częstym błędem jest skupianie się tylko na widocznej nazwie (na przykład „Amazon” lub „Twój bank”), podczas gdy liczy się pełny adres e-mail nadawcy.
Często używają drobnych zmian w nazwie domeny: liter zamiast cyfr, błędów ortograficznych lub podejrzanych dodatków . Klasycznymi przykładami są „amaz0n.com” zamiast „amazon.com” lub długie domeny z dziwnymi słowami, które nie mają nic wspólnego z rzeczywistą firmą.
Jeśli w e-mailu nadawca podaje się za osobę z banku, firmy kurierskiej lub sklepu, ale domena nadawcy nie zgadza się z oficjalną (możesz to łatwo sprawdzić na autentycznej stronie internetowej), jest to bardzo ważny powód, aby oznaczyć wiadomość jako podejrzaną i nie wchodzić z nią w interakcję.
2. Przejrzyj temat i ton wiadomości
Temat wiadomości e-mail zazwyczaj ma na celu szybką reakcję: strach, pilność lub ekscytację . W okresie świątecznym nagłówki takie jak „Twoja paczka nie mogła zostać dostarczona dzisiaj”, „Ostatnie ostrzeżenie przed anulowaniem zamówienia”, „Masz do odebrania zaległą nagrodę” lub „Potwierdź płatność teraz, aby uniknąć blokady” są powszechne.
Jeśli wiadomość zawiera nadmiernie alarmistyczny język, bardzo krótkie terminy lub grozi zablokowaniem konta, jeśli nie klikniesz natychmiast, masz do czynienia z typową taktyką socjotechniczną . Właśnie o to im chodzi: o to, abyś działał impulsywnie, bez zastanowienia.
3. Dokładnie przejrzyj treść wiadomości e-mail
Po przejściu wstępnej kontroli, dokładniej przeanalizuj treść. Wiele oszustw można łatwo rozpoznać po błędach gramatycznych, źle przetłumaczonych zwrotach, nietypowych wyrażeniach lub stylu, który nie pasuje do tego, co zazwyczaj oferuje dana firma.
Należy również zachować ostrożność, jeśli wiadomość zawiera prośbę o podanie informacji, o które legalny podmiot nigdy nie prosiłby e-mailem: haseł, kodów PIN, kodów jednorazowych, pełnych numerów kart czy zdjęć dokumentów . Ani banki, ani platformy płatnicze, ani renomowane serwisy wiadomości nie będą prosić o podanie tych informacji e-mailem, SMS-em ani na czacie.
Kolejnym kluczowym wskaźnikiem jest rodzaj wezwania do działania. Jeśli wiadomość nalega na kliknięcie konkretnego przycisku lub linku, zamiast sugerować bezpośrednie przejście do oficjalnej strony internetowej, jest to wyraźny sygnał potencjalnej próby phishingu.
4. Najedź kursorem myszy na linki (bez klikania)
Przed kliknięciem najedź kursorem na link lub przycisk w wiadomości e-mail, nie klikając go, i sprawdź rzeczywisty adres URL docelowy (zazwyczaj wyświetlany w dolnym rogu przeglądarki lub klienta poczty e-mail). Adres ten powinien dokładnie odpowiadać oficjalnej domenie firmy.
Jeśli widzisz dziwnie skrócone adresy URL, domeny, których nie rozpoznajesz, lub bardzo długie adresy URL pełne nietypowych znaków, lepiej ich nie otwierać. Najbezpieczniej jest wejść na stronę samodzielnie, wpisując prawidłowy adres URL w przeglądarce lub korzystając z oficjalnej aplikacji, zamiast ufać otrzymanemu linkowi.
5. Uważaj na nieoczekiwane załączniki
Podejrzane załączniki to bardzo częsty sposób, w jaki złośliwe oprogramowanie infiltruje system. Jeśli otrzymasz skompresowane dokumenty, pliki wykonywalne, rzekome faktury w nietypowych formatach lub pliki, których się nie spodziewałeś, najlepiej nie otwierać ich, dopóki nie masz całkowitej pewności co do ich pochodzenia.
Choć może wyglądać jak zwykły dokument PDF lub tekstowy, może zostać zaprojektowany w celu wykorzystania luk w zabezpieczeniach systemu lub czytnika dokumentów. W razie wątpliwości, przed otwarciem pliku możesz przeskanować go aktualnym programem antywirusowym lub sprawdzić inną metodą (na przykład dzwoniąc do firmy), czy faktycznie został do Ciebie wysłany.
Oprócz wiedzy, jak rozpoznawać sygnały ostrzegawcze, zaleca się stosowanie się do szeregu nawyków bezpieczeństwa, które znacznie zmniejszają szansę padnięcia ofiarą oszustwa , nawet jeśli do Twojej skrzynki odbiorczej trafi złośliwy e-mail.
