Rozdział 1 - Dlaczego rozsądni ludzie dają się nabrać

Marek ma czterdzieści sześć lat, prowadzi firmę, podpisuje umowy na setki tysięcy złotych i potrafi przez pół godziny tłumaczyć znajomym, dlaczego trzeba uważać w internecie. Pewnego wtorku dzwoni do niego bank. A przynajmniej tak wygląda numer na ekranie. Uprzejmy mężczyzna przedstawia się jako pracownik działu bezpieczeństwa i informuje, że ktoś właśnie próbuje zaciągnąć kredyt na jego dane. Marek natychmiast się prostuje.

Pięć minut wcześniej jadł kanapkę.

Teraz uczestniczy w operacji ratowania majątku narodowego.

Rozmówca zna nazwę banku, mówi spokojnie, używa fachowych określeń i informuje, że sprawa jest pilna. Trzeba zabezpieczyć konto, anulować operację i zweryfikować urządzenie. Marek czuje niepokój, ale jednocześnie ulgę. Dobrze, że bank zauważył problem. Dobrze, że zadzwonił. Dobrze, że po drugiej stronie siedzi człowiek, który najwyraźniej wie, co robi.

To właśnie ten moment jest najważniejszy.

Nie chwila, w której Marek podaje kod.

Chwila, w której przestaje zastanawiać się, czy rozmawia z bankiem.

KNF opisuje vishing jako oszustwo telefoniczne, w którym przestępcy mogą wykorzystywać spoofing, czyli podszywanie się pod numer telefonu, oraz występować w roli pracownika banku, instytucji publicznej czy organów ścigania. Typowy scenariusz może obejmować informację o zagrożeniu pieniędzy, nakłanianie do instalacji programu do zdalnego dostępu, wykonania przelewu albo przekazania kodu autoryzacyjnego.

Czyli fakt, że na ekranie widzisz nazwę banku, nie jest aktem notarialnym.

To jest pierwsza ważna rzecz do zrozumienia: oszustwo internetowe rzadko zaczyna się od technologii.

Zaczyna się od psychologii.

Komputer, telefon, wiadomość, strona internetowa i aplikacja są tylko scenografią. Głównym celem jest doprowadzenie cię do stanu, w którym wykonasz określone działanie szybciej, niż zdążysz je ocenić. CERT Polska zwraca uwagę, że phishing, smishing i vishing wykorzystują przede wszystkim oszustwo oraz socjotechnikę, a presja czasu, emocje i autorytet znanej instytucji mogą być elementami próby wyłudzenia danych lub pieniędzy.

Dlatego inteligencja nie daje immunitetu.

Ba, czasami wręcz przeszkadza.

Człowiek inteligentny potrafi bardzo szybko znaleźć sensowne wyjaśnienie sytuacji, która od początku nie ma sensu.

"Pewnie bank ma taki nowy dział."

"Może naprawdę muszą zainstalować ten program."

"Widocznie procedury się zmieniły."

"Przecież zna moje nazwisko."

"Numer wygląda prawidłowo."

"Skoro mówi o bezpieczeństwie, to chyba chce mi pomóc."

Mózg dostał sześć puzzli i już zamówił ramkę.

Najpierw emocja, potem historia

Wyobraź sobie dwie wiadomości.

Pierwsza:

"Dzień dobry. Prosimy w dogodnym terminie sprawdzić ustawienia bezpieczeństwa konta."

Druga:

"UWAGA. Wykryto próbę logowania do Twojego konta. Jeśli to nie Ty, potwierdź blokadę w ciągu 10 minut."

Która szybciej podnosi ciśnienie?

No właśnie.

Oszuści nie potrzebują, żebyś dokładnie przeczytał wiadomość. Potrzebują, żebyś ją poczuł.

Strach jest świetny, bo zawęża uwagę do problemu. Chciwość działa podobnie, tylko zamiast "ratuj pieniądze" pojawia się "zarób pieniądze". Ciekawość daje "zobacz zdjęcia". Współczucie daje "potrzebuję pomocy". Autorytet daje "tu policja". Presja daje "masz pięć minut".

Mechanizm zmienia kostium.

Cel pozostaje ten sam: działaj, zanim sprawdzisz.

Serwis administracji publicznej poświęcony cyberbezpieczeństwu opisuje phishing jako wykorzystanie inżynierii społecznej do skłonienia odbiorcy do działania zgodnego z zamierzeniem przestępcy. Wiadomość może podszywać się między innymi pod kuriera, urząd, operatora, bank albo znajomego i prowadzić do wyłudzenia danych logowania czy innych poufnych informacji.

To tłumaczy pewien internetowy paradoks.

Im bardziej wiadomość wywołuje potrzebę natychmiastowego działania, tym bardziej przydałoby się niczego natychmiast nie robić.

Oszust sprzedaje ci opowieść

Dobry oszust nie prosi cię po prostu o przelew.

Najpierw daje powód.

To bardzo ważne, ponieważ ludzie znacznie łatwiej wykonują dziwne czynności, kiedy otrzymają historię, która nadaje im sens.

Masz przelać pieniądze na obcy rachunek?

Absurd.

Masz "przenieść środki na rachunek techniczny, ponieważ obecne konto zostało przejęte przez grupę przestępczą"?

Brzmi już jak procedura.

Masz podać kod?

Nigdy.

Masz "potwierdzić anulowanie podejrzanej transakcji kodem, który właśnie przyszedł"?

A, anulowanie. To co innego.

Nie jest.

Ale historia wykonała swoją robotę.

To jedna z najważniejszych umiejętności, jakie możesz wyrobić: oddzielić czynność od historii, którą ktoś do niej dołączył.

Kiedy ktoś prosi cię o działanie dotyczące pieniędzy, zadaj sobie pytanie:

Co dokładnie mam zrobić, jeśli usunę z tej sytuacji całą opowieść?

Przelać pieniądze nieznanej osobie?

Podać kod?

Wpisać hasło na stronie z wiadomości?

Zainstalować aplikację na polecenie człowieka, który przed chwilą zadzwonił?

Przekazać dane karty?

Jeżeli sama czynność wygląda źle, efektowna historia jej nie naprawia.

Możesz pomalować pułapkę na pastelowo.

Nadal jest pułapką.

Autorytet działa, bo ma działać

Gdy dzwoni kolega i mówi: "Stary, podaj mi hasło do banku", prawdopodobnie zakończysz rozmowę dość szybko.

Gdy dokładnie to samo opakujesz w słowa "procedura bezpieczeństwa", "dział techniczny", "identyfikator pracownika" i "zabezpieczenie rachunku", sytuacja zaczyna wyglądać inaczej.

To dlatego oszuści tak chętnie podszywają się pod instytucje.

Bank.

Policję.

Urząd.

Firmę kurierską.

Operatora.

Znany sklep.

Portal sprzedażowy.

Szefa.

Nie chodzi wyłącznie o logo. Chodzi o wypożyczenie zaufania.

Jeżeli znasz markę, przestępca nie musi budować wiarygodności od zera. Próbuje wejść do środka na cudzej reputacji.

Jak człowiek, który przychodzi na wesele z tabliczką "kuzyn pana młodego".

Nikt go nie kojarzy.

Ale garnitur ma.

"Ale przecież wiedział coś o mnie"

To również nie jest dowód.

Twoje imię, nazwisko, numer telefonu, adres e-mail, miejsce pracy, stanowisko, zdjęcia, znajomi, niedawne wakacje czy informacja o sprzedaży samochodu mogą być dostępne w różnych miejscach albo wynikać z wcześniejszych wycieków i aktywności w sieci. W ukierunkowanym phishingu przestępca może wcześniej zebrać informacje o konkretnej osobie lub organizacji, aby wiadomość wyglądała bardziej wiarygodnie.

Wyobraź sobie wiadomość:

"Cześć."

Podejrzane.

A teraz:

"Cześć Rafale, kontaktuję się w sprawie twojego ogłoszenia dotyczącego Skody."

Od razu lepiej.

Oszust nie stał się uczciwszy.

Dostał tylko dodatkowe dane do scenariusza.

Personalizacja jest dziś fatalnym testem autentyczności. To, że ktoś wie, jak masz na imię, nie oznacza jeszcze, że powinien wiedzieć, ile masz na koncie.

Najgroźniejsze zdanie brzmi: "To ma sens"

Wiele osób wyobraża sobie oszustwo jako coś pełnego błędów, dziwnych adresów i księcia z odległego kraju, który z jakiegoś powodu wybrał właśnie pana Zbigniewa z Radomia na partnera do transferu trzydziestu milionów dolarów.

Takie oszustwa nadal istnieją.

Ale nie na nich warto budować swoją czujność.

Nowoczesna próba wyłudzenia może wyglądać schludnie, używać poprawnego języka i odnosić się do sytuacji, która rzeczywiście mogła się wydarzyć. CERT Polska wręcz zwraca uwagę, że samo hasło "nie klikaj w podejrzane linki" jest niewystarczające, ponieważ użytkownik często nie ma łatwego sposobu, by przed kliknięciem rozpoznać, że link jest złośliwy; fałszywa strona może bardzo przypominać prawdziwy serwis.

Dlatego nie pytaj tylko:

"Czy to wygląda podejrzanie?"

Pytaj również:

"Czy mogę potwierdzić to niezależnie?"

To ogromna różnica.

Pierwsze pytanie wymaga, żebyś był dobrym detektywem.

Drugie wymaga, żebyś umiał znaleźć oficjalny numer telefonu.

