Kliknięcie w link phishingowy — co zrobić w pierwszej godzinie

Najpierw ustal, czy doszło tylko do otwarcia strony, czy także do podania danych, przepisania kodu, zatwierdzenia operacji albo instalacji aplikacji. Od tego zależy kolejność działań. Nie odpowiadaj na dalsze wiadomości, a jeśli kontaktuje się osoba podająca się za pracownika firmy, rozłącz się i zadzwoń na oficjalną infolinię tej firmy.

Co dokładnie się stało — od tego zależą kroki

Dalsze kroki zależą od tego, jakie informacje lub uprawnienia mogły trafić w ręce oszusta.

Po opanowaniu sytuacji możesz przeczytać, jak rozpoznać fałszywe SMS-y i e-maile. Teraz ważniejsze jest jednak zabezpieczenie pieniędzy i kont.

Checklista: pierwsze 15 minut

W pierwszych 15 minutach priorytetem jest zatrzymanie dostępu do pieniędzy i bankowości.

1. Skontaktuj się z bankiem. Zrób to jak najszybciej, jeśli na fałszywej stronie podano dane logowania, dane karty, kod szybkiej płatności albo potwierdzono operację. Poproś o zablokowanie karty lub dostępu do bankowości odpowiednio do sytuacji.
2. Wykonaj zastrzeżenie karty. Jeśli nie masz dostępu do aplikacji banku, zadzwoń pod numer (+48) 828 828 828. Ogólnopolski System Zastrzegania Kart ZBP działa przez całą dobę i łączy z infolinią banku po podaniu jego nazwy.
3. Zgłoś nieautoryzowane transakcje. Bank trzeba powiadomić niezwłocznie. Reklamacja powinna obejmować operacje, których nie zatwierdzono świadomie. Ustawowy termin graniczny wynosi 13 miesięcy od obciążenia rachunku, ale nie należy czekać.
4. Nie zatwierdzaj kolejnych operacji. Przed wpisaniem kodu z SMS-a lub akceptacją w aplikacji bankowej czytaj opis operacji, a nie tylko cyfry. Kod może dotyczyć na przykład dodania nowego urządzenia mobilnego, mimo że oszust przedstawia go jako sposób na odbiór środków.
5. Zmień hasło do bankowości. ZBP zaleca po phishingu SMS-owym zmianę hasła do bankowości internetowej i aplikacji mobilnej. Nie używaj ponownie hasła, które mogło zostać przejęte.

Jeśli kontakt odbywa się telefonicznie i pojawiają się wątpliwości co do rozmówcy, rozłącz się. Do banku zadzwoń samodzielnie, korzystając z jego oficjalnej infolinii.

W ciągu godziny: hasła, PESEL, dokumenty

W ciągu godziny zabezpiecz pozostałe konta oraz tożsamość odpowiednio do rodzaju przekazanych danych.

1. Zmień przejęte hasła. Zmień hasło w serwisie, którego dotyczył phishing, oraz wszędzie tam, gdzie było używane to samo hasło. Następnie wyloguj wszystkie aktywne sesje i sprawdź, czy do konta nie podpięto nieznanych urządzeń lub aplikacji. Pomocna może być instrukcja dotycząca podejrzanej aktywności na koncie.
2. Włącz uwierzytelnianie dwuskładnikowe. 2FA znacząco utrudnia przejęcie konta, choć kod z SMS-a lub aplikacji również może zostać wyłudzony. Według CERT Polska najskuteczniejszą ochronę przed phishingiem zapewniają passkeys i klucze FIDO2.
3. Ostrzeż bliskich po przejęciu konta społecznościowego. Takie konta są wykorzystywane przede wszystkim do wyłudzania pieniędzy od znajomych.
4. Sprawdź uprawnienia zainstalowanej aplikacji. Dostęp niepasujący do jej funkcji, na przykład możliwość czytania SMS-ów, jest sygnałem ostrzegawczym. Uprawnienia można sprawdzić i zmienić w ustawieniach Androida oraz iOS. Na Androidzie Google Play Protect skanuje także aplikacje spoza sklepu, ostrzega przed szkodliwymi programami i je usuwa.
5. Zastrzeż PESEL po przekazaniu danych dokumentu. Można to zrobić w aplikacji mObywatel, w serwisie mobywatel.gov.pl, w urzędzie gminy, a według CBZC także w banku. Zastrzeżenie PESEL jest bezpłatne i działa od razu. Zobacz instrukcję, jak zastrzec PESEL, oraz wyjaśnienie, co daje zastrzeżenie PESEL.
6. Zastrzeż dokument tożsamości, jeśli tego wymaga sytuacja. Dokument zastrzega się w Systemie DOKUMENTY ZASTRZEŻONE w swoim banku albo w banku przyjmującym zgłoszenia od osób niebędących jego klientami. Jedno zgłoszenie wystarcza, ponieważ dane trafiają do wszystkich uczestników systemu. Część banków przyjmuje takie zgłoszenia od własnych klientów również pod numerem (+48) 828 828 828 po zdalnej weryfikacji tożsamości.

