Phishing w social media — kiedy „znajomy” prosi o przelew

Wykradzione konta — „znajomy” w potrzebie

Ktoś złamał hasło do Facebooka, Instagrama albo WhatsAppa albo przejął sesję na skradzionym telefonie. Pisze do Ciebie prywatnie: „jestem za granicą, zgubiłem portfel, przelej 800 zł, oddam w poniedziałek”. Ton może być łudząco podobny, bo oszust czyta stare wiadomości i widzi, jak naprawdę piszecie.

Różnica: prawdziwy znajomy zniesie pytanie kontrolne i rozmowę głosową. Oszust się denerwuje, zmienia temat, ma „zepsuty mikrofon” albo znika, gdy poprosisz o telefon na numer, który masz od lat. To wystarczający sygnał, żeby nic nie przelewać.

Fałszywe profile i podrabianie tożsamości

Nowy profil z Twoimi albo czyimiś zdjęciami, jedną wspólną znajomą i prośbą o „potwierdzenie konta” albo dodanie do znajomych „bo stare zablokowali”. Albo „inwestor z LinkedIn”, który po tygodniu grzecznych wiadomości proponuje platformę. Relacja jest po to, żebyś nie sprawdzał faktów.

Sprawdź datę założenia konta, liczbę zdjęć, czy znajomi potwierdzają, że to ta osoba, i czy drugi, stary profil nadal istnieje. Dwa profile tej samej osoby plus pilna prośba o pieniądze to prawie zawsze kopia.

Pilna prośba o przelew

Wypadek, kradzież, „dziecko w szpitalu”, „muszę zapłacić za hotel”, „utknąłem za granicą”. Zawsze drugi kanał: zadzwoń na numer, który masz od lat — nie na numer z nowej wiadomości i nie na „chwilowy telefon z wypożyczalni”. Jeśli nie możesz dodzwonić się do osoby, nie przelewasz „na wszelki wypadek”. Czekasz.

Konkursy i „darmowe” nagrody

„Apple rozdaje iPhone’y, zostaw adres i 2 zł za wysyłkę”. Albo „odzyskaj 400 zł z reklamacji, kliknij”. Marki nie rozdają nagród przez losowe posty na skradzionych kontach i nie proszą o BLIK „za wysyłkę”. Opłata za „darmową” rzecz to płatność za nic, często połączona z kradzieżą danych karty.

Oficjalny konkurs ma regulamin na stronie marki, którą wpisujesz sam, a nie w bio nowo utworzonego profilu z 40 obserwującymi.

Inwestycje i „okazje”

Po kilku dniach rozmowy pada propozycja: krypto, forex, „sygnały z grupy VIP”, „bot, który sam zarabia”. To lejek do fałszywej platformy — opisaliśmy go w poradniku o inwestycjach krypto. Social media są tylko przynętą i dowodem „zaufania”. Zasady weryfikacji (KNF, KRS, brak gwarantowanego zysku) zostają te same.

Fałszywe powiadomienia z telefonu

CERT Polska opisuje osobny wektor: powiadomienie na pasku wygląda jak komunikat ze sklepu, programu lojalnościowego albo platformy zakupowej. Po kliknięciu nie otwiera się aplikacja, tylko zewnętrzna strona. To nie jest push z aplikacji, którą masz zainstalowaną. To reklama systemowa, która pożycza nazwę i logo.

Zgłoszenia dotyczyły m.in. telefonów Xiaomi, Oppo i Realme, ale CERT ostrzega, że podobny mechanizm może mieć każdy producent, który w systemie pokazuje reklamy. Na Xiaomi ogranicza się je, wyłączając powiadomienia aplikacji MSA (MIUI System Ads). Zasada jest ta sama co przy czacie: jeśli komunikat wygląda na ważny, otwórz aplikację samodzielnie z pulpitu. Nie podawaj danych na stronie, na którą zrzuciło Cię powiadomienie.

Zawsze potwierdź osobiście lub telefonicznie

• Zadzwoń na stary numer. Nie używaj numeru podanego w podejrzanej wiadomości.
• Pytanie, na które odpowiedź znacie tylko wy dwoje — nie data urodzin i nie imię psa z Facebooka.
• Nagła zmiana sposobu pisania, brak polskich znaków u kogoś, kto je zawsze stawiał, albo „piszę z nowego telefonu, nie mogę rozmawiać” — sygnał, nie pośpiech.

Nigdy nie przelewaj „na szybko”

Oszustowi zależy na minutach, zanim ofiara konta zdąży ostrzec znajomych. Tobie nie. Jeśli sprawa jest prawdziwa, przeżyje 20 minut na telefon. Włącz uwierzytelnianie dwuskładnikowe na Facebooku, Instagramie, WhatsAppie i poczcie. Nie używaj tego samego hasła co do banku. Aplikacje do bankowości nie instalujesz z linku na Messengerze.