Sherlock może zostać w książce.

Zasada dwóch światów

Od teraz warto oddzielić dwa światy.

Pierwszy to świat, w którym ktoś do ciebie przychodzi.

SMS.

E-mail.

Telefon.

Wiadomość na komunikatorze.

Reklama.

Link.

Drugi to świat, do którego idziesz sam.

Sam otwierasz aplikację banku.

Sam wpisujesz znany adres.

Sam znajdujesz numer na oficjalnej stronie lub na karcie.

Sam dzwonisz do członka rodziny.

Sam wchodzisz na portal sprzedażowy.

Im poważniejsza sprawa, tym częściej powinieneś przenosić się ze świata pierwszego do drugiego.

Przykład.

Dzwoni "bank".

Nie musisz podczas tej rozmowy ustalać, czy człowiek jest prawdziwy.

Rozłączasz się.

Otwierasz aplikację bankową albo korzystasz z oficjalnego numeru kontaktowego.

Sam rozpoczynasz nową rozmowę.

To radykalnie zmienia sytuację, ponieważ przestajesz weryfikować osobę wewnątrz kanału, który wybrał potencjalny oszust.

To jak kontrolowanie dowodu osobistego przez człowieka, który sam go wydrukował.

Pierwszy odruch bezpieczeństwa

Nie potrzebujesz na tym etapie pięćdziesięciu zasad.

Potrzebujesz jednej.

Emocja = przerwa.

Jeżeli wiadomość dotycząca pieniędzy wywołuje nagły strach, ekscytację albo presję, nie wykonuj od razu żadnej nietypowej czynności.

Nie klikaj.

Nie instaluj.

Nie przelewaj.

Nie podawaj kodu.

Najpierw zatrzymaj scenariusz.

Możesz powiedzieć:

"Dziękuję. Sam skontaktuję się z bankiem."

Albo:

"Sprawdzę to w aplikacji."

Albo:

"Oddzwonię do ciebie na znany mi numer."

Albo po prostu:

"Nie wykonuję operacji finansowych podczas przychodzących rozmów telefonicznych."

To ostatnie brzmi trochę jak regulamin elektrowni atomowej.

I bardzo dobrze.

Regulaminy mają tę przewagę nad intuicją, że działają również wtedy, kiedy jesteś zestresowany.

Jeśli zapamiętasz z tego rozdziału jedną rzecz, niech będzie nią ta:

Nie musisz rozpoznawać każdego oszustwa.

Musisz rozpoznawać moment, w którym ktoś próbuje przejąć tempo twojej decyzji.

Kiedy robi się pilnie, dziwnie i finansowo jednocześnie, zwolnij.

Przestępca ma scenariusz.

Ty masz hamulec.

---

Rozdział 2 - Czerwone flagi, które wyglądają całkiem normalnie

Sobota, 11:27. Anna sprzedaje ekspres do kawy na portalu ogłoszeniowym. Po czterech minutach pojawia się kupująca.

"Dzień dobry, biorę."

Piękne.

Bez negocjacji.

Bez pytania, czy ekspres "pójdzie za połowę, bo jadę z daleka".

Bez propozycji wymiany na komplet felg do Opla.

Anna przez chwilę czuje, że internet jednak może być miejscem cywilizowanym.

Kupująca informuje, że zapłaciła już za produkt i przesyła link, przez który trzeba "odebrać pieniądze". Strona wygląda podobnie do portalu. Jest logo, zdjęcie ekspresu, kwota i duży przycisk.

Anna ma wpisać dane karty.

Zatrzymajmy film.

Bo właśnie pojawił się jeden z najważniejszych sygnałów ostrzegawczych w internecie:

normalna czynność nagle zaczyna wymagać nienormalnej procedury.

Sprzedajesz rzecz.

Masz otrzymać pieniądze.

A ktoś prosi cię o dane potrzebne do obciążenia karty.

To trochę tak, jakby kelner przyszedł do stolika i powiedział:

"Państwa rachunek wynosi 120 zł. Żebyśmy mogli przyjąć płatność, potrzebujemy jeszcze kodu PIN do alarmu w domu."

Można oczywiście długo analizować logo restauracji.

Ale może warto zacząć od procedury.

Nie szukaj jednej magicznej oznaki

Dawniej poradniki bezpieczeństwa lubiły prostą listę:

literówki,

dziwne tłumaczenie,

fatalna grafika,

podejrzany nadawca,

dziwny link.

Problem polega na tym, że oszust również potrafi przeczytać poradnik.

Phishing może być przygotowany tak, aby wiadomość wyglądała autentycznie, a cyberprzestępcy stale modyfikują scenariusze i dostosowują je do aktualnych wydarzeń czy trendów. KNF podkreśla, że wspólnym celem tych działań pozostaje zdobycie danych lub nakłonienie ofiary do przekazania środków.

Dlatego literówka jest sygnałem.

Ale brak literówki nie jest certyfikatem bezpieczeństwa.

Logo jest sygnałem.

Ale piękne logo również nie jest certyfikatem.

Profesjonalny ton?

Też nie.

Oszust może być uprzejmy.

To nie jest zawód wymagający chamstwa.

Znacznie skuteczniejsze jest patrzenie na zestaw sygnałów i na to, do czego ostatecznie jesteś nakłaniany.

Czerwona flaga numer jeden: pośpiech

"Tylko teraz."

"Natychmiast."

"Za dziesięć minut konto zostanie zablokowane."

"Kupujący czeka."

"Przelew musi zostać wykonany przed zakończeniem procedury."

"Ostatnia szansa."

Presja czasu jest wyjątkowo wygodna, ponieważ utrudnia wykonanie najgroźniejszej dla oszusta czynności:

sprawdzenia.

CERT Polska wskazuje presję czasu i niewielkie dopłaty jako elementy spotykane w kampaniach phishingowych, a KNF opisuje scenariusze, w których oszuści wykorzystują strach i niepewność, aby nakłonić rozmówcę do wykonania polecenia.

Dlatego przyjmij prostą zasadę:

Jeżeli decyzja finansowa nie może wytrzymać pięciu minut weryfikacji, nie zasługuje na twoje pieniądze.

Prawdziwy bank przeżyje.

Kurier również.

Kupujący prawdopodobnie też.

A jeśli tajemnicza inwestycja gwarantująca 300 procent zysku zniknie w ciągu siedmiu minut, być może właśnie uratowałeś sobie bardzo kosztowną przygodę.

Czerwona flaga numer dwa: zmiana normalnej procedury

Znasz mniej więcej sposób działania swojego banku.

Portalu sprzedażowego.

Firmy kurierskiej.

Sklepu.

Jeśli nagle ktoś mówi ci, że tym razem musisz zrobić coś zupełnie innego, zatrzymaj się.

"Proszę zainstalować aplikację do zabezpieczenia konta."

"Proszę podać kod pracownikowi."

"Trzeba wpłacić środki na konto techniczne."

"Płatność odbiera się przez link od kupującego."

"Aby otrzymać zwrot, najpierw trzeba zapłacić podatek."

"Proszę zatwierdzić operację, żeby ją anulować."

KNF w opisach oszustw telefonicznych wskazuje między innymi scenariusze z instalacją oprogramowania do zdalnego pulpitu, przelewem na rzekomy rachunek techniczny, podawaniem kodu BLIK czy zatwierdzaniem operacji, które w rzeczywistości mogą umożliwiać przestępcy dostęp do pieniędzy.

Jeżeli procedura brzmi jak coś, czego nigdy wcześniej nie robiłeś, nie próbuj być grzeczny.

Bądź powolny.

Grzeczność jest świetna przy stole.

Przy podejrzanym przelewie bardziej przydaje się podejrzliwość.

Czerwona flaga numer trzy: ktoś chce sekretu

Hasło.

Kod SMS.

Kod BLIK.

Kod autoryzacyjny.

Dane logowania.

Numer karty, data ważności i kod zabezpieczający.

Jeżeli ktoś próbuje wyciągnąć od ciebie informacje, które służą do potwierdzania tożsamości albo transakcji, potraktuj sytuację poważnie. KNF zaleca nieprzekazywanie osobom trzecim kodów SMS służących do autoryzacji transakcji oraz dokładne czytanie komunikatów dotyczących zatwierdzanych operacji.

Tu warto zmienić sposób myślenia.

Kod nie jest wiadomością od banku.

Kod jest kluczem.

Jeżeli SMS mówi:

"Kod 483921. Potwierdzasz przelew 6000 zł na rachunek..."

to nie czytaj tylko pierwszych sześciu cyfr.

Czytaj resztę.

Bank nie napisał tej treści dla dekoracji.

To niezwykłe, jak często człowiek potrafi dokładnie przeczytać skład jogurtu, żeby sprawdzić, czy ma siedem czy osiem gramów cukru, a potem zatwierdzić sześciotysięczny przelew bez przeczytania jednego zdania.

Priorytety czasami wychodzą na spacer bez właściciela.

Czerwona flaga numer cztery: masz kliknąć zamiast wejść sam

Przychodzi SMS z banku.

Jest link.

E-mail od kuriera.

Link.

Wiadomość z urzędu.

Link.

Kupujący.

Link.

Znajomy.

Link.

Internet byłby znacznie spokojniejszym miejscem, gdyby oszuści musieli dostarczać wszystko pocztą tradycyjną.

