Jest taka pora roku, w której oszuści nie muszą nawet być dobrzy: wystarczy, że pojawią się w odpowiednim momencie. Ten moment to wyjazd na wakacje, weekend powrotny, długi listopadowy weekend, tydzień szczytu wyjazdowego. Nie dlatego, że urlopowicze są bardziej naiwni, ale dlatego, że znajdują się w bardzo szczególnym stanie umysłu: spodziewają się wiadomości, i to wielu wiadomości, od ludzi, których nie znają.
Potwierdzenie wynajmu. Kod do skrzynki na klucze. Przypomnienie od linii lotniczej. SMS od wypożyczalni samochodów. Link do śledzenia transferu. W normalnym życiu wiadomość z nieznanego numeru z prośbą o kliknięcie uruchamia sygnał alarmowy. W podróży stała się rutyną. I to właśnie tę normalizację wykorzystuje w okresie urlopowym smishing — phishing przez SMS, tak jak definiuje go Cybermalveillance.gouv.fr.
Dlaczego podróż rozbraja czujność
Kampanie fałszywych SMS-ów działają na prostej zasadzie: wysłać wiarygodny scenariusz na setki tysięcy numerów i czekać, aż przypadek sprawi, że wiadomość pokryje się z rzeczywistą sytuacją odbiorcy. W sezonie wakacyjnym ten przypadek staje się niemal pewnikiem.
Nakładają się na siebie cztery czynniki.
Naprawdę spodziewasz się wiadomości od nieznajomych. Właściciel mieszkania z Airbnb, agencja nieruchomości, kemping, parking przy lotnisku — to wszystko legalni rozmówcy, którzy piszą do Ciebie z numerów, jakich nigdy wcześniej nie widziałeś. Mentalny filtr „nie znam tego numeru" przestaje działać.
Czas goni. SMS zapowiadający problem z rezerwacją trzy dni przed wyjazdem nie zostawia miejsca na zwlekanie. Presja pilności nie musi być nawet sztucznie wytworzona: jest już wpisana w Twój kalendarz.
Warunki czytania są fatalne. Na stojąco w kolejce do odprawy, na parkingu przy autostradzie, ze słońcem odbijającym się od ekranu i dzieckiem ciągnącym Cię za rękaw. Nikt w takich warunkach nie sprawdza pisowni nazwy domeny.
Telefon jest osłabiony. Niski poziom baterii, niestabilny zasięg na wsi, współdzielone wi-fi hotelowe. Smartfon z 8% baterii skłania do szybkiego działania, do kliknięcia zamiast weryfikacji, do myśli „sprawdzę to dokładniej później".
Właśnie dlatego powerbank podróżny nie jest gadżetem dla wygody, lecz realnym narzędziem bezpieczeństwa: naładowany telefon to telefon, przy którym można spokojnie zadzwonić pod prawdziwy numer hotelu, zamiast klikać w otrzymany link.
Pięć najczęstszych sezonowych scenariuszy
1. Rezerwacja, która „nie została zatwierdzona"
Wiadomość przychodzi kilka dni przed przyjazdem: „Twoja rezerwacja z 12/08 nie mogła zostać potwierdzona, płatność została odrzucona. Ureguluj w ciągu 24 h, aby uniknąć anulowania." Link prowadzi na stronę wiernie imitującą znaną platformę rezerwacyjną.
Pułapka jest podwójna. Najpierw strach przed utratą noclegu, zarezerwowanego czasem wiele miesięcy wcześniej. Potem niewielka kwota: nikt nie żąda od Ciebie 800 €, tylko „ponownej weryfikacji" karty albo wpłaty kaucji w wysokości 50 €. DGCCRF oraz same platformy regularnie przypominają o niepodważalnej zasadzie: żadna legalna płatność nie odbywa się poza platformą rezerwacyjną. Właściciel, który nalega na przelew bezpośredni, link do płatności wysłany SMS-em albo rozliczenie kartą podarunkową, jest w praktycznie każdym przypadku oszustem.
