Krok pierwszy: nieodebrane połączenie
Schemat jest prosty, ale wyrafinowany. Oszuści dzwonią do przypadkowych osób z numerów zaczynających się na zagraniczne prefiksy, najczęściej z Wielkiej Brytanii (+44), Holandii (+31), Szwajcarii (+41), ale także z krajów egzotycznych, jak Wybrzeże Kości Słoniowej (+225) czy Nigeria (+234). Często połączenie trwa zaledwie kilka sekund – tylko tyle, by na ekranie telefonu pojawiło się nieodebrane połączenie.
Ofiara, zaciekawiona tym, kto mógł dzwonić z tak nietypowego numeru, oddzwania lub pisze wiadomość, często na WhatsAppie – zgodnie z instrukcją, która przychodzi chwilę później w SMS-ie lub właśnie w tej aplikacji.
Krok drugi: WhatsApp – brama do ataku
To właśnie komunikator staje się narzędziem połączenia z ofiarą. Po pierwszym kontakcie oszuści przyjmują różne tożsamości – mogą udawać pracownika firmy kurierskiej, przedstawiciela banku, potencjalnego kupca z serwisu ogłoszeniowego albo nawet krewnego, który "utknął za granicą i potrzebuje pomocy". Ich cel jest jeden: nakłonić rozmówcę do kliknięcia w złośliwy link lub przesłania danych osobowych, bankowych, logowania do konta albo potwierdzenia płatności.
Często ofiara dostaje wiadomość o tym, że musi dopłacić niewielką kwotę do przesyłki, autoryzować przelew lub kliknąć w link do rzekomego śledzenia paczki. Fałszywe strony internetowe do złudzenia przypominają te należące do renomowanych firm. Po wpisaniu danych – oszuści mają wszystko, czego potrzebują, by wyczyścić konto bankowe.
Krok trzeci: wyłudzenie i zniknięcie
Gdy oszuści uzyskają dostęp do danych logowania lub karty płatniczej – pieniądze znikają w mgnieniu oka. Z konta bankowego mogą zostać przelane do tzw. „muli finansowych” – osób wynajmowanych przez grupy przestępcze do transferowania skradzionych środków na kolejne rachunki, często za granicą.
Co gorsza, oszuści coraz częściej posługują się tzw. spoofingiem, czyli podszywaniem się pod legalne numery telefonów. Na ekranie ofiary może się wyświetlić nawet numer zaufanej instytucji – np. infolinii banku czy numer znajomego. To dodatkowo utrudnia rozpoznanie próby oszustwa.
Skala zjawiska rośnie
Według danych CERT Polska (zespół ds. reagowania na incydenty komputerowe), w 2024 roku liczba zgłoszeń dotyczących oszustw telefonicznych i internetowych wzrosła o ponad 30 procent w porównaniu z rokiem poprzednim. Tylko w trzecim kwartale ubiegłego roku zgłoszono ponad 20 tysięcy incydentów phishingowych – wiele z nich rozpoczęło się właśnie od kontaktu przez WhatsApp lub SMS.
Urząd Komunikacji Elektronicznej również ostrzega przed oddzwanianiem na nieznane numery zagraniczne. W niektórych przypadkach chodzi o tzw. „wangiri scam” – oszustwo, w którym oddzwonienie na numer powoduje naliczenie wysokich opłat, podobnie jakbyśmy dzwonili na numer premium. Taki telefon może nas kosztować od kilkunastu do kilkudziesięciu złotych za minutę – mimo że nikt się nie zgłosi po drugiej stronie.
Czy można odzyskać pieniądze skradzione przez oszustów?
Choć banki coraz częściej stosują zaawansowane systemy wykrywania oszustw, to jeśli klient sam podał dane logowania, a transakcja została autoryzowana – odzyskanie pieniędzy może być niemożliwe. Dlatego instytucje finansowe i organizacje zajmujące się cyberbezpieczeństwem apelują o czujność.
Zawsze powinniśmy sprawdzać, z kim rozmawiamy. Nigdy nie udostępniajmy danych logowania ani nie klikajmy w linki z nieznanych źródeł. Jeśli mamy wątpliwości, skontaktujmy się bezpośrednio z firmą lub osobą, która rzekomo się z nami kontaktuje. Lepiej zadzwonić samodzielnie, niż odpowiadać na podejrzane wiadomości.
– apeluje ekspert z CERT Polska.
Jak uchronić się przed oszustwem?
Oto kilka podstawowych zasad, które mogą uchronić przed utratą pieniędzy:
- nie oddzwaniaj na nieznane numery zagraniczne, zwłaszcza jeśli nie spodziewasz się kontaktu z kimś zza granicy.
- zainstaluj aplikację, która może ostrzegać przed spamem lub oszustwami.
- nigdy nie klikaj w linki w wiadomościach od nieznajomych.
- nie podawaj danych osobowych, haseł czy kodów SMS przez telefon ani w aplikacjach.
- zgłaszaj próby oszustwa – do CERT Polska, policji lub UOKiK.