Wzmocnij dostęp do swojej poczty e-mail
Twoje konto e-mail jest w praktyce kluczem do wielu kont internetowych. Dlatego ważne jest, aby chronić je w jak największym stopniu, stosując silne hasła i uwierzytelnianie dwuetapowe.
Używaj długiego hasła, składającego się z kombinacji liter, cyfr i symboli, i unikaj jego ponownego używania w innych usługach. Korzystanie z menedżera haseł ułatwi tworzenie silnych i zróżnicowanych haseł dla każdej platformy, bez konieczności zapamiętywania ich wszystkich.
Zawsze, gdy to możliwe, włączaj weryfikację dwuetapową (2FA), niezależnie od tego, czy korzystasz z aplikacji uwierzytelniającej, kluczy tymczasowych, czy fizycznych kluczy bezpieczeństwa . W ten sposób, nawet jeśli ktoś ukradnie Twoje hasło za pośrednictwem fałszywego e-maila, dostęp do Twojej skrzynki odbiorczej będzie znacznie trudniejszy.
Aktualizuj swoje urządzenia i połączenia
Przestarzały system to prawdziwy skarb dla atakujących. Aktualizowanie systemu operacyjnego, przeglądarki i oprogramowania antywirusowego znacznie zmniejsza powierzchnię ataku, ponieważ łata luki w zabezpieczeniach, które wykorzystuje wiele złośliwych wiadomości e-mail.
Podczas zakupów i zarządzania poufnymi wiadomościami e-mail, w miarę możliwości unikaj publicznych lub otwartych sieci Wi-Fi . Jeśli musisz z nich korzystać, nie podawaj danych płatności ani nie korzystaj z bankowości internetowej i rozważ skorzystanie z niezawodnej sieci VPN.
Kupuj tylko na zaufanych stronach internetowych
Gdy otrzymasz e-mail z zaproszeniem do skorzystania z oferty, zastanów się najpierw, czy sklep jest rzeczywiście godny zaufania. Sprawdź, czy adres strony internetowej zaczyna się od https://, wyświetla się kłódka zabezpieczająca i czy zawiera czytelne dane kontaktowe (adres fizyczny, numer telefonu, zasady zwrotów, informacje prawne itp.).
W przypadku mniej znanych firm warto zapoznać się z opiniami zewnętrznymi, recenzjami na forach i najnowszymi ocenami innych kupujących . Całkowity brak komentarzy lub historia pełna skarg powinna wzbudzić podejrzenia.
Zachowaj szczególną ostrożność w przypadku stron internetowych akceptujących wyłącznie przelewy bankowe, kryptowaluty lub niezabezpieczone metody płatności . Zawsze bezpieczniej jest płacić kartą kredytową, kartami wirtualnymi lub za pośrednictwem platform oferujących ochronę kupującego.
Kontroluj swoje dane osobowe i bankowe
Im mniej informacji podasz, tym lepiej. Nie podawaj danych osobowych, które nie są niezbędne do zakupu lub wysyłki, i pamiętaj, że legalny sklep nigdy nie poprosi o pełne dane bankowe ani jednorazowe hasła (OTP) przez e-mail, telefon ani czat.
Przestępcy często podszywają się pod „weryfikację tożsamości” lub „rozwiązanie problemu”, aby nakłonić Cię do przesłania kodu, który właśnie otrzymałeś na telefon. Jeśli ktoś poprosi Cię o udostępnienie hasła jednorazowego (OTP), niezależnie od tego, czy pochodzi ono z banku, platformy płatniczej czy serwisu, możesz założyć, że to próba oszustwa.
Zastosuj technikę „zatrzymaj i przejrzyj”
Prostą, ale bardzo skuteczną strategią jest zmuszenie się do kilkusekundowej przerwy przed kliknięciem dowolnego linku otrzymanego e-mailem, SMS-em lub w mediach społecznościowych. Ta krótka przerwa przerywa impuls i daje czas na sprawdzenie nadawcy, adresu URL i treści.
Techniki te są z powodzeniem stosowane w szkoleniach korporacyjnych, aby zmniejszyć odsetek pracowników padających ofiarą oszustw phishingowych. Działają równie dobrze w domu: wdrożony nawyk znacząco zmniejsza ryzyko padania ofiarą impulsywnych oszustw.
Co zrobić, jeśli podejrzewasz, że Twoje dane zostały już naruszone
Czasami nie zdajesz sobie sprawy, że padłeś ofiarą oszustwa, dopóki nie klikniesz lub nie wprowadzisz danych. W takiej sytuacji kluczowe jest szybkie zareagowanie, aby ograniczyć szkody i odciąć atakującym dostęp.
Jeśli podałeś dane karty lub podejrzewasz nieautoryzowane obciążenia, pierwszym krokiem jest kontakt z bankiem lub wystawcą karty w celu jej zablokowania i sprawdzenia ostatnich transakcji. Im szybciej to zrobisz, tym łatwiej będzie zapobiec nieautoryzowanym obciążeniom.
