Telefon od rzekomego pracownika banku potrafi zabrzmieć wiarygodnie, zwłaszcza gdy rozmówca zna nasze imię, numer rachunku albo ostatnią transakcję. Vishing to oszustwo głosowe, w którym przestępca przez telefon wywiera presję, aby wyłudzić dane lub nakłonić do przelewu. Wyjaśniam, jak działa ten mechanizm, po czym rozpoznać fałszywy telefon i co zrobić, jeśli podałeś oszustowi informacje albo zatwierdziłeś operację.
Vishing zaczyna się od telefonu, ale może skończyć się utratą pieniędzy
- Vishing to phishing prowadzony za pomocą rozmowy telefonicznej.
- Oszuści podszywają się najczęściej pod bank, policję, operatora lub bliską osobę.
- Numer wyświetlany na ekranie może być sfałszowany, więc nie potwierdza tożsamości rozmówcy.
- Bank nie powinien prosić przez telefon o hasło, kod SMS, kod BLIK ani instalację programu.
- Po podejrzanej rozmowie trzeba szybko skontaktować się z bankiem, a w razie wyłudzenia zgłosić sprawę także na policję i do CERT Polska.
Vishing to telefoniczna manipulacja, a nie zwykły spam
Vishing, czyli voice phishing, jest odmianą phishingu wykorzystującą rozmowę głosową zamiast e-maila lub wiadomości SMS. Oszust udaje osobę albo instytucję, której ufamy, a następnie próbuje skłonić nas do ujawnienia poufnych informacji lub wykonania konkretnej operacji finansowej.
Najważniejszym narzędziem nie jest tu zaawansowany wirus, lecz inżynieria społeczna. To technika wpływania na zachowanie człowieka przez strach, pośpiech, autorytet albo pozorną troskę. Rozmówca chce doprowadzić do sytuacji, w której działamy automatycznie, zamiast spokojnie sprawdzić, z kim naprawdę rozmawiamy.
| Rodzaj oszustwa | Kanał kontaktu | Typowy cel |
|---|---|---|
| Phishing | E-mail lub fałszywa strona | Wyłudzenie loginu, hasła lub danych karty |
| Smishing | SMS lub komunikator | Skłonienie do kliknięcia linku albo instalacji aplikacji |
| Vishing | Rozmowa telefoniczna | Wyłudzenie danych, kodu autoryzacyjnego lub przelewu |
Granice między tymi metodami często się zacierają. Po telefonie może przyjść SMS z linkiem, a fałszywy konsultant może poprosić o instalację aplikacji do zdalnej obsługi telefonu. Dlatego traktuję vishing nie jako pojedynczy telefon, lecz jako scenariusz ataku, który może wykorzystywać kilka kanałów naraz.
Jak wygląda oszustwo krok po kroku
Rozmowa zwykle zaczyna się od wiarygodnego pretekstu. Dzwoniący informuje o rzekomej próbie kradzieży, podejrzanym przelewie, awarii systemu albo wniosku kredytowym złożonym na nasze dane. W finansach szczególnie skuteczny jest komunikat sugerujący, że pieniądze trzeba natychmiast „zabezpieczyć”.
Przeczytaj również: Jak włączyć NFC w telefonie i płacić zbliżeniowo?
Najczęstsze scenariusze
- Fałszywy pracownik banku twierdzi, że ktoś właśnie wykonuje przelew i potrzebuje kodu autoryzacyjnego do jego zatrzymania.
- Rzekomy konsultant bezpieczeństwa namawia do zainstalowania programu, który ma pomóc zablokować atak.
- Osoba podająca się za policjanta mówi o śledztwie i sugeruje przekazanie gotówki albo wykonanie przelewu na „bezpieczne konto”.
- Fałszywy doradca inwestycyjny obiecuje szybki zysk, ale najpierw żąda opłaty, danych karty lub dostępu do rachunku.
- Osoba podszywająca się pod bliskiego prosi o pilną pożyczkę, często tłumacząc zmianę numeru telefonu.
Ważny szczegół polega na tym, że przestępca nie zawsze prosi wprost o przelew. Czasem nakłania do potwierdzenia operacji w aplikacji, podania kodu BLIK, odczytania kodu SMS albo przejścia na stronę wskazaną w wiadomości. Dla mnie to jedna z najbardziej zdradliwych części vishingu, bo ofiara może mieć wrażenie, że tylko reaguje na zagrożenie, podczas gdy faktycznie sama je zatwierdza.
Na ekranie telefonu może pojawić się numer banku, urzędu albo innej znanej instytucji. To efekt spoofingu, czyli podszywania się pod prawdziwy numer. Numer może wyglądać znajomo, ale nie daje pewności, że rozmówca jest tym, za kogo się podaje.
Po czym rozpoznać fałszywy telefon
Najsilniejszym sygnałem ostrzegawczym jest połączenie autorytetu z presją czasu. Legalny konsultant może zweryfikować klienta, ale nie powinien wymuszać natychmiastowej decyzji ani kierować rozmowy tak, aby nie było chwili na samodzielne sprawdzenie informacji.