CERT Polska wskazuje, że fałszywe strony mogą wyglądać podobnie do oryginalnych, a istotna różnica może znajdować się w adresie domeny. Jednocześnie samo kliknięcie linku w znacznej większości przypadków nie oznacza jeszcze automatycznej szkody - problemem stają się przede wszystkim dalsze działania, takie jak podanie danych czy instalacja złośliwej aplikacji.

To ważne również dlatego, że po przypadkowym kliknięciu ludzie czasem wpadają w panikę.

"Kliknąłem! Wszystko stracone!"

Niekoniecznie.

Telefon nie eksploduje ceremonialnie po dotknięciu niewłaściwego niebieskiego tekstu.

Ale od tego momentu nie wykonuj kolejnych poleceń. Nie wpisuj danych. Nie pobieraj plików. Nie instaluj aplikacji. Zamknij stronę i przejdź do usługi samodzielnie.

Zamiast klikać "Twoje konto bankowe wymaga weryfikacji", otwórz aplikację banku.

Zamiast klikać "problem z paczką", wejdź sam na stronę przewoźnika i wpisz numer przesyłki.

Zamiast używać linku od kupującego, sprawdź transakcję bezpośrednio w aplikacji portalu.

To mało spektakularne.

Bezpieczeństwo często jest mało spektakularne.

Nikt jeszcze nie nakręcił filmu akcji o człowieku, który zamknął SMS i ręcznie otworzył aplikację bankową.

A szkoda.

Mógłby być krótki.

Czerwona flaga numer pięć: pieniądze płyną w dziwną stronę

Anna sprzedaje ekspres.

Powinna dostać pieniądze.

Jeśli nagle musi coś płacić, aktywować, zasilać albo podawać dane umożliwiające obciążenie rachunku, kierunek ekonomiczny tej operacji zaczyna się lekko rozjeżdżać.

Ta sama zasada działa przy nagrodach.

Wygrałeś 30 000 zł.

Fantastycznie.

Tylko najpierw 950 zł "opłaty".

Przy inwestycjach:

Zarobiłeś 40 000 zł.

Cudownie.

Tylko zanim wypłacisz zysk, musisz wpłacić kolejne 6000 zł podatku, prowizji albo opłaty odblokowującej.

KNF opisuje scenariusze fałszywych inwestycji, w których po wpłaceniu pieniędzy ofiara może być nakłaniana do kolejnych przelewów, na przykład pod pozorem podatku lub innych opłat, a nawet do zaciągania kredytu.

Warto wtedy zadać pytanie tak banalne, że aż skuteczne:

Dlaczego mam płacić, skoro podobno właśnie zarobiłem?

Jeśli odpowiedź wymaga piętnastu minut tłumaczenia i trzech "międzynarodowych procedur", właśnie pojawiła się bardzo duża czerwona flaga.

Prawdopodobnie z masztem.

Czerwona flaga numer sześć: izolowanie cię od innych

"Proszę z nikim o tym nie rozmawiać, trwa postępowanie."

"Nie może pan kontaktować się z oddziałem."

"Niech pani nie dzwoni do syna, jego telefon został przejęty."

"Proszę nie kończyć połączenia."

"Nie wolno informować innych pracowników."

To niezwykle wygodne.

Dla oszusta.

Druga osoba jest niebezpieczna, bo nie siedzi jeszcze w tej samej historii. Nie odczuwa twojego stresu, nie była przez dwadzieścia minut bombardowana argumentami i może zadać jedno brutalnie proste pytanie:

"A dlaczego bank każe ci przelewać pieniądze do innego banku?"

I nagle cała wielka operacja kontrwywiadowcza zaczyna przypominać faceta z telefonem.

Jeżeli ktoś sprzeciwia się temu, żebyś zakończył rozmowę, skonsultował się z bliską osobą albo samodzielnie skontaktował z instytucją, potraktuj to jako bardzo poważny sygnał ostrzegawczy.

Prawdziwa procedura bezpieczeństwa powinna wytrzymać weryfikację.

Oszustwo zwykle woli ciemność.

Czerwona flaga numer siedem: wielka nagroda, małe ryzyko

Zarabianie pieniędzy ma pewną irytującą cechę.

Zwykle wymaga czasu, pracy, kapitału albo ryzyka.

Dlatego oferta:

"Wysoki gwarantowany zysk, praktycznie bez ryzyka, zacznij od 1000 zł"

powinna wzbudzić więcej pytań niż:

"Promocja na skarpetki, druga para 30 procent taniej."

KNF ostrzega przed scenariuszami oferującymi szybki lub wysoki zysk przy przedstawianiu ryzyka jako niewielkiego i zaleca dokładne sprawdzanie firmy oraz samej inwestycji.

Jeżeli człowiek z internetu twierdzi, że odkrył sposób na regularne zarabianie ogromnych pieniędzy bez ryzyka i teraz jego największym marzeniem jest podzielenie się nim właśnie z tobą...

...warto docenić jego altruizm.

A potem niczego nie przelewać.

Test pięciu pytań

Kiedy nie wiesz, czy sytuacja jest uczciwa, nie próbuj zostać ekspertem od każdej możliwej formy oszustwa.

Zadaj pięć pytań:

Czy ktoś wywołuje we mnie presję czasu albo silną emocję? Czy mam zrobić coś nietypowego z pieniędzmi, kontem albo urządzeniem? Czy ktoś chce hasła, kodu, danych karty albo zatwierdzenia operacji? Czy mogę niezależnie sprawdzić tę historię innym kanałem? Co się stanie, jeśli niczego nie zrobię przez dziesięć minut?

Ostatnie pytanie jest wyjątkowo przydatne.

Jeżeli dzwoni prawdziwy bank w sprawie podejrzanej transakcji, za dziesięć minut nadal będzie bankiem.

Jeśli odzywa się prawdziwe dziecko, które zmieniło telefon, za dziesięć minut nadal będzie twoim dzieckiem.

Jeśli kupujący naprawdę chce ekspres, istnieje spora szansa, że przez dziesięć minut nie rozpocznie nowego życia bez kawy.

A jeśli rozmówca wpada w panikę na samą myśl, że możesz coś zweryfikować...

właśnie otrzymałeś dodatkową informację.

Najważniejszym celem nie jest nauczenie się wszystkich istniejących oszustw.

Jutro może pojawić się nowe.

Celem jest nauczenie się rozpoznawania konstrukcji.

Presja.

Emocja.

Autorytet.

Nietypowe polecenie.

Sekret.

Pieniądze.

Brak czasu na weryfikację.

Gdy kilka z tych elementów pojawia się jednocześnie, przestajesz współpracować ze scenariuszem.

Zwalniasz.

Sprawdzasz.

Wchodzisz własną drogą.

Bo w internecie czerwona flaga rzadko ma napis:

"CZERWONA FLAGA".

Częściej ma logo banku.

Rozdział 3 - Oszust najpierw sprzedaje ci zaufanie

Paweł dostaje wiadomość na komunikatorze od kolegi z pracy.

"Masz chwilę?"

Zdjęcie się zgadza. Imię się zgadza. Styl wypowiedzi mniej więcej też. Kolega po chwili pisze, że ma drobny problem z płatnością i prosi o szybką pomoc. Nic wielkiego. Kilkaset złotych. Odda wieczorem.

Paweł nie myśli: "Nieznajomy człowiek próbuje wyłudzić ode mnie pieniądze".

Myśli:

"Krzysiek znowu czegoś nie ogarnął."

A to zasadnicza różnica.

Gdyby napisał człowiek przedstawiający się jako "Międzynarodowy Departament Nagłych Kodów BLIK", Paweł prawdopodobnie podszedłby do sprawy z pewnym dystansem. Ale tu nie trzeba budować zaufania.

Krzysiek już je zbudował.

Przestępca tylko się wprowadził.

Phishing i inne formy wyłudzeń opierają się właśnie na podszywaniu pod osoby lub instytucje, którym odbiorca już ufa. Ministerstwo Cyfryzacji przypominało w lutym 2026 roku, że cyberprzestępcy mogą występować między innymi jako banki, firmy kurierskie, operatorzy czy instytucje publiczne, próbując zdobyć dane albo pieniądze.

To ważne, ponieważ bezpieczeństwo w internecie bardzo łatwo sprowadzić do hasła:

"Nie ufaj obcym."

Świetna rada.

Tyle że oszust często robi wszystko, żeby nie wyglądać jak obcy.

Nie musisz uwierzyć oszustowi

Wystarczy, że uwierzysz roli.

To jedna z najważniejszych rzeczy w całej tej książce.

Oszust nie musi przekonać cię, że on jest wiarygodny.

Wystarczy, że przekona cię, że jest:

twoim bankiem,

twoim dzieckiem,

twoim szefem,

twoim znajomym,

twoim portalem sprzedażowym,

twoim operatorem,

twoim sklepem,

twoją firmą kurierską.

Cała wcześniejsza historia twojej relacji z tym podmiotem zaczyna wtedy pracować na jego korzyść.

Bank zna moje dane.

Kurier przecież wysyła SMS-y.

Syn czasami potrzebuje pieniędzy.

Szef pisze wieczorami.

Kupujący rzeczywiście płacą przez internet.

Wszystko się zgadza.

Oprócz człowieka po drugiej stronie.

Przypomina to sytuację, w której ktoś zakłada kamizelkę odblaskową, bierze clipboard i zaczyna chodzić po biurowcu.

Nagle nikt nie pyta, kim jest.

Człowiek ma clipboard.

Widocznie jest z clipboardu.