Alerty BIK wysyłają SMS, gdy ktoś złoży wniosek o kredyt lub pożyczkę na Twoje dane albo spróbuje podpisać umowę w Twoim imieniu. Ofiara wyłudzenia kredytu lub pożyczki może otrzymać „Pakiet BIK za 0 zł” po zgłoszeniu sprawy na policji i kontakcie z BIK pod numerem 22 348 44 44, od poniedziałku do piątku w godzinach 8:00–20:00.

Zgłoszenie do CERT i na policję

Phishing zgłoś do CERT Polska, a utratę pieniędzy również na policję.

Podejrzany SMS przekaż w niezmienionej formie na bezpłatny numer 8080. Stronę lub e-mail zgłoś przez incydent.cert.pl; e-mail można też przesłać na cert@cert.pl albo skorzystać z usługi „Bezpiecznie w sieci” w mObywatelu. Po wysłaniu formularza zachowaj indywidualny numer zgłoszenia.

Jeśli doszło do utraty pieniędzy, zawiadomienie można złożyć w każdej jednostce Policji. Przygotuj adres strony i kopię korespondencji w niezmienionej formie tekstowej lub elektronicznej. Przydatne będą też numer rachunku odbiorcy, link do pośrednika płatności, potwierdzenia przelewów, rodzaj skradzionych danych, wysokość strat oraz data zastrzeżenia PESEL, jeśli zostało wykonane.

Czy da się odzyskać pieniądze

Odzyskanie pieniędzy zależy między innymi od tego, czy transakcja była nieautoryzowana, czy została świadomie zatwierdzona.

Przy nieautoryzowanej transakcji ustawa o usługach płatniczych nakazuje bankowi zwrot kwoty niezwłocznie, najpóźniej do końca następnego dnia roboczego po stwierdzeniu transakcji lub otrzymaniu zgłoszenia. Wyjątek zachodzi, gdy bank ma uzasadnione i udokumentowane podstawy do podejrzenia oszustwa i pisemnie powiadomi organy ścigania. To bank musi udowodnić autoryzację; samo zarejestrowane użycie instrumentu płatniczego nie jest wystarczające.

Transakcja zatwierdzona przez płatnika, na przykład BLIK-iem potwierdzonym w aplikacji, jest co do zasady nieodwołalna. Więcej wyjaśnia poradnik, czy można cofnąć BLIK. Chargeback nie dotyczy transakcji nieautoryzowanych, a termin reklamacji chargeback wynosi z reguły około 120 dni od transakcji. Bank może odmówić zwrotu, jeśli płatnik przyczynił się do oszustwa umyślnie lub wskutek rażącego niedbalstwa.

Najczęściej zadawane pytania

Czy samo kliknięcie w link jest niebezpieczne?

Samo kliknięcie w zdecydowanej większości przypadków jest nieszkodliwe. Ryzyko rośnie po podaniu danych, przepisaniu kodu, potwierdzeniu operacji lub instalacji aplikacji. Rzadkim wyjątkiem są ataki wykorzystujące niezałatane podatności systemu lub przeglądarki.

Co zrobić po podaniu danych karty na fałszywej stronie?

Jak najszybciej skontaktuj się z bankiem i poproś o zablokowanie lub zastrzeżenie karty. Jeśli nie masz dostępu do aplikacji banku, zadzwoń pod numer (+48) 828 828 828. Zgłoś bankowi każdą nieautoryzowaną transakcję.

Czy bank zwróci pieniądze po phishingu?

Przy nieautoryzowanej transakcji obowiązują zasady zwrotu określone w ustawie o usługach płatniczych, ale istnieją ustawowe wyjątki. Operacja świadomie zatwierdzona, na przykład BLIK-iem w aplikacji, jest co do zasady nieodwołalna. Każdą sprawę trzeba niezwłocznie zgłosić bankowi jako reklamację.

Gdzie zgłosić phishing?

SMS prześlij w niezmienionej formie na bezpłatny numer 8080, a stronę lub e-mail zgłoś przez incydent.cert.pl. Można również użyć usługi „Bezpiecznie w sieci” w mObywatelu. Utratę pieniędzy zgłoś bankowi i policji.