Jak rozpoznać próbę oszustwa przez telefon

Żaden producent oprogramowania nie dzwoni do użytkowników z informacją o wirusie na ich komputerze. To zdanie warto zapamiętać, bo jest najprostszym sposobem rozpoznania najczęstszego scenariusza oszustwa.

Jak wygląda typowa próba

Telefon od osoby podającej się za pracownika działu wsparcia — producenta systemu, dostawcy internetu albo banku. Rozmówca informuje o wykrytym zagrożeniu i prosi o zainstalowanie programu, który pozwoli mu „sprawdzić komputer". Program to zwykle narzędzie do zdalnego dostępu, po którego uruchomieniu rozmówca widzi ekran i steruje sprzętem.

Sygnały ostrzegawcze

• Telefon albo komunikat na ekranie z numerem „pomocy technicznej", której nikt nie wzywał.
• Presja czasu — „konto zostanie zablokowane za godzinę".
• Prośba o zainstalowanie programu do zdalnego dostępu.
• Prośba o zalogowanie się do bankowości przy włączonym udostępnianiu ekranu.
• Prośba o kody z aplikacji bankowej albo z wiadomości.

Co zrobić w trakcie takiej rozmowy

Rozłączyć się. Nie trzeba się tłumaczyć ani sprawdzać, czy rozmówca mówi prawdę — instytucja, która faktycznie ma sprawę, poradzi sobie innym kanałem.

Co zrobić, jeśli program już został zainstalowany

1. Odłączyć komputer od internetu — wyjąć kabel albo wyłączyć Wi-Fi.
2. Zadzwonić do banku i zgłosić sytuację, jeśli w grę wchodziła bankowość.
3. Zmienić hasła z innego urządzenia, zaczynając od poczty.
4. Zgłosić sprzęt do sprawdzenia.

Bez oceniania

Ten scenariusz działa na osobach w każdym wieku i o każdym doświadczeniu — jest przygotowany zawodowo. Przy takim zgłoszeniu sprawdzamy komputer, usuwamy narzędzia zdalnego dostępu i mówimy, co dalej. Bez komentarzy o tym, jak do tego doszło.

Oszustwo może zaczynać się na kilka sposobów

Nie każda próba rozpoczyna się od bezpośredniego telefonu. Czasem najpierw pojawia się fałszywy komunikat w przeglądarce. Może informować o wykryciu wirusa, zablokowaniu komputera albo rzekomym uszkodzeniu systemu. Komunikat często zajmuje cały ekran, odtwarza dźwięk i podaje numer telefonu. Sama obecność takiego okna nie oznacza jednak, że system został przeskanowany. Zwykła strona internetowa może wyświetlić alarmujący tekst, lecz nie jest to dowód wykrycia zagrożenia.

Inny wariant wykorzystuje wiadomość SMS albo e-mail z prośbą o pilny kontakt. Taka wiadomość może udawać zawiadomienie banku, operatora płatności, firmy kurierskiej lub urzędu. Phishing, czyli wyłudzanie danych przez podszywanie się pod zaufaną instytucję, nie musi prowadzić wyłącznie do fałszywego formularza. Wiadomość może również przygotowywać grunt pod rozmowę telefoniczną i sprawiać, że późniejszy telefon wyda się wiarygodny.

Zdarzają się także rozmowy o rzekomym zwrocie pieniędzy, nadpłacie lub podejrzanym przelewie. W tym scenariuszu oszust nie mówi o wirusie. Przekonuje, że zdalny dostęp jest potrzebny do anulowania operacji albo wypłacenia środków. Cel pozostaje podobny: uzyskanie kontroli nad komputerem, nakłonienie do ujawnienia kodu autoryzacyjnego lub doprowadzenie do samodzielnego zatwierdzenia przelewu.

Numer na ekranie nie potwierdza tożsamości rozmówcy

Na wyświetlaczu może pojawić się numer podobny do numeru banku, firmy albo instytucji. Jest to możliwe przez spoofing numeru, czyli techniczne podmienienie informacji prezentowanej jako numer dzwoniącego. Nie oznacza to, że połączenie rzeczywiście pochodzi z miejsca wskazanego na ekranie. Sama nazwa zapisana przez telefon również nie stanowi potwierdzenia.

W razie wątpliwości połączenie należy zakończyć, a następnie samodzielnie znaleźć oficjalny numer instytucji. Najbezpieczniej korzystać z numeru umieszczonego na karcie płatniczej, w oficjalnej aplikacji, na umowie albo na stronie wpisanej ręcznie w przeglądarce. Nie należy oddzwaniać na numer podany przez rozmówcę lub przesłany w tej samej podejrzanej wiadomości.

Warto też odczekać chwilę i wykonać nowe połączenie samodzielnie. Osoba odbierająca na oficjalnej infolinii powinna mieć możliwość niezależnego sprawdzenia, czy z kontem lub usługą faktycznie dzieje się coś niepokojącego. Prawdziwa weryfikacja nie wymaga pozostawania na linii z osobą, która niespodziewanie zadzwoniła.