Wiarygodność składa się z małych klocków

Wyobrażamy sobie czasem, że dobre oszustwo musi być arcydziełem.

Nie musi.

Wystarczy kilka elementów pasujących do siebie na tyle dobrze, żeby mózg przestał szukać dziur.

Znane logo.

Prawdziwa nazwa banku.

Profesjonalny język.

Numer wyglądający znajomo.

Informacja zgodna z twoją sytuacją.

Niewielka kwota.

Sensowny powód.

Normalnie wyglądająca strona.

I już.

Żaden z tych elementów osobno niczego nie dowodzi, ale razem mogą stworzyć silne wrażenie autentyczności.

Współczesne strony phishingowe potrafią być wizualnymi kopiami prawdziwych serwisów. CERT Polska zwraca uwagę, że sam wygląd strony może być niewystarczający do rozpoznania oszustwa, dlatego kluczowa staje się kontrola rzeczywistego adresu witryny.

Czyli:

ładne logo niczego nie gwarantuje.

Kłódka w przeglądarce również nie oznacza: "ten człowiek jest uczciwy".

Profesjonalna grafika nie jest dokumentem tożsamości.

Przestępcy także odkryli Canvę.

"Ale wszystko wyglądało normalnie"

Właśnie.

To najczęstsza pułapka myślenia.

Oczekujemy, że oszustwo będzie wyglądało nienormalnie.

Tymczasem jego zadaniem jest wyglądać normalnie przynajmniej do momentu, w którym zrobisz to, czego potrzebuje oszust.

Fałszywy sklep nie musi przez trzy tygodnie prowadzić perfekcyjnego e-commerce. Wystarczy, że przez sześć minut przekona cię do zapłaty.

Fałszywy konsultant nie musi zdać egzaminu bankowego.

Musi wytrzymać jedną rozmowę.

Fałszywy profil znajomego nie musi znać historii jego życia.

Musi znać wystarczająco dużo, żebyś nie zadzwonił.

To bardzo ekonomiczny biznes.

Minimalna wiarygodność.

Maksymalny przelew.

Zaufanie w internecie ma dziwną właściwość

W prawdziwym świecie zaufanie zazwyczaj rośnie powoli.

Poznajesz człowieka.

Rozmawiacie.

Widzisz, jak się zachowuje.

Spotykacie się kolejny raz.

Po jakimś czasie może pożyczysz mu tysiąc złotych.

W internecie proces wygląda czasem tak:

logo,

zielony przycisk,

"bezpieczna płatność",

koniec analizy.

Mamy skłonność do przenoszenia zaufania z marki na wiadomość, ze zdjęcia na profil, z nazwiska na nadawcę, z wyglądu strony na jej właściciela.

A to nie są te same rzeczy.

Strona wyglądająca jak bank nie jest bankiem.

Profil wyglądający jak znajomy nie jest znajomym.

Telefon wyświetlający numer banku nie daje pewności, że rozmawiasz z bankiem.

E-mail z logo sklepu nie musi pochodzić ze sklepu.

Rozpoznajesz dekoracje.

Nie człowieka.

Oszustwo lubi prawdę

To może brzmieć dziwnie, ale skuteczne kłamstwo często zawiera mnóstwo prawdziwych informacji.

Czekasz na paczkę.

To prawda.

Masz konto w tym banku.

Prawda.

Wystawiłeś ogłoszenie.

Prawda.

Twój szef jest na delegacji.

Prawda.

Twoja córka mieszka za granicą.

Prawda.

Firma rzeczywiście zmienia system.

Prawda.

A potem pojawia się jeden fałszywy element:

"Kliknij tutaj."

"Przelej tutaj."

"Podaj ten kod."

"Zainstaluj tę aplikację."

I właśnie dlatego próba oceny całej historii pytaniem "czy to możliwe?" bywa nieskuteczna.

Możliwe?

Oczywiście.

Przecież prawie wszystko w niej może być prawdziwe.

Lepsze pytanie brzmi:

Czy mogę niezależnie potwierdzić ten jeden element, który prowadzi do pieniędzy, danych albo dostępu do urządzenia?

To jest miejsce kontroli.

Nie próbujesz udowodnić, że cała opowieść jest kłamstwem.

Sprawdzasz punkt, w którym opowieść chce dostać coś od ciebie.

Kolega potrzebuje kodu

Wróćmy do Pawła.

"Krzysiek" prosi o kod BLIK.

Co powinien zrobić Paweł?

Najprostsza odpowiedź brzmi: zadzwonić do Krzyśka.

Nie na numer przesłany w nowej wiadomości.

Na numer, który już zna.

Jedno pytanie:

"Ty do mnie piszesz?"

I nagle całe oszustwo może umrzeć śmiercią bardzo mało spektakularną.

"Nie."

Koniec.

Bez śledzenia adresów IP.

Bez analizy kryminalistycznej.

Bez CSI: Messenger.

To prowadzi do bardzo ważnej zasady:

Im łatwiej możesz sprawdzić historię drugim kanałem, tym mniej powodów masz, żeby tego nie zrobić.

Dziecko pisze z nowego numeru?

Zadzwoń na stary.

Szef prosi o nietypowy przelew?

Zadzwoń.

Bank dzwoni z informacją o problemie?

Rozłącz się i sam zadzwoń oficjalnym kanałem.

Sklep informuje o płatności?

Wejdź do konta sam.

Nie prowadzisz śledztwa.

Robisz kontrolę krzyżową.

Brzmi skomplikowanie tylko do momentu, kiedy odkryjesz, że najpotężniejszym narzędziem antyfraudowym może być zdanie:

"Oddzwonię."

Oszust lubi być pomocny

Nie każdy oszust jest agresywny.

Niektórzy są niezwykle mili.

To wręcz element metody.

"Proszę się nie martwić, pomogę pani krok po kroku."

"Rozumiem pana zdenerwowanie."

"Spokojnie, właśnie dlatego się z panem kontaktujemy."

"Będę na linii przez cały proces."

"Świetnie pani sobie radzi."

Jeżeli ktoś prowadzi cię przez kolejne etapy operacji finansowej, może powstać bardzo silne poczucie bezpieczeństwa.

Nie jesteś sam.

Ktoś pomaga.

Problem polega na tym, że czasem właśnie ten ktoś jest problemem.

Fałszywi konsultanci mogą próbować przekonać rozmówcę do wykonania konkretnych działań, w tym instalacji programu, przekazania kodu czy wykonania przelewu. Policja i instytucje zajmujące się cyberbezpieczeństwem konsekwentnie zalecają, aby nie zlecać operacji finansowych pod wpływem nieoczekiwanego rozmówcy, lecz niezależnie zweryfikować sytuację.

Prawdziwa pomoc daje ci większą kontrolę.

Podejrzana pomoc często krok po kroku ci ją odbiera.

Bardzo niebezpieczne słowo: "przecież"

"Przecież wie, gdzie mam konto."

"Przecież zna moje nazwisko."

"Przecież numer się zgadza."

"Przecież strona wygląda identycznie."

"Przecież dostałem kod z banku."

"Przecież to jest profil Tomka."

Za każdym razem, kiedy pojawia się "przecież", warto dopisać:

"...ale co dokładnie to udowadnia?"

Często odpowiedź brzmi:

niewiele.

Kod SMS z banku może być prawdziwy.

Ale osoba prosząca cię o jego podanie może być fałszywa.

Strona może perfekcyjnie odwzorowywać serwis.

Ale znajdować się pod inną domeną.

Zdjęcie znajomego może być prawdziwe.

Ale konto może być przejęte.

To nie wymaga paranoi.

Wymaga rozdzielenia rzeczy, które mózg lubi sklejać.

Reguła jednego niezależnego dowodu

Jeżeli sprawa dotyczy pieniędzy, danych logowania albo instalowania czegokolwiek, wprowadź prosty nawyk:

Niech przynajmniej jeden dowód autentyczności pochodzi z miejsca, którego nie dostarczył ci rozmówca.

Nie z linku, który wysłał.

Nie z numeru, który podał.

Nie ze strony, do której skierował.

Nie z dokumentu, który sam przesłał.

Sam znajdź źródło.

To może być:

aplikacja bankowa uruchomiona przez ciebie, numer zapisany wcześniej albo znaleziony na oficjalnej stronie, osobna rozmowa ze znajomym, konto w serwisie otwarte niezależnie od wiadomości, oficjalna aplikacja firmy.

To ma być twój punkt zaczepienia w rzeczywistości.

Bo jeżeli cały świat, na podstawie którego oceniasz wiarygodność, zbudował człowiek próbujący cię przekonać...

to trochę jak pytanie sprzedawcy używanego samochodu, czy samochód jest dobry.

Odpowiedź może cię zaskoczyć.

Samochód będzie "igła".

Nie odbieraj oszustowi pieniędzy. Odbierz mu historię

To najprostsze podsumowanie tego rozdziału.

Kiedy pojawia się podejrzana sytuacja, nie wdawaj się w debatę.

Nie próbuj pokonać rozmówcy argumentami.

Nie udowadniaj, że jesteś mądrzejszy.

Nie sprawdzaj, jak długo będzie kłamał.

Przerwij historię.

"Rozłączę się i zadzwonię sam."

"Sprawdzę to bezpośrednio w aplikacji."

"Zadzwonię do syna."

"Nie instaluję niczego podczas takiej rozmowy."

I koniec.

Oszust chce, żebyś pozostał w jego świecie.

Ty masz wyjście ewakuacyjne.

