Technologie

Jak rozpoznać SMS i mail podszywający się pod urząd

Fałszywe wiadomości dawno przestały być pisane łamaną polszczyzną. Dziś wyglądają jak pismo z urzędu, trafiają w realny termin — po doręczeniu decyzji podatkowej, w okolicach terminu opłaty za odpady — i mają jeden cel: żebyś się zalogował na podstawionej stronie albo zapłacił „drobną różnicę”. Wzrokowo tego nie odróżnisz. Odróżnisz to procedurą.

5 października 20264 min czytania

Cztery testy

Każdy z czterech testów sprawdza coś innego i żaden nie wymaga wiedzy technicznej. Wykonuje się je w tej kolejności, bo pierwszy odsiewa najwięcej: zanim w ogóle zaczniesz czytać treść, zapytaj, czy urząd w ogóle używa tego kanału do takich spraw. Jeśli nie używa, dalsza analiza jest zbędna — wiadomość jest fałszywa niezależnie od tego, jak starannie została napisana.

Test kanału. Urząd gminy nie zawiadamia o zaległości SMS-em z linkiem do płatności. Decyzje i wezwania doręcza się pisemnie albo na skrzynkę do doręczeń elektronicznych — czyli tam, gdzie trzeba się zalogować samodzielnie, a nie klikać.
Test adresu. Przeczytaj adres od końca, od ostatniej kropki przed pierwszym ukośnikiem. To jest prawdziwy właściciel strony. Wszystko przed nim może być dowolne.
Test pośpiechu. „W ciągu 24 godzin”, „konto zostanie zablokowane”, „ostateczne wezwanie” — presja czasu jest narzędziem, nie urzędowym stylem.
Test drugiego kanału. Zadzwoń pod numer ze strony urzędu, który sam wyszukasz. Nigdy pod numer z wiadomości.

Czytanie adresu — ten sam schemat zawsze:

  https://www.gov.pl/web/gov/...            -> właściciel: gov.pl        OK
  https://gov.pl.platnosci-online.xyz/...   -> właściciel: platnosci-online.xyz  PODSTAWIONE
  https://e-urzad.gov-pl.com/zaplac         -> właściciel: gov-pl.com     PODSTAWIONE
  https://pz.gov.pl                         -> właściciel: gov.pl        OK

Reguła: liczy się to, co stoi tuż przed PIERWSZYM ukośnikiem.
Myślnik zamiast kropki ("gov-pl") to już inna domena.

Czego oszust nie potrafi podrobić

Twojej sprawy. Prawdziwe pismo powołuje się na znak sprawy, datę decyzji i kwotę, którą możesz zweryfikować w urzędzie. Fałszywe mówi ogólnie „zaległość”.
Konta bankowego gminy. Numer rachunku gminy jest w BIP i na decyzji. Porównaj znak po znaku.
Procedury. Żaden urząd nie prosi o hasło do bankowości, kod BLIK ani o zalogowanie się „w celu weryfikacji tożsamości” przez link.

Z tej trójki najpraktyczniejszy jest pierwszy punkt. Oszust pisze do tysięcy adresów naraz i nie wie o tobie nic, więc musi mówić ogólnie. Urząd zna numer sprawy, datę doręczenia i podstawę prawną, bo prowadzi akta. Dlatego wystarczy jedno pytanie zadane w urzędzie przez telefon — „jaki znak ma moja sprawa” — żeby cała wiadomość się rozsypała, i dlatego warto je zadać przed, nie po przelewie.

Sygnał w wiadomości	Jak jest naprawdę
Link do dopłaty kilku złotych	Klasyczny schemat — mała kwota usypia czujność, celem jest login do banku
Nadawca „URZAD GMINY”	Nazwa nadawcy SMS jest polem tekstowym, można w nie wpisać cokolwiek
Załącznik „wezwanie.pdf.exe”	Podwójne rozszerzenie — plik wykonywalny, nie dokument
Prośba o kod z SMS-a	Kod autoryzuje operację, którą właśnie ktoś wykonuje na twoim koncie

Zasada, która działa zawsze: nie wchodzi się na stronę urzędu ani banku z linku. Wchodzi się z zakładki albo z adresu wpisanego z palca. Wiadomość traktuje się wyłącznie jako powód, żeby sprawdzić — nigdy jako instrukcję.
Redakcja „Pulsu Jawornika”

Zgłoszenie

Zgłoszenie wygląda na formalność bez skutku i tak jest odbierane, dlatego większość fałszywych wiadomości nigdzie nie trafia. Tymczasem to jedyny mechanizm, który działa wstecz: zgłoszona domena bywa blokowana u operatorów, więc ten sam link nie otworzy się już sąsiadowi i komuś starszemu, kto czterech testów nie zrobi. Przekazanie SMS-a zajmuje kilkanaście sekund i nie wymaga podawania własnych danych.

Podejrzany SMS przekaż na numer 8080 — to bezpłatny kanał zgłoszeniowy CERT Polska; przekazanie samej treści nic nie kosztuje i blokuje domenę także innym.
Podejrzaną stronę i wiadomość e-mail zgłoś przez formularz incydent.cert.pl.
Jeżeli pieniądze już wyszły — natychmiast zgłoś to bankowi i złóż zawiadomienie na policji. Liczy się godzina, nie dzień.

Kliknąłem. Co teraz

Odłącz urządzenie od sieci, jeśli pobrał się plik.
Z innego, zaufanego urządzenia zmień hasła: bank, poczta, profil zaufany. Pocztę w pierwszej kolejności — przez nią resetuje się resztę.
Sprawdź, czy nie dopisano reguły przekierowania poczty i nowego numeru telefonu w ustawieniach konta.
Zajrzyj w historię logowań w banku i w profilu zaufanym; o odzyskiwaniu dostępu piszemy w osobnym poradniku.