Czym jest phishing, AI phishing i deepfake?

Angielskie określenie password harvesting fishing (w skrócie phishing), dobrze odzwierciedla metodę działania oszustów, którzy postępują podobnie jak wędkarze. Aby złapać rybę, należy podsunąć jej jakiś atrakcyjny kąsek, a wewnątrz ukryć haczyk. 

Czym jest phishing? To e-mail, SMS, post w mediach społecznościowych, wiadomość w komunikatorze czy rozmowa telefoniczna, która zachęca do określonego działania w celu wyłudzenia danych lub zainfekowania urządzenia złośliwym oprogramowaniem. Cyberprzestępca podszywa się pod inną osobę lub instytucję, aby Cię oszukać. Udaje np. funkcjonariuszy służb mundurowych, konsultantów znanych firm, urzędników, serwisantów, pracowników zakładów energetycznych, banków i biur obsługi klienta; 

Nową metodą oszustwa, wykorzystującą sztuczną inteligencję, jest AI phishing. Cyberprzestępcy zlecają AI analizę np. Twoich publicznych profili w mediach społecznościowych, stronę firmy, styl komunikacji, a następnie tworzenie i wysyłanie spersonalizowanych wiadomości. Wtedy możesz dostać fałszywy e-mail lub SMS, który wydaje się pochodzić np. z Twojego banku, urzędu skarbowego, firmy kurierskiej. Co więcej, sztuczna inteligencja potrafi wysyłać tysiące takich wiadomości jednocześnie, co zwiększa ryzyko, że ktoś złapie się na haczyk.

Deepfake to technologia, która potrafi tworzyć fałszywe, lecz bardzo przekonujące zdjęcia, filmy i nagrania głosu. Dzięki wykorzystaniu przez oszustów sztucznej inteligencji może do Ciebie zadzwonić ktoś, kto brzmi dokładnie jak członek Twojej rodziny i namawiać Cię do udzielenia mu pilnej pomocy finansowej. Cyberprzestępcy wykorzystują też, wygenerowane przez sztuczną inteligencję, wideo znanej osoby publicznej, która namawia do wpłacenia pieniędzy, inwestowania lub rejestracji na wybranej stronie internetowej.

Pobierz bezpłatny poradnik i dowiedz się, jak rozpoznać oszustwo internetowe i bezpiecznie korzystać z internetu.

Pobierz za darmo

Psychomanipulacja: pokusa i strach

Przestępcy używają spreparowanych informacji np. o wygranej na loterii, nagrodzie rzeczowej, okazji do zakupu towarów po wyjątkowo korzystnej cenie. Równie skuteczną formą manipulacji jest zastraszenie. Czy nie zelektryzuje Cię oskarżenie o przestępstwo skarbowe lub informacja, że policja śledzi Twoje ruchy w sieci? Często oszuści powołują się też na drobne niedociągnięcia, np. nieopłacony abonament czy usługę.

Klasyczny phishing mail składa się z dwóch części: pierwsza informuje o fałszywym zagrożeniu lub szansie, druga instruuje, co masz zrobić, aby rozwiązać problem, wyjść z kłopotów lub otrzymać nagrodę. Oczywiście, musisz się pośpieszyć: presja czasu jest niezwykle istotna, bo sprzyja impulsywnym, nieprzemyślanym działaniom. I o to właśnie chodzi naciągaczom.

Jedno kliknięcie i jesteś złowiony

Oszust stara się nakłonić ofiarę do otwarcia załącznika (co skutkuje np. zainstalowaniem oprogramowania szpiegującego) lub kliknięcia w link, który przekierowuje na stronę przygotowaną przez przestępców. Może to być fałszywa witryna banku, spreparowana bramka płatności internetowych lub fikcyjny formularz rejestracyjny. 

Niezależnie od formy cel oszusta jest zawsze ten sam: przejęcie Twoich danych osobowych, loginu i hasła do konta bankowego, dostępu do poczty elektronicznej lub profilu w portalu społecznościowym.

Przeczytaj również: Oszustwa internetowe – najpopularniejsze sposoby wyłudzenia danych i pieniędzy 

Jakie konsekwencje ma ujawnienie danych?

Po przejęciu haseł do konta bankowego lub danych karty kredytowej przestępca może dokonywać przelewów i płacić Twoimi pieniędzmi za towary i usługi. Jeżeli oszustom uda się zhakować telefon, którego używasz do komunikacji z bankiem, bez problemu zaciągną kredyt konsumpcyjny, który będziesz musiał spłacać.

Bardzo groźne jest też ujawnienie haseł do poczty czy profilu na portalu społecznościowym. Cyberprzestępca przejmie poufne wiadomości, zdjęcia czy filmy, których użyje do szantażu i wyłudzania pieniędzy. Może też wysłać w Twoim imieniu kompromitujące treści do bliskich osób, przyjaciół, współpracowników czy przełożonych.

Jak rozpoznać fałszywy e-mail?