Nazywa się niezależna weryfikacja.

Skorzystaj z niego, zanim ktoś zacznie ci tłumaczyć, że pięciocyfrowy przelew jest całkowicie normalnym elementem ochrony pieniędzy.

Bo nie wszystko, co brzmi profesjonalnie, jest procedurą.

Czasami jest tylko dobrze opowiedzianą bajką.

A smok ma terminal płatniczy.

---

Rozdział 4 - "Mnie by nie oszukali", czyli najdroższe zdanie w internecie

Andrzej ogląda w telewizji materiał o kobiecie, która straciła kilkadziesiąt tysięcy złotych w fałszywej inwestycji.

Kręci głową.

"Jak można się na coś takiego nabrać?"

Dziesięć minut później widzi na Facebooku reklamę inwestycji przedstawionej jako wyjątkowa okazja, klika "dowiedz się więcej" i zostawia numer telefonu.

Oczywiście to zupełnie inna sytuacja.

Bo Andrzej wie, co robi.

To zdanie powinno mieć własny sygnał alarmowy.

Najbezpieczniejszy człowiek nie uważa się za nieomylnego

Poczucie:

"Ja się na takie rzeczy nie nabieram"

wydaje się przydatne.

W rzeczywistości może być bardzo kiepską ochroną.

Jeżeli z góry zakładasz, że umiesz rozpoznać oszustwo, zaczynasz bardziej ufać własnemu pierwszemu wrażeniu.

Wygląda normalnie?

Dobrze.

Brzmi logicznie?

Dobrze.

Nie ma literówek?

Dobrze.

Ja przecież jestem ostrożny.

Dobrze.

Przelew poszedł.

Mniej efektownym, ale bezpieczniejszym przekonaniem jest:

"Mogę się pomylić, więc mam procedury, które nie zależą wyłącznie od mojego nosa."

Nos jest świetny.

Do zapachu gazu.

Przy phishingu przydaje się coś więcej.

Ekspert też może kliknąć

Jednym z powodów, dla których oszustwa działają, jest to, że ludzie nie funkcjonują cały dzień w identycznym stanie.

Możesz być świetnie przygotowany o 11:00.

A o 22:47 być zmęczony, rozkojarzony, zdenerwowany i jednocześnie próbować zamówić karmę dla kota, odpowiedzieć na trzy wiadomości oraz znaleźć kod rabatowy na żarówki.

Właśnie wtedy pojawia się SMS:

"Twoja płatność została odrzucona. Potwierdź dane."

Klik.

Nie dlatego, że nagle straciłeś inteligencję.

Po prostu twój mózg działał w trybie:

"zamknij wszystkie sprawy i pozwól mi iść spać".

Oszustwo nie musi pokonać cię w najlepszym dniu.

Wystarczy jeden gorszy moment.

To trochę jak z zamykaniem drzwi.

Nie montujesz zamka dlatego, że każdego wieczoru spodziewasz się włamywacza.

Montujesz go dlatego, że nie chcesz codziennie podejmować filozoficznej decyzji, czy dzisiaj drzwi powinny być zamknięte.

Zamek załatwia sprawę.

W internecie też potrzebujesz zamków.

Tylko część z nich będzie nawykami.

Fałszywa ochrona numer jeden: "poznam po błędach"

Kiedyś wiadomość phishingowa mogła wyglądać mniej więcej tak:

"Szanowna kliencie banku. Twoje konto zostali zablowokowane. Natychmiast wykonywać link."

Dość subtelne.

Dzisiaj nadal można spotkać takie perełki, ale opieranie bezpieczeństwa na błędach językowych jest ryzykowne. Aktualne ostrzeżenia CERT Polska pokazują kampanie, w których fałszywe strony są wiernymi wizualnie kopiami prawdziwych serwisów.

Co więcej, stworzenie poprawnie brzmiącej wiadomości stało się banalnie łatwe.

Nie potrzebujesz redaktora.

Nie potrzebujesz native speakera.

Nie potrzebujesz nawet kuzyna, który dostał czwórkę z polskiego.

Dlatego:

literówki mogą ostrzegać,

ale poprawna polszczyzna nie powinna uspokajać.

To asymetryczna wskazówka.

Błąd może być podejrzany.

Brak błędu niczego nie udowadnia.

Fałszywa ochrona numer dwa: "sprawdzę logo"

Logo banku możesz znaleźć w internecie w kilkanaście sekund.

Logo firmy kurierskiej także.

Logo policji.

Urzędu.

Portalu aukcyjnego.

Sklepu.

Firmy inwestycyjnej.

Umieszczenie obrazka na fałszywej stronie nie wymaga infiltracji działu marketingu.

Wystarczy prawy przycisk myszy.

Dlatego wygląd strony może jedynie sprawić, że coś wydaje się znajome.

Nie mówi jeszcze, gdzie się znajdujesz.

CERT Polska podkreśla, że przy fałszywych stronach decydujące znaczenie ma sprawdzanie właściwej domeny, ponieważ wizualna kopia może być bardzo przekonująca.

Na ekranie może być napis:

BANK NAPRAWDĘ BARDZO PRAWDZIWY S.A.

Ale przeglądarka nie czyta logo.

Czyta adres.

I ten adres warto czytać razem z nią.

Fałszywa ochrona numer trzy: kłódka

Wiele osób nauczyło się:

"Jest kłódka przy adresie, więc strona jest bezpieczna."

Niezupełnie.

Połączenie szyfrowane oznacza przede wszystkim, że transmisja między twoją przeglądarką a daną stroną jest chroniona.

Nie oznacza automatycznie, że właściciel strony jest uczciwy.

Złodziej też może mieć szyfrowane połączenie.

Dba o prywatność.

CERT Polska, omawiając analizę adresów stron, zwraca uwagę na znaczenie poprawnej domeny i mechanizmów przeglądarki, a nie samego podobieństwa wizualnego serwisu.

Czyli kłódka jest przydatna.

Ale nie jest policjantem.

Nie wyskoczy z paska adresu i nie aresztuje właściciela fałszywego sklepu.

Fałszywa ochrona numer cztery: "znam tę firmę"

To jeden z ulubionych paradoksów.

Im bardziej znana firma, tym łatwiej wykorzystać jej markę do ataku.

Dlaczego?

Bo odbiorca jej nie analizuje.

Widzi Allegro.

Bank.

Netflix.

Pocztę.

Kuriera.

Urząd.

I mózg szybko klasyfikuje:

"znane".

Tymczasem cyberprzestępca właśnie tego potrzebował.

W marcu 2026 roku CERT Polska ostrzegał na przykład przed wiadomościami dotyczącymi rzekomo wygasających punktów Allegro. Link prowadził do strony przypominającej oficjalny serwis, gdzie użytkownik miał podać dane karty pod pretekstem aktywacji nagrody.

Mechanizm jest piękny w swojej prostocie.

Znana marka.

Drobna korzyść.

Mała presja czasu.

Dane karty.

Cztery składniki.

Nie trzeba gotować.

Fałszywa ochrona numer pięć: "kwota jest mała"

1,49 zł.

2,73 zł.

5 zł.

Drobiazg.

Właśnie dlatego działa.

Gdyby SMS brzmiał:

"Dopłać 28 500 zł do przesyłki z Zalando",

wiele osób poczułoby pewien niepokój.

Ale 1,49 zł?

Po co ktoś miałby oszukiwać dla takiej kwoty?

Bo często nie chodzi o 1,49 zł.

Może chodzić o dane karty, dane logowania albo doprowadzenie cię do kolejnych etapów oszustwa. CERT Polska opisuje kampanie wykorzystujące niewielkie dopłaty czy pozornie drobne czynności właśnie jako przynętę prowadzącą do fałszywych serwisów.

To trochę jak pułapka na myszy.

Ser również nie jest szczególnie drogi.

Biznes model znajduje się kawałek dalej.

Fałszywa ochrona numer sześć: "numer telefonu się zgadza"

Widzisz nazwę banku.

Albo numer identyczny jak oficjalny.

To może obniżyć czujność.

Nie powinno jej wyłączać.

Podszywanie się pod numer telefonu, czyli spoofing, jest znaną techniką wykorzystywaną w oszustwach telefonicznych. Policja ostrzega, że samo wyświetlenie znanego numeru nie daje pewności, kto naprawdę dzwoni.

Dlatego jeśli rozmowa dotyczy:

pieniędzy,

kredytu,

zagrożenia konta,

kodów,

instalowania aplikacji,

przelewu,

zakończ połączenie i skontaktuj się z instytucją sam.

Nie chodzi o to, żeby przez pięć minut przesłuchiwać rozmówcę:

"A jak ma na imię kierownik oddziału przy ulicy Pięknej?"

Oszust może odpowiedzieć.

Albo zgadnąć.

Albo powiedzieć coś wystarczająco przekonującego.

Ty nie organizujesz teleturnieju.

Ty kończysz rozmowę.

Fałszywa ochrona numer siedem: "zadzwonię do kogoś, jeśli naprawdę będzie dziwnie"

Problem z tym planem polega na słowie:

"naprawdę".

Jak dziwnie musi się zrobić?

Pracownik banku musi poprosić o przesłanie pieniędzy na konto o nazwie "Łukasz Wakacje Chorwacja"?

Link musi kończyć się na "oszustwo100procent.biz"?

Kupujący musi podpisać się:

"Pozdrawiam, cyberprzestępca"?

