Фішинг польських банків: як шахраї атакують клієнтів mBank, PKO BP, ING та Santander

Польща має одну з найсучасніших систем цифрового банкінгу в Європі. Понад 80% дорослих поляків користуються онлайн-банкінгом, а мобільні додатки mBank, PKO BP, ING і Santander — серед тих, що найбільше завантажуються. Шахраї знають це і побудували дедалі витонченіші фішингові кампанії проти кожного великого польського банку.

Ось як працюють ці атаки та як захистити свої гроші.

Найпоширеніші банківські фішингові атаки

1. Підроблені сторінки входу до банку

Ви отримуєте SMS чи email нібито від банку: «Ваш обліковий запис заблокований. Увійдіть для розблокування», «Виявлено підозрілу транзакцію. Підтвердьте» або «Оновлення системи – потрібний вхід». Посилання веде до точної копії сторінки входу. Після введення облікових даних та кодів авторизації шахрай отримує повний доступ.

2. SMS-фішинг (Смішинг)

Короткий тривожний SMS: «PKO BP: Несанкціонована транзакція 2 499 PLN. Скасувати: [посилання]», «mBank: Вашу картку заблоковано. Активувати: [Посилання]».

3. Підроблені банківські програми

Шахраї поширюють модифіковані банківські програми через неофіційні канали (APK-файли через SMS чи соцмережі). Програми виглядають ідентично, але надсилають усі дані атакуючому.

4. Вішинг (голосовий фішинг)

Вам дзвонить людина, яка представляється співробітником банку. Він знає ваше ім'я та іноді часткові дані рахунку. Просить підтвердити операції, надавши коди авторизації.

5. Підроблена служба підтримки

Ви гуглите «mBank контакт» або «PKO BP допомога» та дзвоніть за номером з реклами. Це не банк – це шахрай.

Схеми фішингу по банкам

| Банк | Типова схема Приклади підроблених доменів | |---|---|---| | mBank | Попередження про блокування облікового запису | mbank-logowanie.pl, mbank24-verify.com | | PKO BP (iPKO) | Попередження про несанкціоновані операції | ipko-bp.com, pko-weryfikacja.pl | | ING | Повідомлення про блокування картки | ing-online.com, ing-autoryzacja.pl | | Сантандер PL | Запити на вхід для оновлення системи santander-bank.com, santander-pl-login.com | | Millennium | Оповіщення про оновлення безпеки bankmillennium-login.pl | | BNP Paribas | Верифікація транзакцій bnpparibas-go.pl |

10 правил захисту банківського рахунку

1. Ніколи не натискайте посилання у SMS чи email, нібито від банку
2. Завжди заходьте в банк через офіційний додаток або вводячи URL безпосередньо
3. Перевіряйте URL - переконайтеся в точному домені банку (mbank.pl, pkobp.pl, ing.pl)
4. Ніколи не повідомляйте коди авторизації нікому, включаючи «співробітників банку»
5. Налаштуйте повідомлення про транзакції у банківському додатку
6. Встановіть низькі денні ліміти перекладів та підвищуйте лише за потреби
7. Використовуйте біометричний вхід (відбиток, обличчя) замість введення паролів
8. Завантажуйте банківські програми лише з Google Play або App Store
9. При підозрілому дзвінку повісьте трубку та передзвоніть у банк за номером на карті
10. Пересилайте фішингові SMS на 8080 (CERT Polska)

Що робити, якщо ввели дані на підробленій сторінці

1. Негайно зателефонуйте до банку — номер на банківській карті
2. Заблокуйте рахунок та карти через екстрену лінію
3. Змініть пароль з іншого довіреного пристрою
4. Перевірте останні транзакції на несанкціоновані переклади
5. Подайте заяву в поліцію
6. Повідомте CERT Polska на incydent.cert.pl
7. Проскануйте телефон на шкідливе ПЗ

Безпечно ділитесь банківськими даними

Коли потрібно передати номер рахунку, IBAN чи фінансові дані довіреній особі — орендодавцю, роботодавцю чи родичу — не надсилайте через SMS чи Telegram. Використовуйте LOCK.PUB для створення нотатки, захищеної паролем, з автоматичним терміном дії. Одержувач вводить пароль, бачить інформацію і вона зникає.

Підсумок

Польські банки мають надійні системи безпеки, але не зможуть захистити вас, якщо ви передасте облікові дані шахраю. Головне правило: банк ніколи не надішле посилання по SMS для входу або підтвердження операцій. Отримали таке повідомлення - це фішинг, гарантовано.

Для безпечного обміну фінансовою інформацією завітайте до LOCK.PUB — безкоштовні зашифровані посилання з автоматичним терміном дії. Бережіть банківські дані як ключі від сейфа, бо це саме вони.