Po drugie, natychmiast zmień hasła do kont, których dotyczy problem, zaczynając od poczty e-mail i bankowości internetowej . Jeśli używałeś tego samego hasła do innych usług, zmień je również, ponieważ pojedyncza kradzież może uniemożliwić dostęp do innych stron.
Zaleca się przeskanowanie urządzenia zaktualizowanym programem antywirusowym lub niezawodnym narzędziem zabezpieczającym , aby sprawdzić, czy link lub pobrany plik nie zainstalował złośliwego oprogramowania. W przypadku wykrycia infekcji należy postępować zgodnie z instrukcjami oprogramowania lub skonsultować się ze specjalistą.
Na koniec zbierz wszystkie dowody: zrzuty ekranu wiadomości e-mail, fałszywe strony internetowe, potwierdzenia płatności, kody transakcji itp. Dzięki tym informacjom możesz zgłosić sprawę na policję (lub do odpowiedniej jednostki w swoim kraju) i złożyć formalną skargę do swojego banku lub platformy płatniczej.
Oficjalna pomoc i zasoby będą lepiej chronione
Nie jesteś sam w obliczu tych zagrożeń. W Hiszpanii organizacje takie jak INCIBE, Gwardia Cywilna i regionalne agencje cyberbezpieczeństwa regularnie publikują alerty o aktywnych kampaniach i oferują bezpośrednie kanały wsparcia.
INCIBE prowadzi infolinię ds. cyberbezpieczeństwa pod numerem 017 , dostępną również za pośrednictwem WhatsApp i Telegram. Można tam uzyskać bezpłatne i poufne wskazówki dotyczące kroków, które należy podjąć w przypadku podejrzenia oszustwa lub stania się jego ofiarą.
Gwardia Cywilna ze swojej strony regularnie rozpowszechnia zalecenia dotyczące bezpiecznych zakupów w Czarny Piątek, Cyberponiedziałek i Boże Narodzenie , zwracając szczególną uwagę na typowe oszustwa: podszywanie się pod duże sieci, fałszywe platformy kupna i sprzedaży, masowy phishing pod pretekstem zatrzymania przesyłek lub podszywanie się pod europejskie organizacje konsumenckie.
W niektórych wspólnotach autonomicznych, np. w Katalonii, lokalna agencja ds. cyberbezpieczeństwa uruchamia również specjalne kampanie z okazji tych dat, ostrzegając, że duża część wiadomości e-mail i reklam rzekomych ofert to w rzeczywistości próby oszustwa , i przypominając o konieczności każdorazowej weryfikacji sklepu i adresu URL przed dokonaniem zakupu.
Ponadto dostępne są specjalistyczne narzędzia, które pozwalają sprawdzić, czy Twoje dane wyciekły w wyniku włamania lub krążą po tajnych forach. Choć nie są niezawodne, mogą służyć jako dodatkowy wskaźnik narażenia na wyciek i pomóc w podjęciu decyzji o zmianie haseł lub zweryfikowaniu dostępu do określonych usług.
Jeśli masz wątpliwości co do wiadomości związanej z zakupami, wysyłką lub płatnościami, możesz skorzystać z tej krótkiej listy kontrolnej , aby ocenić jej wiarygodność. Zastosuj kilka punktów jednocześnie, a nie tylko jeden.
- Czy dobrze rozpoznaję nadawcę i czy domena odpowiada oficjalnej stronie internetowej?
- Czy temat lub tekst stawia mnie w wyjątkowo pilnej sytuacji lub grozi natychmiastową blokadą?
- Czy prosisz mnie o informacje, o które żadna szanująca się firma nie prosiłaby mnie e-mailem (hasło, PIN, kod OTP, pełny numer karty)?
- Czy link rzeczywiście prowadzi do prawdziwej domeny czy do dziwnego/skróconego adresu, którego nie rozpoznaję?
- Czy oferty i zniżki są tak dobre, że wydają się wręcz niemożliwe do zrealizowania?
Jeśli kilka z tych odpowiedzi wzbudzi Twoje podejrzenia, najrozsądniej będzie usunąć wiadomość, oznaczyć ją jako spam, a jeśli to konieczne, powiadomić podszywającą się firmę, aby dowiedziała się o oszukańczej kampanii.
Okres świąteczny nadal będzie ulubionym okresem cyberprzestępców, ponieważ zakupy online wciąż zyskują na popularności. To również doskonała okazja do wyrobienia sobie bezpieczniejszych nawyków cyfrowych. Zwracając uwagę na nadawcę, linki i udostępniane informacje, a także wzmacniając hasła i korzystając z bezpiecznych metod płatności, możesz cieszyć się świętami, prezentami i promocjami bez obawy przed fałszywym e-mailem, który mógłby zepsuć Ci świętowanie.