Jeśli ustawisz próg konsultacji bardzo wysoko, będziesz korzystał z pomocy dopiero wtedy, kiedy oszustwo stanie się oczywiste.

Lepsza zasada jest banalna:

Nietypowa operacja finansowa + jakakolwiek wątpliwość = konsultacja.

Zadzwoń do banku.

Zapytaj partnera.

Zadzwoń do dziecka.

Pokaż wiadomość komuś z rodziny.

Skontaktuj się z firmą oficjalnym kanałem.

Pięć minut lekkiego zażenowania jest tańsze niż trzy miesiące wyjaśniania przelewów.

Zamiast pewności siebie zbuduj tarcie

To jedna z najbardziej praktycznych rzeczy, jakie możesz zrobić.

Bezpieczeństwo działa lepiej, kiedy pewne czynności nie są zbyt łatwe.

Brzmi dziwnie.

Cały świat technologii próbuje przecież usuwać tarcie.

Kup w sekundę.

Zaloguj jednym kliknięciem.

Zapamiętaj kartę.

Nie pytaj ponownie.

Jeszcze szybciej.

Jeszcze prościej.

Świetnie.

Tylko czasami trzy dodatkowe sekundy są właśnie tym, czego potrzebujesz.

Dlatego warto stworzyć sobie kilka małych przeszkód:

nie wykonuj przelewów na podstawie przychodzącej rozmowy telefonicznej; nie loguj się do banku przez link z SMS-a lub e-maila; przy nietypowej prośbie od bliskiej osoby zawsze wykonaj telefon weryfikacyjny; nie instaluj aplikacji na polecenie nieoczekiwanego rozmówcy; przed zatwierdzeniem operacji czytaj treść komunikatu autoryzacyjnego; większy lub nietypowy przelew zatrzymaj choć na kilka minut, jeśli sytuacja wywołuje presję.

To nie wymaga geniuszu.

Właśnie o to chodzi.

Najlepszy system bezpieczeństwa nie powinien działać tylko wtedy, kiedy jesteś wypoczęty, skoncentrowany i właśnie przeczytałeś trzy artykuły o phishingu.

Powinien działać również w piątek o 18:12, kiedy stoisz w Lidlu, ktoś dzwoni, dziecko czegoś chce, a ty próbujesz sobie przypomnieć, czy w domu jest mleko.

Czyli w realnym życiu.

Nie pytaj: "Czy jestem pewien?"

To pytanie jest podstępne.

Człowiek może być całkowicie pewny i całkowicie się mylić.

Zamiast:

"Czy jestem pewien, że to bank?"

zadaj:

"Jak to sprawdziłem?"

Zamiast:

"Czy to chyba prawdziwa strona?"

zapytaj:

"Jaki jest rzeczywisty adres domeny?"

Zamiast:

"Czy to chyba mój syn?"

zapytaj:

"Czy potwierdziłem to znanym kanałem?"

Zamiast:

"Czy ta inwestycja wygląda wiarygodnie?"

zapytaj:

"Co zweryfikowałem poza materiałami dostarczonymi przez sprzedawcę?"

Pierwsza grupa pytań bada twoje odczucia.

Druga bada fakty.

Oszust świetnie radzi sobie z odczuciami.

Z faktami ma trudniej.

Minimum na dzisiaj

Nie musisz teraz przebudować całego cyfrowego życia.

Zrób jedną rzecz.

Wybierz zasadę, której nie będziesz negocjował nawet wtedy, gdy sytuacja wygląda wiarygodnie.

Na przykład:

Nigdy nie podaję kodu z SMS-a przez telefon.

Albo:

Nigdy nie wykonuję przelewu na "bezpieczne konto" na polecenie rozmówcy.

Albo:

Każdą prośbę o pieniądze z nowego numeru potwierdzam rozmową.

Albo:

Do banku wchodzę wyłącznie przez własną aplikację lub samodzielnie wybrany adres.

Jedna zasada.

Automatyczna.

Bez debat.

Bez analizowania, czy rozmówca brzmi sympatycznie.

Bo najgorszym systemem bezpieczeństwa jest:

"Na pewno się zorientuję."

Być może.

Ale zdecydowanie lepszy brzmi:

"Nawet jeśli się nie zorientuję, moja procedura mnie zatrzyma."

To właśnie odróżnia ostrożność od pewności siebie.

Pewność siebie mówi:

"Mnie nie oszukają."

Ostrożność mówi:

"Mogą próbować. Dlatego nie ułatwię im roboty."

Druga wersja brzmi mniej efektownie.

Za to zwykle zostawia więcej pieniędzy na koncie.

Rozdział 5 - Nie oddawaj obcemu pilota do swojego telefonu

Robert chciał tylko zarobić trochę pieniędzy.

Reklama wyglądała dobrze. Znana twarz, wykres idący w górę, kilka zdań o wyjątkowej okazji inwestycyjnej i formularz kontaktowy. Robert zostawił numer telefonu. Po godzinie zadzwonił "doradca". Był uprzejmy, cierpliwy i mówił takim tonem, jakim ludzie mówią, kiedy mają marynarkę, identyfikator i dostęp do Excela.

Najpierw pomógł Robertowi założyć konto.

Potem poprosił o zainstalowanie programu, dzięki któremu "łatwiej przeprowadzi go przez platformę".

Robert zainstalował.

Następnie zalogował się do banku.

I właśnie w tym momencie doradca przestał być człowiekiem pomagającym Robertowi korzystać z komputera.

Stał się człowiekiem siedzącym praktycznie obok jego bankowości.

Tylko bez konieczności zdejmowania butów.

KNF opisuje dokładnie taki mechanizm oszustwa: przestępca nakłania ofiarę do instalacji oprogramowania do zdalnego zarządzania urządzeniem, a następnie prosi o zalogowanie się do bankowości. Dzięki zdalnemu dostępowi może obserwować działania użytkownika, a w dalszej części ataku próbować doprowadzić do przelewów, płatności lub nawet wykorzystania kredytu zaciągniętego na dane ofiary.

To prowadzi do zasady, która powinna być nadrukowana na pudełku każdego telefonu:

Nie dawaj zdalnego dostępu do swojego urządzenia człowiekowi, który sam niespodziewanie się z tobą skontaktował.

Nawet jeśli ma ładny głos.

Zwłaszcza jeśli ma bardzo ładny głos.

Legalna aplikacja nie oznacza legalnej sytuacji

Tu pojawia się pułapka.

Program do zdalnej pomocy może być całkowicie legalnym narzędziem.

Może być używany przez informatyków.

Może mieć miliony użytkowników.

Może pochodzić z oficjalnego sklepu.

I nadal zostać wykorzystany przez oszusta.

CERT Polska opisywał przypadki wykorzystywania między innymi oprogramowania AnyDesk do uzyskania zdalnego dostępu do urządzenia ofiary. Sam program nie jest problemem. Problemem jest człowiek, któremu dałeś możliwość oglądania lub kontrolowania tego, co robisz.

To ważne, bo często myślimy:

"Skoro aplikacja jest w oficjalnym sklepie, to wszystko jest bezpieczne."

Nie.

Młotek też jest sprzedawany legalnie.

Nie oznacza to, że powinieneś dać go człowiekowi stojącemu pod oknem o trzeciej nad ranem, ponieważ twierdzi, że jest z działu technicznego.

Pytanie nie brzmi więc:

"Czy ta aplikacja jest prawdziwa?"

Pytanie brzmi:

"Dlaczego ten człowiek chce, żebym ją teraz instalował?"

Zdalny pulpit to nie jest wspólne oglądanie ekranu

Dla wielu osób pojęcie "zdalny dostęp" brzmi niewinnie.

Ktoś będzie widział ekran.

Pomoże kliknąć.

Może pokaże, gdzie wpisać numer konta.

Tymczasem w zależności od używanego rozwiązania oraz przyznanych uprawnień zdalna osoba może uzyskać możliwość obserwowania ekranu albo sterowania urządzeniem. KNF wymienia w scenariuszach oszustw narzędzia takie jak TeamViewer, AnyDesk czy QuickSupport i ostrzega przed logowaniem się do bankowości po udostępnieniu takiego dostępu osobie trzeciej.

Wyobraź sobie, że obcy człowiek dzwoni i mówi:

"Dla bezpieczeństwa pańskich pieniędzy proszę dać mi klucze do mieszkania. Będę tylko patrzył."

Prawdopodobnie pojawiłoby się kilka pytań.

Na telefonie mamy dziwnie niższe standardy.

Bo nie słyszymy przekręcanego zamka.

Widzimy tylko:

"Zezwolić?"

I klikamy.

Udostępnianie ekranu też wymaga myślenia

Nie każda próba przejęcia kontroli musi wyglądać jak instalowanie specjalnego programu.

Może pojawić się prośba o udostępnienie ekranu podczas rozmowy lub komunikatora. KNF zwracał uwagę także na wykorzystywanie funkcji udostępniania ekranu w komunikatorach jako elementu oszustw związanych z fałszywymi inwestycjami.

To oznacza, że zasada powinna być szersza:

Jeśli nieoczekiwany rozmówca prowadzi cię w stronę bankowości, płatności albo danych osobowych, nie udostępniaj mu ekranu.

"Ale przecież tylko patrzy."

Właśnie.

Na saldo.

Nazwę banku.

Numery rachunków.

Komunikaty.

Kody.

Dane.

To trochę dużo jak na człowieka poznanego siedem minut temu.

"Proszę się teraz zalogować"

To zdanie powinno uruchamiać alarm.