Jak działa presja podczas rozmowy

Rozmówca może mówić spokojnie i używać branżowych określeń. Wiarygodność nie zawsze jest budowana krzykiem. Często pojawia się pozornie uporządkowana procedura, numer zgłoszenia i przekierowanie do kolejnego „działu”. Te elementy mają stworzyć wrażenie kontaktu z dużą organizacją.

Drugim narzędziem jest pośpiech. Informacja o trwającym przelewie, utracie danych albo blokadzie konta ogranicza czas na spokojne sprawdzenie sytuacji. Może pojawić się również prośba o zachowanie rozmowy w tajemnicy. Wyjaśnieniem bywa rzekome postępowanie banku, policji albo zespołu bezpieczeństwa. Nakłanianie do ukrywania rozmowy przed rodziną, pracownikami banku lub administratorem firmowym jest wyraźnym sygnałem ostrzegawczym.

Oszust może znać imię, nazwisko, adres e-mail albo nazwę banku. Takie dane mogły pochodzić z wcześniejszego wycieku, publicznego profilu lub innego źródła. Znajomość podstawowych informacji nie dowodzi, że rozmówca reprezentuje daną instytucję. Nie należy uzupełniać brakujących danych ani odpowiadać na pytania tylko dlatego, że część informacji już się zgadza.

Dlaczego program do zdalnego dostępu jest ryzykowny

Program do zdalnego dostępu jest legalnym narzędziem używanym między innymi przez administratorów i działy pomocy technicznej. Pozwala oglądać ekran, poruszać kursorem, wpisywać tekst, przesyłać pliki lub zmieniać ustawienia. Ryzyko wynika więc nie z samej kategorii programu, lecz z przekazania kontroli nieznanej osobie.

Podczas fałszywej pomocy rozmówca może poprosić o odczytanie identyfikatora sesji i zaakceptowanie połączenia. Identyfikator sesji to kod umożliwiający zestawienie zdalnego połączenia z konkretnym urządzeniem. Kolejne komunikaty mogą dotyczyć dodatkowych uprawnień. Ich zaakceptowanie może rozszerzyć możliwości zdalnej osoby, na przykład pozwolić na sterowanie komputerem po ponownym uruchomieniu.

Nie należy logować się do bankowości, poczty ani serwisów społecznościowych, gdy obca osoba widzi ekran lub steruje komputerem. Nawet jeśli ekran na chwilę stanie się czarny, nie ma pewności, że sesja została zakończona. Zaciemnienie obrazu może służyć ukryciu czynności wykonywanych zdalnie.

Błędy popełniane przy próbie samodzielnego zabezpieczenia komputera

Samo zamknięcie okna programu może nie wystarczyć. Narzędzie mogło pozostać uruchomione w tle albo zostać skonfigurowane do automatycznego startu wraz z systemem. Autostart oznacza uruchamianie programu bez ręcznego otwierania go po włączeniu komputera. Z tego powodu pierwszym działaniem powinno być odłączenie urządzenia od sieci, a nie przeglądanie ustawień podczas aktywnego połączenia.

Nie należy usuwać przypadkowych plików ani instalować wielu programów zabezpieczających jeden po drugim. Może to utrudnić późniejsze ustalenie, jakie zmiany zostały wykonane przez zdalną osobę. Kilka programów ochronnych działających jednocześnie może również powodować konflikty, czyli wzajemne zakłócanie pracy.

Błędem jest zmiana haseł na komputerze, który nadal może znajdować się pod zdalną kontrolą. Nowe dane mogłyby zostać zobaczone na ekranie albo przechwycone. Hasła powinny być zmieniane na innym, zaufanym urządzeniu. W pierwszej kolejności warto zabezpieczyć pocztę, ponieważ dostęp do skrzynki często pozwala resetować hasła do innych usług.

Nie należy też przywracać komputera do ustawień fabrycznych przed zapisaniem informacji potrzebnych do wyjaśnienia zdarzenia. Historia połączeń, nazwa zainstalowanego programu, otrzymane wiadomości i potwierdzenia operacji mogą pomóc bankowi, serwisowi lub organom ścigania. Nie oznacza to konieczności dalszego korzystania z zagrożonego urządzenia. Wystarczy go odłączyć i pozostawić do sprawdzenia.

Co jeszcze zabezpieczyć po przerwaniu kontaktu

Jeśli podczas rozmowy podano dane karty, kod z wiadomości, kod z aplikacji lub dane logowania, należy potraktować je jako ujawnione. Kontakt z bankiem powinien nastąpić przez oficjalny numer. Bank może sprawdzić operacje i wskazać działania odpowiednie dla danego rachunku lub karty.

Warto przejrzeć aktywne sesje w poczcie i innych ważnych usługach. Aktywna sesja to zalogowane połączenie zapisane na konkretnym urządzeniu lub w przeglądarce. Po zmianie hasła można użyć funkcji wylogowania ze wszystkich urządzeń, jeśli dana usługa ją udostępnia. Należy również sprawdzić, czy nie dodano obcego numeru telefonu, adresu do odzyskiwania konta albo reguły automatycznego przekazywania wiadomości.

