Sprawdź, czy to spam lub scam — jak rozpoznać podejrzaną wiadomość

Dostajesz maila o „wstrzymanej paczce", SMS o „niedopłacie 2,48 zł" albo wiadomość z banku, w którym nie masz konta. Zanim cokolwiek klikniesz, zatrzymaj się i sprawdź, czy to spam — a może coś groźniejszego, czyli scam. Spam to niechciana, masowa reklama: irytuje, ale zwykle nie kradnie. Scam to oszustwo: ktoś podszywa się pod firmę, urząd lub bliską osobę, żeby wyłudzić pieniądze, hasła albo dane. Granica bywa cienka, dlatego każdą podejrzaną wiadomość warto ocenić według tych samych kilku kryteriów. Dobra wiadomość: nie potrzebujesz wiedzy technicznej. Większość oszustw rozpoznasz w minutę, jeśli wiesz, na co patrzeć. Poniżej sprawdzisz po kolei: nadawcę, treść, linki, załączniki i prośby, które powinny zapalić czerwoną lampkę — a na końcu znajdziesz plan działania na wypadek, gdy już kliknąłeś.

Sprawdź, czy to spam — zacznij od adresu nadawcy

Nazwa nadawcy, którą widzisz w skrzynce, to zwykły tekst. Oszust może wpisać tam „Bank", „Allegro" czy „InPost" — nic tego nie weryfikuje. Liczy się dokładny adres e-mail, więc zawsze go rozwiń i przeczytaj znak po znaku.

• Domena po znaku @. Prawdziwy bank pisze z własnej domeny, nie z darmowej skrzynki. Wiadomość „z urzędu" wysłana z adresu w popularnej darmowej poczcie to niemal pewne oszustwo.
• Literówki i podmiany znaków. Oszuści rejestrują domeny łudząco podobne do prawdziwych: dodana litera, myślnik, cyfra zamiast litery, „rn" udające „m". Czytaj powoli.
• Znajoma nazwa doklejona do obcej domeny. Adres w stylu allegro.powiadomienia-x.com nie należy do Allegro. Liczy się końcówka, czyli człon stojący tuż przed .com albo .pl.
• Adres odpowiedzi. Czasem pole „od" wygląda dobrze, ale odpowiedź poszłaby na zupełnie inny adres. W szczegółach wiadomości zobaczysz pełne nagłówki.

Z SMS-ami jest trudniej: nazwę nadawcy da się podrobić, a fałszywa wiadomość potrafi wpaść do tego samego wątku, co prawdziwe powiadomienia. Dlatego przy SMS-ach sam nadawca nie wystarcza — oceniaj treść i link.

Presja czasu i strachu to znak firmowy oszustów

Scam prawie zawsze próbuje wyłączyć Ci myślenie emocjami. Najczęstsze scenariusze:

• strach — „Twoje konto zostanie zablokowane w ciągu 24 godzin",
• pilność — „ostatnie wezwanie", „paczka wraca dziś do nadawcy",
• drobna kwota — „dopłać 2,50 zł do przesyłki"; niska cena usypia czujność, a naprawdę chodzi o dane Twojej karty,
• okazja — „wygrałeś", „odbierz zwrot podatku", „gwarantowany zysk z inwestycji",
• autorytet — podszywanie się pod policję, urząd skarbowy, dostawcę prądu.

Zasada jest prosta: im mocniej wiadomość naciska na natychmiastowe działanie, tym więcej czasu warto sobie dać. Prawdziwy bank ani urząd nie załatwia spraw „w 15 minut przez link". Presja czasu, straszenie i fałszywy autorytet to zresztą te same chwyty perswazji, które spotkasz w manipulacyjnych artykułach — ich katalog z przykładami znajdziesz w encyklopedii technik manipulacji.

Linki i załączniki — sprawdzaj bez klikania

Link w podejrzanej wiadomości to najczęstsza pułapka. Prowadzi do strony podszywającej się pod logowanie banku, pocztę albo bramkę płatności. Jak go ocenić, nie klikając?

1. Najedź kursorem na link, bez klikania — docelowy adres pokaże się w rogu przeglądarki lub programu pocztowego. Na telefonie przytrzymaj link palcem, aż pojawi się podgląd adresu.
2. Czytaj domenę od końca. Tak jak przy nadawcy: liczy się człon tuż przed .pl lub .com, a nie znajome słowa gdzieś w środku adresu.
3. Uważaj na skracacze linków. Skrócony adres ukrywa prawdziwy cel. Jeśli nie wiesz, dokąd prowadzi — nie klikaj.
4. Kłódka niczego nie gwarantuje. HTTPS oznacza tylko szyfrowanie połączenia. Strona oszustów też może mieć kłódkę i ważny certyfikat.

Załączniki traktuj jeszcze ostrożniej. „Faktura" w pliku .zip lub .html, plik z podwójnym rozszerzeniem (np. faktura.pdf.exe), dokument, który każe „włączyć makra" — to klasyczne nośniki złośliwego oprogramowania. Jeśli nie czekasz na dokument od tego nadawcy, nie otwieraj go wcale. A gdy link prowadzi do strony albo „sensacyjnego" artykułu i nie wiesz, czy można mu ufać? Najpierw oceń samą witrynę — jak to zrobić krok po kroku, opisaliśmy w tekście o sprawdzaniu wiarygodności strony. Treść artykułu możesz też przepuścić przez Faktoskop: moduł Bezpieczeństwo wskazuje sygnały typowe dla scamu i phishingu, a pełna analiza pokazuje, jakimi chwytami tekst próbuje na Tobie zagrać. Przykłady gotowych ocen obejrzysz w galerii analiz.