Zwracam uwagę szczególnie na sytuacje, w których rozmówca:
- żąda hasła, pełnego numeru karty, kodu PIN, kodu SMS lub kodu z aplikacji;
- poleca przenieść pieniądze na inne konto, wypłacić gotówkę albo przekazać ją kurierowi;
- namawia do instalacji aplikacji do zdalnego pulpitu;
- zabrania rozłączyć się lub skontaktować z bankiem innym kanałem;
- próbuje utrzymać rozmowę, gdy samodzielnie wpisujesz adres strony albo otwierasz aplikację bankową;
- podaje informacje o transakcji, których nie potrafisz potwierdzić w oficjalnej aplikacji.
Sam fakt, że rozmówca zna część naszych danych, również nie jest dowodem jego wiarygodności. Informacje mogą pochodzić z wycieku, mediów społecznościowych, wcześniejszej korespondencji albo publicznych baz. Dane identyfikacyjne nie zastępują niezależnej weryfikacji.
Bank może zadzwonić w sprawie bezpieczeństwa, ale zasada jest prosta. Jeżeli rozmowa dotyczy pieniędzy i ktoś oczekuje od nas sekretnego kodu, instalacji programu lub przelewu na wskazany rachunek, należy ją przerwać. Nie wystarczy powiedzieć, że nie podamy hasła, a potem wykonać pozostałe polecenia.
Co zrobić podczas rozmowy i po popełnieniu błędu
Nie trzeba prowadzić długiej dyskusji ani udowadniać oszustowi, że rozpoznaliśmy jego zamiary. Najbezpieczniejsza reakcja to zakończyć połączenie. Potem kontaktujemy się z instytucją przez numer zapisany w aplikacji, na karcie płatniczej albo na oficjalnej stronie, a nie przez numer podany przez rozmówcę.
- Rozłącz się i nie oddzwaniaj z historii połączeń.
- Samodzielnie otwórz aplikację bankową lub wpisz znany numer infolinii.
- Jeśli podałeś dane logowania, zmień hasło i poproś bank o zabezpieczenie dostępu.
- Jeśli ujawniłeś dane karty, zastrzeż kartę i sprawdź ostatnie operacje.
- Jeśli zatwierdziłeś przelew lub kod BLIK, natychmiast zgłoś to bankowi i zapytaj o możliwość zatrzymania albo odzyskania środków.
- Zachowaj numer telefonu, wiadomości, godziny połączeń i potwierdzenia transakcji. Mogą pomóc bankowi oraz policji.
W przypadku kradzieży pieniędzy liczy się czas. Zgłoszenie po kilku minutach daje bankowi więcej możliwości niż kontakt dopiero po kilku dniach, choć nie gwarantuje odzyskania środków. Jeżeli doszło do wyłudzenia lub próby oszustwa, sprawę można zgłosić policji oraz do zespołu CERT Polska.
Nie należy też ukrywać pomyłki przed bliskimi. Oszuści często wykorzystują stres i wstyd, aby ofiara zwlekała z reakcją. Szybkie przyznanie, że coś poszło nie tak, jest elementem ochrony finansów, a nie powodem do zażenowania.
Jak ograniczyć ryzyko utraty pieniędzy
Najlepiej działa kilka prostych zabezpieczeń stosowanych konsekwentnie. Ja przyjmuję zasadę, że telefon nie jest kanałem do przekazywania sekretów. Służy do uzyskania informacji, ale nie do podawania haseł, kodów autoryzacyjnych ani wykonywania operacji pod dyktando nieznanej osoby.
- Ustaw limity przelewów i płatności, szczególnie na koncie używanym na co dzień.
- Włącz powiadomienia o logowaniach, przelewach i płatnościach kartą.
- Nie instaluj aplikacji z linków przesłanych podczas rozmowy.
- Rozdziel konto oszczędnościowe od rachunku, z którego wykonujesz bieżące płatności.
- Ustal z rodziną prostą zasadę potwierdzania pilnych próśb o pieniądze innym kanałem.
- Regularnie aktualizuj telefon i aplikację bankową.
Limity nie zatrzymają każdej próby oszustwa, ale mogą ograniczyć stratę. To ważne zwłaszcza wtedy, gdy ktoś przejmie dostęp do urządzenia albo nakłoni nas do działania pod wpływem emocji. Warstwowa ochrona, czyli limity, powiadomienia, silne hasło i ostrożność podczas rozmów, jest skuteczniejsza niż liczenie na jeden mechanizm.
Nie przeceniam też aplikacji do rozpoznawania numerów. Mogą ostrzec przed częścią zgłoszonych połączeń, ale nie wykryją każdego nowego numeru i nie zastąpią zdrowego sceptycyzmu. Najpewniejsza metoda nadal polega na przerwaniu rozmowy i samodzielnym kontakcie z instytucją.
Dlaczego spokój jest najlepszą ochroną rachunku
Vishing działa wtedy, gdy oszustowi uda się odebrać nam czas na myślenie. Nie trzeba znać wszystkich technik cyberprzestępców, aby się bronić. Wystarczą trzy nawyki: nie podawać poufnych danych przez telefon, nie wykonywać przelewów pod presją i zawsze samodzielnie potwierdzać tożsamość rozmówcy.
Jeżeli telefon brzmi bardzo profesjonalnie, numer wygląda znajomo, a konsultant zna szczegóły naszego konta, ostrożność powinna być jeszcze większa, nie mniejsza. Najbezpieczniejsza rozmowa z rzekomym bankiem to taka, którą kończymy i rozpoczynamy ponownie przez oficjalny kanał. Ten prosty odruch często decyduje o tym, czy telefon pozostanie tylko próbą oszustwa, czy przerodzi się w realną stratę.