Jeżeli chwilę wcześniej:

zainstalowałeś program,

włączyłeś udostępnianie,

przekazałeś kod dostępu,

dałeś komuś możliwość sterowania urządzeniem,

nie loguj się do bankowości.

KNF wyraźnie zaleca, aby po przekazaniu osobie trzeciej dostępu przez program zdalnego pulpitu nie logować się do bankowości internetowej. Zaleca też nieprzekazywanie kodów SMS i uważne czytanie treści autoryzowanych operacji.

To nie jest moment na:

"Zaloguję się tylko na sekundkę."

W finansach słowo "tylko" bywa drogie.

Tylko kliknę.

Tylko wpiszę.

Tylko potwierdzę.

Tylko wezmę kredyt, żeby zabezpieczyć oszczędności.

I nagle "tylko" ma harmonogram spłaty.

Fałszywy serwis techniczny też chce pomagać

Inny wariant zaczyna się nie od inwestycji, lecz od problemu.

Na ekranie pojawia się komunikat.

"Twój komputer został zainfekowany."

"Wykryto wirusa."

"Twoje konto zostało przejęte."

"Zadzwoń natychmiast pod numer..."

Człowiek dzwoni.

Odbiera "wsparcie techniczne".

I rozpoczyna się pomoc.

CERT Polska w 2026 roku nadal umieszcza fałszywe wsparcie techniczne wśród tematów swoich aktualnych materiałów bezpieczeństwa dla użytkowników.

Zauważ konstrukcję.

Najpierw ktoś tworzy problem.

Potem oferuje rozwiązanie.

Marketing idealny.

Gdyby producenci szamponów mogli najpierw osobiście przetłuszczać ci włosy, sprzedaż prawdopodobnie również by wzrosła.

Instalowanie aplikacji nie jest czynnością neutralną

Telefon często pyta o uprawnienia.

Dostęp do kontaktów.

Aparatu.

Mikrofonu.

Plików.

Powiadomień.

Ekranu.

Ułatwień dostępu.

Lokalizacji.

Przyzwyczailiśmy się klikać "zezwól", ponieważ chcemy dostać się do następnego ekranu.

Aplikacja chce lokalizacji?

Dobra.

Aparatu?

Dobra.

Kontaktów?

Dobra.

Dostępu do mikrofonu, galerii, lodówki i ksiąg wieczystych?

Dobra, tylko mnie wpuść.

To nawyk, który warto zatrzymać.

Nie dlatego, że każde uprawnienie jest niebezpieczne.

Dlatego, że uprawnienie jest decyzją o dostępie.

Jeżeli aplikacja do latarki potrzebuje kontaktów, coś się nie spina.

Jeśli "doradca inwestycyjny" tłumaczy, że do wypłaty zysku musisz dać aplikacji możliwość sterowania telefonem, również warto uruchomić funkcję:

"A może jednak nie".

QR kod to też link, tylko przebrany

Kody QR są wygodne.

Nie trzeba przepisywać adresu.

Celujesz aparatem.

Klik.

Gotowe.

I właśnie z tego powodu nie należy traktować ich jak magicznych bezpiecznych kwadratów.

Kod QR może skierować do strony internetowej dokładnie tak samo jak zwykły link.

Nie widzisz tylko adresu przed zeskanowaniem.

To trochę jak link w kominiarce.

Dlatego po zeskanowaniu patrz, dokąd naprawdę prowadzi, szczególnie jeśli dalej masz się logować, płacić lub podawać dane.

Nie chodzi o to, żeby teraz stać przed każdym menu restauracyjnym i krzyczeć:

"PHISHING!"

Chodzi o kontekst.

Menu?

Ryzyko niewielkie.

"Zeskanuj kod, aby odblokować twoje konto bankowe"?

Zatrzymaj konie.

Nie wykonuj instrukcji jak pracownik miesiąca

Oszustwa często działają etapami.

Jedna czynność wygląda niewinnie.

Potem kolejna.

Zainstaluj.

Uruchom.

Wpisz numer.

Podaj kod.

Otwórz bank.

Potwierdź.

Każdy krok osobno może wyglądać na stosunkowo niewielki.

Dopiero z daleka widać, że właśnie samodzielnie budujesz autostradę do własnego konta.

Dlatego warto co kilka kroków zatrzymać się i zadać pytanie:

"Do czego prowadzi cały ten proces?"

Jeżeli końcem jest dostęp obcej osoby do twojego urządzenia albo wykonanie operacji finansowej, nie oceniaj każdego kroku osobno.

Oceniaj całość.

Oszust bardzo chętnie daje zadania pojedynczo.

Bo zdanie:

"Proszę dać mi dostęp do komputera, zalogować się do banku i pomóc ukraść sobie pieniądze"

ma gorszą konwersję.

Co zrobić zamiast tego

Gdy ktoś kontaktuje się z tobą i każe instalować oprogramowanie lub udostępniać ekran w sprawie finansowej, zastosuj prostą procedurę:

przerwij instalowanie lub udostępnianie; nie loguj się do banku; nie podawaj kodów ani nie zatwierdzaj operacji; zakończ rozmowę; sam skontaktuj się z bankiem albo instytucją przez oficjalny kanał; jeśli program zdalnego dostępu został już skonfigurowany i ktoś miał kontrolę nad urządzeniem, potraktuj sytuację jako incydent bezpieczeństwa i szybko skontaktuj się z bankiem.

KNF zaleca właśnie odrzucanie poleceń instalowania zdalnego pulpitu, nieprzekazywanie kodów autoryzacyjnych oraz dokładne sprawdzanie każdej zatwierdzanej operacji.

To wystarczy.

Nie musisz przekonywać rozmówcy.

Jeżeli mówi:

"Ale jeśli pan się rozłączy, straci pan pieniądze!"

odpowiedź brzmi:

"W takim razie zadzwonię do banku."

Jeśli jest prawdziwym doradcą, poradzi sobie emocjonalnie z twoją decyzją.

Jeśli jest oszustem, właśnie popsułeś mu dzień.

Wersja minimum

Może zapomnisz połowę tego rozdziału.

Normalne.

Nikt nie chodzi po świecie z podręcznikiem cyberbezpieczeństwa przywiązanym do nadgarstka.

Zapamiętaj więc jedno:

Telefon od obcego + instalowanie aplikacji lub udostępnianie ekranu + pieniądze = STOP.

Nie analizuj.

Nie negocjuj.

Nie próbuj być uprzejmy.

Przerwij.

Bo gdy ktoś chce chronić twoje pieniądze, nie powinien zaczynać od przejmowania twojego urządzenia.

Strażak też nie gasi pożaru, kradnąc dom.

---

Rozdział 6 - Hasło123, czyli jeden klucz do całego życia

Monika ma jedno świetne hasło.

Naprawdę świetne.

Duża litera.

Mała litera.

Cyfra.

Wykrzyknik.

Nazwisko psa.

Rok urodzenia dziecka.

Używa go od lat i nigdy nie zapomina.

Do poczty.

Facebooka.

Sklepu.

Serwisu z filmami.

Portalu rezerwacyjnego.

Aplikacji do zakupów.

I jeszcze do trzech usług, których nazw już właściwie nie pamięta.

To bardzo wygodne.

Jeżeli przestępca pozna hasło, również będzie zachwycony wygodą.

Jedno hasło.

Tyle możliwości.

Program lojalnościowy dla włamywaczy.

CERT Polska zaleca stosowanie różnych haseł do różnych usług, szczególnie w przypadku najważniejszych kont, takich jak poczta, bank czy media społecznościowe. Aktualne zalecenie CERT Polska mówi również o hasłach o długości co najmniej 14 znaków oraz o włączeniu weryfikacji dwuetapowej.

I właśnie tutaj zaczyna się prawdziwa cyberhigiena.

Nie przy podejrzanym SMS-ie.

Dużo wcześniej.

Najgorsze hasło to nie zawsze "123456"

Oczywiście hasło:

123456

nie jest wybitnym osiągnięciem kryptografii.

Podobnie:

qwerty

password

haslo

admin

Ale istnieje problem bardziej podstępny.

Możesz mieć bardzo skomplikowane hasło.

Na przykład:

Rybka!94_Pociag#Zielony

I używać go wszędzie.

Wtedy wystarczy, że jedna z usług, z których korzystasz, zostanie naruszona i dane logowania trafią w niepowołane ręce. Jeśli to samo hasło działa w innych serwisach, przestępca może próbować używać go również tam.

Dlatego unikalność jest równie ważna jak siła.

Pancerne drzwi tracą trochę uroku, jeśli ten sam klucz otwiera mieszkanie, garaż, biuro i sejf.

I leży pod wycieraczką w jednym z tych miejsc.

Poczta e-mail jest ważniejsza, niż wygląda

Ludzie bardzo pilnują banku.

Słusznie.

Ale jednocześnie konto e-mail czasami ma hasło pamiętające czasy pierwszego iPhone'a.

To problem.

Poczta często pełni funkcję centrum odzyskiwania dostępu do innych usług.

Zapomniałeś hasła?

Link przychodzi na e-mail.

Zmiana ustawień?

E-mail.

Potwierdzenie logowania?

E-mail.

Informacja o zakupie?

E-mail.

Dostęp do kont społecznościowych?

Często również e-mail.

Dlatego skrzynkę pocztową warto traktować jak jeden z najważniejszych cyfrowych zasobów, a CERT Polska wymienia pocztę obok bankowości i mediów społecznościowych jako konto, dla którego szczególnie ważne są unikalne dane logowania.

