Phishing w okresie rozliczeń. Jak działa i co powinno wzbudzić Twoją czujność?

W ostatnich miesiącach nasiliły się przypadki oszustw internetowych, w których cyberprzestępcy podszywają się pod serwis gov.pl, Ministerstwo Finansów oraz urzędy skarbowe. Nie tak dawno informowaliśmy o oszustwie dotyczącym zastrzeżenia numeru PESEL - Fałszywe strony do zastrzegania PESEL – jak je rozpoznać?. Hakerzy coraz częściej podszywają się pod strony rządowe, licząc na zaufanie użytkowników do instytucji publicznych. Wykorzystują fałszywe witryny internetowe, na których publikują powiadomienia o rzekomej nadpłacie podatku, aby wyłudzić od podatników poufne dane - takie jak numery PESEL, numery telefonów czy dane logowania do bankowości internetowej. Tego rodzaju oszustwa nasilają się szczególnie w okresie rozliczeń, gdy oszuści liczą na to, że użytkownicy chętniej klikną w link dotyczący rzekomego zwrotu.

Fałszywa strona e-Urząd Skarbowy

Oszuści stworzyli stronę, która podszywa się pod e-Urząd Skarbowy. Po kliknięciu w przycisk “e-Urząd Skarbowy - zaloguj się”, następuje przekierowanie do kolejnej strony phishing.

Phishing na Ministerstwo Finansów

Kolejna strona podszywa się pod Ministerstwo Finansów. Na tej stronie użytkownicy są proszeni o wskazanie sposobu logowania do konta gov.pl. Co istotne, jedyną dostępną opcją jest logowanie za pomocą bankowości elektronicznej, w przeciwieństwie do oryginalnej witryny, gdzie aktywne są również inne metody uwierzytelniania.

Po wskazaniu formy logowania poprzez bank wyświetlone zostaje okno pop-up, w którym należy wprowadzić numer PESEL.

Po przejściu dalej, użytkownik proszony jest o podanie nazwiska panieńskiego matki.

W kolejnym kroku należy podać numer telefonu.

Po wprowadzeniu danych i kliknięciu „Zatwierdź” wyświetla się podsumowanie rozliczenia podatkowego. Według rzekomej analizy zeznania podatkowego użytkownik ma otrzymać zwrot w wysokości 1 594,25 PLN. Informacje z komunikatu sugerują weryfikację tych danych.

Aby otrzymać zwrot podatku, użytkownik jest proszony o podanie danych bankowych. W tym celu należy wybrać bank z rozwijanej listy i zaakceptować regulamin.

Po wybraniu banku pojawia się okno pop-up, w którym użytkownik jest proszony o podanie danych logowania do bankowości internetowej, co wskazuje na próbę wyłudzenia poufnych informacji.

Po wprowadzeniu danych i zatwierdzeniu ich przyciskiem „Zaloguj się” wyświetla się komunikat informujący o trwającej weryfikacji. Użytkownik zostaje poproszony o cierpliwość oraz poinformowany, że automatyczne przekierowanie na stronę logowania banku nastąpi w ciągu kilku chwil.

Tak się jednak nie dzieje. W tym czasie oszuści mogą wykorzystać wyłudzone dane do zalogowania się na konto bankowe ofiary. Jeśli uzyskali dostęp do numeru PESEL, nazwiska panieńskiego matki czy numeru telefonu, mogą również próbować resetować hasła, autoryzować transakcje lub zaciągać kredyty na dane użytkownika. W razie potrzeby mogą też poprosić o wprowadzenie dodatkowych informacji, aby zwiększyć swoje szanse na przejęcie pełnej kontroli nad kontem.

Wiesz jak rozpoznać stronę phishing i co w opisywanym przykładzie powinno wzbudzić Twoją czujność?

W przypadku fałszywych stron Ministerstwa Finansów, czy podszywających się pod inne serwisy rządowe warto zwrócić uwagę na:

• Adres strony internetowej (URL): Aby upewnić się, że strona jest autentyczna, sprawdź, czy jej adres kończy się na „gov.pl” lub jest oficjalną domeną danego ministerstwa. Oszuści często podszywają się pod oficjalne strony, tworząc fałszywe adresy, które na pierwszy rzut oka mogą wyglądać wiarygodnie, np. „podatki-pl.web.pl”, co zostało opisane w artykule.
• Błędy językowe i stylistyczne: Rządowe strony internetowe charakteryzują się wysoką dbałością o poprawność językową. Wszelkie literówki, niegramatyczne konstrukcje lub podejrzane sformułowania powinny wzbudzić podejrzenia.
• Nagła potrzeba działania: Oszuści często manipulują emocjami, wywierając presję poprzez pilne wezwania do działania. Na przykład, informują o rzekomym zwrocie podatku i ograniczonym czasie na jego uzyskanie, co ma skłonić do pochopnego kliknięcia w link.
• Prośby o dane osobowe: Instytucje rządowe nigdy nie proszą o podanie haseł, loginów, numerów PESEL ani innych wrażliwych danych za pośrednictwem formularzy internetowych, wiadomości e-mail czy SMS-ów. Takie działania zawsze powinny być traktowane jako próba oszustwa.

Podsumowanie

Znasz scenariusz ataku. Teraz zadbaj o to, by nie dać się zaskoczyć, gdy wydarzy się naprawdę. Fałszywe strony imitujące rządowe to tylko jedna z wielu metod oszustów, do wyłudzania poufnych informacji. Coraz częściej wykorzystują oni e-maile, SMS-y, a nawet fałszywe aplikacje mobilne, które po zainstalowaniu mogą infekować urządzenie i przejmować dane użytkownika.

Tego typu ataki są coraz trudniejsze do wychwycenia, dlatego warto przejść szkolenie z cyberbezpieczeństwa - oparte na realnych przykładach i praktycznych scenariuszach. Dowiesz się, jak działają cyberprzestępcy i jak skutecznie chronić siebie oraz bliskich.

Czy prywatnie, czy zawodowo – to wiedza, która dziś powinna być podstawą.

Nie daj się zaskoczyć, zobacz, czego uczą Ci, którzy wiedzą, jak myślą hakerzy: PREBYTES Academy