2. Fałszywe wezwanie do zapłaty za przejazd autostradą
Ten scenariusz eksplodował wraz z upowszechnieniem poboru opłat w systemie free flow — bez szlabanów, gdzie płaci się po fakcie na oficjalnej stronie. Wiadomość jest krótka: „Nieopłacony przejazd 09/08 na A79. Kwota: 4,20 €. Uregulowanie w ciągu 72 h przed naliczeniem kary."
Wszystko jest starannie wykalibrowane: kwota realistyczna, autostrada istnieje, termin wiarygodny. Wielu kierowców po prostu nie wie, czy opłacili przejazd, czy nie. Zasada: nigdy nie opłacamy przejazdu w systemie free flow z linku otrzymanego SMS-em. Adres oficjalnej strony danej spółki autostradowej wpisujemy samodzielnie albo korzystamy z aplikacji naszego urządzenia do e-myta. To samo dotyczy fałszywych mandatów: oficjalna strona krajowej agencji zajmującej się automatycznym przetwarzaniem wykroczeń (ANTAI) jest jedynym punktem wejścia i nigdy nie wyśle Ci SMS-a z linkiem do płatności.
3. Zmieniony lot i fałszywa karta pokładowa
„Twój lot AF1234 został zmieniony. Sprawdź nową kartę pokładową." Link prosi o numer rezerwacji, nazwisko, czasem paszport i kartę płatniczą na „opłatę za ponowne wystawienie".
Tutaj celem nie są wyłącznie pieniądze, lecz dane tożsamości. Kompletny zestaw danych podróżnego — imię i nazwisko, data urodzenia, numer paszportu, adres — jest odsprzedawany i służy potem do zakładania kont czy zaciągania kredytów. Odruch: otworzyć oficjalną aplikację przewoźnika albo sprawdzić tablicę odlotów. Rzeczywista zmiana lotu zawsze pojawia się w Twojej rezerwacji, nigdy wyłącznie w SMS-ie.
4. Skrzynka na klucze i kod dostępu
Bardziej dyskretne i bardziej podstępne. Dzień przed przyjazdem dostajesz wiadomość: „Dzień dobry, zmiana w ostatniej chwili dotycząca przekazania kluczy, prosimy o potwierdzenie tożsamości tutaj." Link zbiera skan dokumentu tożsamości, czasem numer konta „do zwrotu kaucji".
Sygnał, który powinien zaalarmować: zmiana kanału komunikacji. Jeśli cała rozmowa toczyła się w komunikatorze platformy, a nagle przenosi się na SMS, to czerwona flaga. Oszuści pobierają publiczne ogłoszenia i kontaktują się z podróżnymi na ślepo, licząc, że trafią na kogoś, kto faktycznie zarezerwował nocleg.
5. Bankowa „pomoc" podczas wyjazdu
To najkosztowniejszy wariant. Po pierwszym SMS-ie z alertem („próba płatności zagranicznej na 749 €") następuje telefon, często z numeru wyświetlanego jako numer Twojego banku dzięki spoofingowi. Spokojny rozmówca prosi, byś „zablokował operację", podając swoje kody albo zatwierdzając powiadomienie w aplikacji.
Zasada przypominana przez Fédération bancaire française i same banki jest bezwzględna: doradca nigdy nie poprosi Cię o zatwierdzenie operacji, podanie kodu otrzymanego SMS-em ani instalację programu do zdalnego dostępu. Rozłączamy się i dzwonimy pod numer widniejący na odwrocie karty.