O co nikt uczciwy nie poprosi w wiadomości

Niektóre prośby same w sobie są dowodem oszustwa — nieważne, jak wiarygodnie wygląda reszta wiadomości. Nikt uczciwy nie poprosi Cię przez e-mail, SMS ani telefon o:

• hasło do banku, poczty czy jakiegokolwiek konta,
• kod BLIK — podanie kodu i zatwierdzenie operacji w aplikacji to oddanie komuś gotówki do ręki,
• pełne dane karty (numer, data ważności, kod CVV) „w celu weryfikacji",
• kody z SMS-ów — to kody autoryzujące operacje, a nie „potwierdzenie tożsamości",
• instalację programu do zdalnego pulpitu (np. AnyDesk), „żeby pomóc" — tak działa oszustwo „na pracownika banku",
• płatność kryptowalutą albo kartami podarunkowymi — żadna instytucja tak nie rozlicza zaległości.

Masz wątpliwość? Przerwij kontakt i zweryfikuj sprawę drugim kanałem. Zadzwoń na oficjalny numer z odwrotu karty albo ze strony instytucji — adres wpisz ręcznie, nie kopiuj go z wiadomości. Zaloguj się do aplikacji banku i sprawdź, czy komunikat w ogóle istnieje.

Smishing i oszustwa w komunikatorach

Oszustwa dawno wyszły poza pocztę. Wyłudzenia przez SMS mają nawet własną nazwę — smishing. Schemat jest ten sam, zmienia się tylko opakowanie:

• „dopłata do paczki" — SMS z linkiem do fałszywej bramki płatności, szczególnie częsty w sezonie zakupowym,
• „mamo, piszę z nowego numeru" — ktoś podszywa się pod dziecko i po kilku wiadomościach prosi o pilny przelew albo kod BLIK,
• znajomy prosi o pieniądze — jego konto mogło zostać przejęte lub skopiowane; zanim odpowiesz, po prostu do niego zadzwoń,
• fałszywe sklepy i konkursy w mediach społecznościowych — prowadzą do stron wyłudzających płatności i dane.

W komunikatorach i mediach społecznościowych pierwszym filtrem jest profil nadawcy: wiek konta, aktywność, znajomi, spójność zdjęć i opisów. Jak prześwietlić taki profil, pokazujemy w poradniku o rozpoznawaniu fałszywych kont.

Co zrobić, gdy już kliknąłeś lub podałeś dane

Samo kliknięcie w link zwykle nie jest jeszcze katastrofą — najgroźniejsze jest to, co wpiszesz na stronie po drugiej stronie. Działaj według listy, od najpilniejszego:

1. Podałeś dane logowania? Natychmiast zmień hasło do tego konta, a potem wszędzie tam, gdzie używasz tego samego hasła. Włącz weryfikację dwuetapową.
2. Podałeś dane karty albo kod BLIK? Dzwoń do banku na numer z odwrotu karty, zastrzeż kartę i zgłoś próbę oszustwa. Banki mają na to gotowe procedury i działają szybko.
3. Otworzyłeś załącznik? Odłącz urządzenie od internetu i przeskanuj je programem antywirusowym. Do czasu skanowania nie loguj się z niego do banku.
4. Podałeś PESEL i dane osobowe? Zastrzeż numer PESEL, na przykład w aplikacji mObywatel — utrudni to wzięcie kredytu na Twoje dane.
5. Zgłoś incydent. Phishing i fałszywe strony zgłosisz do CERT Polska, a podejrzanego SMS-a przekażesz bezpłatnie na numer 8080. Jeśli straciłeś pieniądze, zawiadom też policję.

I jeszcze jedno: nie wstydź się. Na dobrze przygotowany scam nabierają się również osoby ostrożne i obeznane z technologią. Im szybciej zareagujesz, tym mniejsze straty — a Twoje zgłoszenie pomaga zablokować kampanię, zanim trafi na kolejne osoby.

Najczęstsze pytania

Czym różni się spam od scamu?

Spam to masowa, niechciana wiadomość — najczęściej reklama. Scam to oszustwo: wiadomość podszywa się pod firmę, urząd lub osobę i próbuje wyłudzić pieniądze, dane albo dostęp do konta. Spam kasujesz, scam zgłaszasz. Jedna wiadomość bywa jednym i drugim naraz, dlatego obie oceniasz tymi samymi kryteriami: nadawca, presja, link, prośba.

Czy samo otwarcie podejrzanego maila jest groźne?

Zwykle nie. Przeczytanie wiadomości w aktualnym programie pocztowym rzadko wyrządza szkodę. Ryzyko zaczyna się przy kliknięciu w link, otwarciu załącznika i — przede wszystkim — wpisaniu danych na podstawionej stronie. Nie odpowiadaj też na spam: odpowiedź potwierdza oszustom, że Twój adres jest aktywny.

Jak sprawdzić link z wiadomości, nie klikając w niego?

Na komputerze najedź na link kursorem — docelowy adres zobaczysz w rogu okna. Na telefonie przytrzymaj link palcem, aż system pokaże podgląd adresu. Potem przeczytaj domenę od końca: liczy się człon bezpośrednio przed .pl lub .com. Jeśli adres jest skrócony albo nieczytelny — odpuść.

Gdzie zgłosić podejrzaną wiadomość?

Podejrzane e-maile i strony zgłosisz do CERT Polska, a SMS-y przekażesz na bezpłatny numer 8080. Jeśli straciłeś pieniądze albo podałeś dane, powiadom również swój bank i policję. Zgłoszenie zajmuje chwilę, a realnie skraca życie kampanii oszustów i chroni kolejne osoby.