Twój e-mail nie wygląda jak sejf.

Bardziej jak szuflada pełna newsletterów.

Ale pomiędzy:

"-20% na buty"

i

"Twój koszyk za tobą tęskni"

znajdują się czasem klucze do połowy cyfrowego życia.

"Ale kto zapamięta trzydzieści haseł?"

Nikt rozsądny.

I właśnie dlatego istnieją menedżery haseł.

Aktualne materiały CERT Polska oraz rządowe materiały edukacyjne rekomendują korzystanie z menedżerów haseł jako sposobu na zarządzanie wieloma unikalnymi hasłami; w 2026 roku CERT poświęcił temu również osobny materiał edukacyjny.

Menedżer haseł pozwala przechowywać dane logowania w jednym przeznaczonym do tego narzędziu, dzięki czemu nie musisz tworzyć systemu:

Facebook2024!

Facebook2025!

Facebook2026!

który jest mniej "systemem bezpieczeństwa", a bardziej kalendarzem dla włamywacza.

Sam pamiętasz przede wszystkim silne hasło do menedżera.

Reszta może być długa, losowa i zupełnie pozbawiona uroku literackiego.

Hasło:

7#Pmq!2Vx8@Ls4...

nie ma fabuły.

I bardzo dobrze.

Netflix ma fabułę.

Hasło ma zamykać drzwi.

Długość wygrywa z akrobatyką

Ludzie zostali przez lata nauczeni, że dobre hasło powinno wyglądać mniej więcej tak:

K0t!@#2026

Cyfry.

Symbole.

Duże litery.

Małe litery.

Człowiek wpisuje je trzy razy źle i zaczyna zastanawiać się, czy naprawdę potrzebuje tego konta.

CERT Polska zaleca obecnie minimum 14 znaków i wskazuje, że dobrym rozwiązaniem mogą być kombinacje kilku słów, które są łatwiejsze do zapamiętania dla użytkownika, a jednocześnie zapewniają odpowiednią długość.

Czyli zamiast:

K0tek!7

lepiej myśleć w kierunku dłuższej, unikalnej frazy.

Oczywiście nie:

BardzoDlugieHaslo

Gratulacje.

Internet również umie czytać.

Drugie zabezpieczenie, czyli plan B dla hasła

Załóżmy, że mimo wszystkich starań ktoś poznaje twoje hasło.

Koniec?

Nie musi.

Weryfikacja dwuetapowa lub szerzej uwierzytelnianie wieloskładnikowe polega na wymaganiu dodatkowego elementu przy logowaniu - na przykład potwierdzenia w aplikacji, jednorazowego kodu albo klucza sprzętowego. CERT Polska rekomenduje włączenie takiej ochrony, szczególnie dla ważnych usług.

To działa jak drugie drzwi.

Przestępca ma hasło.

Świetnie.

Teraz jeszcze potrzebuje drugiego elementu.

Nagle włamanie stało się bardziej skomplikowane.

A oszust, podobnie jak większość ludzi, też lubi prostsze zadania.

Ale 2FA nie zwalnia z myślenia

Tu bardzo ważne zastrzeżenie.

Weryfikacja dwuetapowa znacznie zwiększa bezpieczeństwo konta, ale nie daje prawa do automatycznego zatwierdzania wszystkiego, co pojawia się na ekranie.

Jeżeli ktoś właśnie próbuje się zalogować, a ty dostajesz komunikat:

"Czy to ty?"

nie klikaj "tak" dlatego, że akurat trzymasz telefon.

To pytanie nie jest ankietą satysfakcji.

Tak samo z kodem.

Przychodzi SMS.

Sześć cyfr.

A rozmówca mówi:

"Proszę mi je podać."

Nie.

Drugi składnik uwierzytelnienia jest twoim zabezpieczeniem.

Jeżeli przekażesz go człowiekowi próbującemu dostać się na konto, właśnie pomogłeś mu pokonać własną ochronę.

To jak zamontować dwa zamki i przesłać złodziejowi zdjęcia obu kluczy.

Technicznie drzwi są bardzo dobrze zabezpieczone.

Organizacyjnie trochę gorzej.

Powiadomienie nie jest poleceniem

Nowoczesne logowanie coraz częściej wykorzystuje powiadomienia:

"Potwierdź logowanie."

"Czy próbujesz się zalogować?"

"Zatwierdzić?"

W codziennym życiu łatwo nabrać odruchu:

telefon pyta,

ja potwierdzam.

Telefon pyta,

ja potwierdzam.

Telefon pyta, czy oddać wszystkie pieniądze człowiekowi w Belize.

Potwier...

Chwila.

Zanim zaakceptujesz logowanie lub operację, sprawdź, czy naprawdę sam ją rozpocząłeś.

Jeżeli siedzisz na kanapie i oglądasz serial, a aplikacja pyta, czy logujesz się właśnie z nowego urządzenia...

być może odpowiedź nie brzmi:

"Tak, pewnie coś kliknąłem."

Passkey, czyli hasło bez hasła

Coraz więcej usług oferuje również tzw. passkeys - klucze dostępu pozwalające logować się z wykorzystaniem urządzenia oraz mechanizmów takich jak PIN czy biometria, bez klasycznego wpisywania hasła. CERT Polska uwzględnia passkeys w aktualnych materiałach edukacyjnych jako prostszy i bezpieczniejszy sposób logowania tam, gdzie dana usługa go obsługuje.

Nie musisz teraz natychmiast przestawiać całego życia.

Nie musisz też podczas rodzinnego obiadu wygłaszać referatu:

"Dlaczego passkeys są przyszłością uwierzytelniania".

Ciocia chciała tylko sól.

Warto jednak wiedzieć, że jeśli ważna usługa oferuje nowoczesne i dobrze wdrożone sposoby logowania, warto sprawdzić jej oficjalne ustawienia bezpieczeństwa.

Technologia ma ci pomóc.

Nie zostać hobby na pełny etat.

Najważniejsza piątka

Jeżeli masz dziś dwadzieścia minut i chcesz zrobić coś realnego, nie zaczynaj od siedemdziesięciu czterech kont.

Wybierz pięć najważniejszych.

Najczęściej będą to:

główna poczta e-mail, bankowość, konto Apple lub Google związane z telefonem, najważniejsze media społecznościowe, usługi przechowujące dane płatnicze lub ważne informacje.

Dla każdego sprawdź:

Czy hasło jest unikalne?

Czy jest odpowiednio długie?

Czy działa 2FA lub inna dodatkowa metoda zabezpieczenia?

Czy numer telefonu i adres odzyskiwania są aktualne?

Czy rozpoznajesz zalogowane urządzenia?

Tyle.

Nie musisz spędzić soboty na renowacji całego internetu.

To miał być poradnik o ochronie pieniędzy.

Nie nowa forma pokuty.

A co ze starymi kontami?

Konto do sklepu, w którym ostatni raz kupowałeś kabel w 2017 roku.

Forum, którego nie pamiętasz.

Aplikacja do zamawiania jedzenia, która już nie istnieje w twoim mieście.

Serwis, który miał być "nowym Facebookiem", ale najwyraźniej Facebook o tym nie wiedział.

Stare konta także zwiększają powierzchnię twojego cyfrowego życia. CERT Polska w swoich materiałach z 2025 i 2026 roku zwraca uwagę między innymi na ryzyka związane z zapomnianymi kontami oraz znaczenie uporządkowanego zarządzania hasłami.

Jeżeli czegoś naprawdę nie potrzebujesz, rozważ zamknięcie konta.

Mniej kont.

Mniej danych.

Mniej haseł.

Mniej miejsc, w których coś może się wydarzyć.

Minimalizm cyfrowy bez kupowania beżowych pudełek.

Plan B: moje hasła są wszędzie takie same

Jeżeli właśnie przeczytałeś ten rozdział i pomyślałeś:

"No świetnie. Mam jedno hasło od 2014 roku",

nie panikuj.

Po prostu zacznij od najważniejszych kont.

Najpierw poczta.

Potem konto związane z telefonem.

Potem finanse.

Następnie media społecznościowe i usługi, które przechowują dane płatnicze.

Twórz unikalne hasła lub skorzystaj z menedżera haseł.

Włącz dodatkowe uwierzytelnienie tam, gdzie jest dostępne.

Nie musisz naprawić wszystkiego jednego wieczoru.

Ale nie odkładaj pierwszych kilku najważniejszych zmian do przyszłego roku.

Hasło używane wszędzie jest trochę jak jeden klucz pasujący do każdego zamka, jaki posiadasz.

Możesz go pilnować bardzo starannie.

Problem zaczyna się wtedy, kiedy zgubisz go tylko raz.

Wersja minimum

Jeżeli masz energię mniej więcej na poziomie ziemniaka, zrób dzisiaj trzy rzeczy:

Zmień hasło do głównej poczty na unikalne.

Włącz tam dodatkowe uwierzytelnienie.

Sprawdź, czy to samo stare hasło nie chroni również innych ważnych kont.

To nie stworzy cyberfortecy.

Ale zdecydowanie utrudni życie człowiekowi, który liczył, że jedno zdobyte hasło otworzy mu wszystko.

A przecież o to chodzi.

Nie musisz być niemożliwy do zaatakowania.

Masz być wystarczająco trudnym celem, żeby oszust musiał się naprawdę napracować.

Najlepiej gdzie indziej.