Tabela selekcji w dziesięć sekund
Kiedy przychodzi wiadomość, a Ty nie masz ani czasu, ani spokoju, by prowadzić śledztwo, ta selekcja wystarcza w zdecydowanej większości przypadków.
| Co mówi wiadomość | Reakcja bezpieczna | Reakcja ryzykowna |
|---|---|---|
| Płatność się nie powiodła | Samodzielnie otworzyć daną aplikację | Kliknąć w podany link |
| Kwota do zapłaty w ciągu 24-72 h | Wpisać oficjalny adres ręcznie | Zapłacić z linku |
| Prośba o dokument tożsamości | Skorzystać z komunikatora platformy | Wysłać skan SMS-em |
| Doradca dzwoni zaraz po SMS-ie | Rozłączyć się, oddzwonić pod numer z karty | Zostać na linii i zatwierdzić |
| Link zawiera dziwną nazwę marki | Zignorować i usunąć | „Tylko zerknąć" na stronę |
Kwestia techniczna często źle rozumiana: adres wyświetlany w skróconym linku nie znaczy nic. Kampanie masowo wykorzystują skracacze linków i nazwy domen zawierające legalną markę jako subdomenę. Adres w rodzaju secure-colissimo.paiement-xyz.top nie ma nic wspólnego z usługą, którą imituje: liczy się to, co znajduje się bezpośrednio przed rozszerzeniem, a nie to, co stoi na początku.
Przygotowanie telefonu przed wyjazdem
Najlepsza ochrona w podróży powstaje w przeddzień wyjazdu, na spokojnie, w domu.
Uporządkuj oficjalne kanały kontaktu. Zapisz w kontaktach numer swojego banku, ubezpieczyciela i miejsca noclegu. Numer już zapisany wyświetla się z nazwą: jeśli rzekomo bankowe połączenie przychodzi z nierozpoznanego numeru, wątpliwość pojawia się natychmiast.
Zablokuj podgląd powiadomień. Jednorazowe kody weryfikacyjne domyślnie wyświetlają się na zablokowanym ekranie. W pociągu, w kolejce czy we wspólnym pokoju to wystarczy, by przejąć konto. Ustawienie znajduje się w opcjach powiadomień, pod „Podglądy" lub „Pokaż treść". W tym samym duchu filtr prywatyzujący na ekran smartfona sprawia, że ekran jest nieczytelny pod kątem — przydatne zarówno w samolocie, jak i na tarasie kawiarni.
Zabierz zasilanie, by nie korzystać z publicznych stacji. Otwarte stacje ładowania USB na lotniskach i dworcach stanowią realny problem: niekontrolowany port danych może w pewnych konfiguracjach zostać wykorzystany do ataku. Zwykła ładowarka USB z wtyczką do gniazdka albo kabel do ładowania bez transferu danych całkowicie eliminuje ten problem. To nie paranoja, to ta sama logika, co niepodłączanie pendrive'a znalezionego na ziemi.
Zrób kopię zapasową przed wyjazdem. Telefon zgubiony lub skradziony na wakacjach to potencjalny dostęp do komunikatorów, poczty i aplikacji bankowych. Aktualna kopia zapasowa i włączona funkcja zdalnej lokalizacji całkowicie zmieniają przebieg zdarzeń. Zadbaj też o fizyczną ochronę urządzenia: piasek, słona woda i plażowe torby robią więcej szkód, niż się wydaje, a wodoszczelne etui na smartfon kosztuje mniej niż wymiana ekranu.
Wi-fi hotelowe, sieci publiczne i fałszywe portale
Darmowe wi-fi na kempingu czy w hotelowym lobby zasługuje na osobną wzmiankę. Głównym zagrożeniem nie jest dziś już przechwytywanie danych — większość stron i aplikacji szyfruje komunikację — lecz fałszywy portal logowania (captive portal): strona, która otwiera się z prośbą o „zalogowanie" przed uzyskaniem dostępu do sieci i czasem żąda adresu e-mail, hasła, a nawet karty płatniczej „do weryfikacji".
Wystarczą trzy zasady:
- Legalny portal logowania nigdy nie prosi o hasło do poczty ani o numer karty.
- Sprawdź dokładną nazwę sieci w recepcji. Sieć o nazwie „Hotel_Wifi_Free" obok prawdziwej „Hotel-Wifi" to klasyczna pułapka.