Oto cechy, które wskazują na to, że masz do czynienia z phishingiem:

1. natarczywe nakłanianie do działania – jeżeli czytasz w mailu, że musisz coś zrobić natychmiast, aby zdobyć nagrodę lub uniknąć kary, to niemal na pewno jest to próba oszustwa – takim językiem nie posługują się legalnie działające instytucje;
2. nieznany nadawca – wiadomości od nieznanych nadawców, zawierające linki lub załączniki, najbezpieczniej jest skasować bez otwierania;
3. błędy językowe – fałszywy mail jest często napisany z błędami stylistycznymi (efekt automatycznego tłumaczenia) i korzysta z czcionki bez polskich znaków;
4. bezosobowe powitanie – gdy wiadomość rozpoczyna się np. od bezosobowej formy (Pani/Panie, Droga/Drogi itp.), a po niej następuje Twój adres mailowy, a nie imię lub nazwisko, to sygnał, że możesz mieć do czynienia z oszustem;
5. zmieniony adres strony banku – porównaj link z maila z adresem banku: jeżeli różnią się choćby jednym znakiem, masz dowód oszustwa;
6. podejrzane linki – po najechaniu na link kursorem (bez klikania) wyświetla się inny, nieznany adres;
7. nieład graficzny – niestarannie wykonane grafiki, nieostre linie, za małe lub zbyt duże napisy;
8. nietypowa kolorystyka – niedoskonałości koloru grafiki, np. zmiany nasycenia barw w logotypie.

Niektóre aplikacje pocztowe już oznaczają podejrzane wiadomości – warto wiedzieć, jak wyglądają te alerty. 

Gdzie zgłaszać fałszywe wiadomości?

Jeżeli podejrzewasz, że otrzymałeś wiadomość od oszustów: nie klikaj w żadne linki, nie odpowiadaj na wiadomość i nie otwieraj załączników. Możesz zgłosić próbę oszustwa na stronie incydent.cert.pl. Jeżeli próba oszustwa dotyczy wiadomości SMS – możesz tę wiadomość przesłać na numer 8080. CERT Polska to instytucja realizująca zadania wynikające z ustawy o krajowym systemie cyberbezpieczeństwa, która koordynuje obsługę incydentów zgłaszanych przez osoby fizyczne. 

Wiadomość o oszustwie możesz też zgłosić do instytucji, pod którą podszywają się cyberprzestępcy.

Jeżeli kliknąłeś link, zmień natychmiast swoje hasło, uruchom skan antywirusowy i skontaktuj się ze swoim bankiem. 

Sprawdź także: Zgłaszanie oszustw internetowych – jak prawidłowo to zrobić?  

Fałszywe wezwania do zapłaty 

Aby skutecznie uniknąć pułapek phishingowych, istotne jest dokładne sprawdzanie pochodzenia każdej wiadomości e-mailowej, szczególnie tych zawierających wezwania do zapłaty. W ostatnim czasie nasiliły się ataki phishingowe, w których przestępcy podszywają się m.in. pod dostawców energii elektrycznej, wysyłając fałszywe e-maile. 

Jak więc można rozpoznać takie oszustwo? Zwracaj uwagę na adres e-mail nadawcy przy każdym otrzymywanym rachunku. Prawdziwe wiadomości pochodzą zawsze z domen oficjalnych firm. Przykładowo, wiadomości wysyłane przez TAURON zawsze mają końcówkę @tauron.pl. Gdy otrzymasz e-mail z prośbą o zapłatę, który wydaje się niepewny, dokładnie sprawdź adres nadawcy, aby upewnić się, że jest zgodny z oficjalnym adresem TAURON.  

Oszuści mogą tworzyć adresy, które na pierwszy rzut oka wyglądają podobnie do prawdziwych, dokonując niewielkich zmian lub dodając litery. Fałszywe wiadomości wysłane z adresu, który różni się choćby jednym znakiem od oficjalnego, może wskazywać na próbę oszustwa. 

By zminimalizować ryzyko przekierowania na fałszywą stronę, zamiast klikania w linki zawarte w e-mailach, wpisz adres URL firmy bezpośrednio w pasku adresu przeglądarki. Dzięki temu masz pewność, że odwiedzasz oficjalną stronę internetową. 

Oprócz adresu e-mailowego zweryfikuj również numer konta bankowego podawanego do zapłaty. Cyberprzestępcy często podają fałszywe dane bankowe w nadziei, że ofiary nie zauważą podmiany. W przypadku płatności zaleca się sprawdzenie numeru konta podanego w e-mailu z numerem na ostatniej fakturze papierowej lub elektronicznej, którą otrzymałeś. Jeśli numer się nie zgadza, jest to prawdopodobnie fałszywy email i próba wyłudzenia.  

Aby zwiększyć bezpieczeństwo Twoich płatności, zalecamy korzystanie z serwisu Mój TAURON. Możesz w nim łatwo sprawdzić numer rachunku bankowego – w sekcji „Faktury i płatności” wybierz interesującą Cię fakturę z listy „Faktury bieżące”, a następnie kliknij w „Numery kont do wpłat” przy danej umowie. Tam otrzymasz dostęp do wszystkich informacji potrzebnych do bezpiecznego dokonania przelewu. Ponadto połączenie z serwisem jest chronione zaawansowanym 256-bitowym szyfrem, gwarantującym ochronę przed dostępem osób trzecich do Twoich danych. Dodatkowo możesz również korzystać z aplikacji mobilnej Mój TAURON, aby wygodnie i bezpiecznie zarządzać swoimi płatnościami. 

Pamiętaj, że TAURON nigdy nie prosi klientów o podawanie danych osobowych czy hasła w e-mailach lub przez telefon. Wszelkie próby uzyskania takich danych powinny być traktowane jako podejrzane i zgłaszane bezpośrednio do obsługi klienta TAURON. Oszustwa często mają na celu wyłudzenie informacji o danych osobowych lub bankowych. Ważne jest, aby dokładnie weryfikować wszelkie wiadomości, sprawdzając ich autentyczność przed podjęciem jakichkolwiek działań

Sprawdź także: Oszustwo na BLIKA – na czym polega?