Jeżeli incydent dotyczył komputera firmowego, sytuację należy zgłosić osobie odpowiedzialnej za informatykę. Nie powinno się czekać na pojawienie się widocznych objawów. Szybka informacja pozwala sprawdzić konto służbowe, dostęp do plików i pozostałe urządzenia w sieci. Zgłoszenie nie jest oceną zachowania pracownika, lecz elementem ograniczania skutków zdarzenia.

Kiedy nietypowy telefon nie oznacza jeszcze przejęcia komputera

Sama rozmowa telefoniczna nie daje rozmówcy dostępu do urządzenia. Jeśli nie zainstalowano programu, nie otwarto przesłanego pliku, nie podano danych i nie zatwierdzono żadnej operacji, zwykle wystarcza zakończenie kontaktu oraz zachowanie ostrożności wobec kolejnych wiadomości. Oszust może ponowić próbę, podając się za inną instytucję.

Również komunikat w przeglądarce nie jest automatycznie dowodem infekcji. Może być elementem odwiedzonej strony albo nadużyciem powiadomień przeglądarki. Powiadomienia to komunikaty, na których wyświetlanie strona otrzymała wcześniej zgodę. Jeżeli alarm znika po zamknięciu przeglądarki i nie wykonano instrukcji z komunikatu, sytuacja różni się od zdalnego przejęcia komputera. Mimo to powtarzające się okna, samoczynne przekierowania lub instalowanie nieznanych dodatków wymagają sprawdzenia.

Legalna pomoc zdalna może być bezpieczna, gdy kontakt został zainicjowany samodzielnie przez znaną firmę, zakres działań jest wyjaśniony, a sesja odbywa się za świadomą zgodą. Nie ma jednak powodu, aby udostępniać komputer osobie, która zadzwoniła bez wcześniejszego zgłoszenia i twierdzi, że wykryła problem niewidoczny dla użytkownika.

Dodatkowe pytania po podejrzanej rozmowie

Czy samo odebranie telefonu może zainfekować komputer?

Nie. Zwykłe odebranie rozmowy nie instaluje programu na komputerze. Zagrożenie pojawia się wtedy, gdy wykonywane są dalsze polecenia: instalacja narzędzia, otwarcie pliku, wejście na wskazaną stronę, podanie danych albo zatwierdzenie operacji. Po zakończeniu samej rozmowy nie trzeba przywracać systemu ani kasować plików.

Czy kod z aplikacji bankowej można podać pracownikowi banku?

Kodu służącego do zatwierdzenia logowania lub operacji nie należy przekazywać rozmówcy. Treść komunikatu autoryzacyjnego powinna zostać spokojnie przeczytana. Może ona wskazywać, że zatwierdzany jest przelew, dodanie odbiorcy albo aktywacja nowego urządzenia, choć rozmówca opisuje tę czynność inaczej.

Czy po odinstalowaniu programu zdalnego dostępu problem jest rozwiązany?

Nie zawsze. Trzeba sprawdzić, czy nie pozostały dodatkowe programy, konta użytkowników, rozszerzenia przeglądarki lub zmienione ustawienia. Rozszerzenie przeglądarki to dodatek zwiększający jej funkcje, ale nieznany dodatek może również śledzić odwiedzane strony. Ważne jest też ustalenie, do jakich usług logowano się podczas aktywnej sesji.

Czy należy zachować numer telefonu i wiadomości?

Tak. Warto zachować historię połączeń, SMS-y, e-maile, nazwę programu oraz przybliżony przebieg rozmowy. Nie należy jednak ponownie otwierać podejrzanych załączników ani klikać przesłanych odnośników. Materiały mogą ułatwić zgłoszenie sprawy i ocenę zakresu zdarzenia.

Czy do sprawdzenia komputera potrzebne jest hasło?

Domyślnie nie prosimy o hasło. Jeżeli wykonanie konkretnej czynności bez niego okaże się niemożliwe, najpierw wyjaśniamy, do czego jest potrzebne. Po podejrzeniu oszustwa szczególnie ważne jest ograniczenie przekazywania danych do niezbędnego minimum.

Spokojne przerwanie rozmowy jest właściwą decyzją

Nie trzeba rozstrzygać podczas połączenia, czy historia rozmówcy jest prawdziwa. Wystarczy nie instalować programu, nie udostępniać ekranu, nie podawać kodów i zakończyć rozmowę. Prawdziwy problem można później zweryfikować przez samodzielnie wybrany kanał. W przypadku wykonania części poleceń komputer można odłączyć od internetu i zgłosić do sprawdzenia w modelu door-to-door, w którym kierowca odbiera sprzęt i zwraca go po zakończeniu prac, albo umówić wizytę serwisanta na miejscu. Najważniejsze jest odzyskanie kontroli nad urządzeniem i kontami bez dalszego kontaktu z osobą, która wywołała alarm.