- Do operacji wrażliwych — bankowość, podatki, zakupy — używaj raczej połączenia komórkowego. Udostępnianie internetu z własnego abonamentu jest bezpieczniejsze niż sieć otwarta, a lokalna karta SIM prepaid pozostaje dobrym rozwiązaniem przy dłuższych pobytach poza Europą.
Jeśli wiadomość została już otwarta
Otwarcie fałszywego SMS-a samo w sobie nie jest niebezpieczne. Ryzyko zaczyna się przy kliknięciu, a staje się poważne przy wpisaniu danych.
- Kliknąłeś, ale nic nie wpisałeś. Zamknij stronę, nie wracaj na nią, niczego nie wypełniaj. Sprawdź, czy bez Twojej wiedzy nie zainstalowała się żadna aplikacja, zwłaszcza w systemie Android, gdzie instalacja ze źródła zewnętrznego jest możliwa.
- Wpisałeś dane bankowe. Natychmiast zastrzeż kartę przez aplikację banku lub numer na jej odwrocie. Z zagranicy ten numer również działa. Zachowaj zrzuty ekranu.
- Przekazałeś dokument tożsamości. Zgłoś to i monitoruj wszelkie próby otwarcia konta na Twoje nazwisko. Zawiadomienie o przestępstwie, nawet złożone zdalnie, stanowi przydatny dowód.
- Zgłoś wiadomość. We Francji numer 33700 przyjmuje zgłoszenia fałszywych SMS-ów: przekaż wiadomość na 33700, a następnie wyślij numer nadawcy, gdy zostaniesz o to poproszony. Usługa jest bezpłatna. Zgłoszenia można też dokonać na oficjalnej platformie Cybermalveillance.gouv.fr, która wskazuje odpowiednie kroki, oraz na internet-signalement.gouv.fr (PHAROS) w przypadku treści nielegalnych.
- Ostrzeż bliskich. Kampanie obejmują całe pule numerów. Jeśli Ty otrzymałeś taką wiadomość, Twoi bliscy, którzy wyjechali w tym samym czasie, prawdopodobnie też ją dostali.
Szczególny przypadek podróżujących seniorów
Osoby starsze wyjeżdżają na wakacje często z mniej pewnymi kompetencjami cyfrowymi, a przede wszystkim z obawą, że „coś zepsują", co skłania je raczej do posłuszeństwa niż do weryfikacji. Trzy proste rozwiązania bardzo pomagają.
Ustalcie przed wyjazdem zaufaną osobę do kontaktu, dostępną w razie wątpliwości: trzydziestosekundowa rozmowa z dzieckiem czy sąsiadem rozbraja każde oszustwo. Zapiszcie na kartce w portfelu prawdziwe numery banku i ubezpieczyciela, bo w stresie nikt nie przeszukuje telefonu. A dla tych, którzy w podróży nie potrzebują smartfona, telefon komórkowy z dużymi klawiszami mechanicznie ogranicza powierzchnię ataku: brak przeglądarki, brak klikalnych linków, brak aplikacji bankowej.
Jedna zasada mieści się w jednym zdaniu i obejmuje 95% sytuacji: nigdy nie płacimy ani nie logujemy się z otrzymanego linku, niezależnie od tego, kto figuruje jako nadawca. Zawsze wracamy do kanału, który sami wybraliśmy.
Co warto zapamiętać
Wakacyjne oszustwa SMS-owe nie są bardziej wyrafinowane od innych. Są po prostu lepiej zsynchronizowane z Twoim życiem. Lekarstwem nie jest zostanie ekspertem od cyberbezpieczeństwa, lecz przywrócenie maleńkiej zwłoki między przeczytaniem a działaniem: samodzielnie otworzyć aplikację, samodzielnie wpisać adres, samodzielnie oddzwonić pod oficjalny numer.
Ta zwłoka kosztuje trzydzieści sekund. I to dokładnie tyle, ile oszuści nie mogą sobie pozwolić Ci zostawić.
