Początek września. Dzieci wróciły do szkoły, firmowa umowa dodatkowego ubezpieczenia zdrowotnego od pierwszego dnia miesiąca przeszła do innego ubezpieczyciela, a ty masz trzy recepty do odnowienia przed końcem tygodnia. Telefon wibruje: „Assurance Maladie: twoja karta Vitale traci ważność. Zamów nową kartę przed 15.09, aby uniknąć zawieszenia zwrotów kosztów: [link]".
Nie masz żadnego powodu, by uznać to za dziwne. Wiesz, że coś zmienia się w twoim ubezpieczeniu zdrowotnym, tylko nie wiesz dokładnie co. I to właśnie tę szarą strefę wykorzystują oszuści.
Oszustwo z fałszywym SMS-em zdrowotnym nie jest nowe, ale ma groźną sezonowość: eksploduje we wrześniu i w styczniu, czyli w dwóch momentach, gdy Francuzi rzeczywiście dostają pisma od swojego ubezpieczyciela, pracodawcy albo lokalnej kasy chorych. Fałszywa wiadomość nie wślizguje się w ciszę – wślizguje się w hałas.
Dlaczego zdrowie to idealny teren łowiecki
Większość kampanii smishingu opiera się na trzech filarach: instytucja, którą wszyscy znają, niewielka kwota pieniędzy oraz nieprzyjemna konsekwencja w razie bierności. Sektor zdrowia z krępującą łatwością odhacza wszystkie trzy.
Dotyczy to wszystkich. W przeciwieństwie do fałszywego SMS-a bankowego – który chybia celu w dziewięciu przypadkach na dziesięć, bo nie jesteś klientem wskazanego banku – wiadomość powołująca się na Assurance Maladie trafia w 100% odbiorców. Oszuści nie muszą nawet znać twojego profilu.
Słownictwo administracyjne jest nieprzejrzyste. Karta Vitale, tiers payant, teletransmisja, obowiązkowe ubezpieczenie dodatkowe, opłata ryczałtowa, ALD… Mało kto naprawdę rozumie te mechanizmy. Wobec wiadomości, która używa tych słów poprawnie, naturalnym odruchem nie jest wątpliwość, lecz uległość.
Konsekwencja straszy, ale nie jest dramatyczna. „Twoje zwroty kosztów zostaną zawieszone" to nie groźba komornika. To wystarczająco irytujące, by załatwić sprawę od razu, i niewystarczająco poważne, by zadzwonić do współmałżonka albo księgowego przed kliknięciem.
Dodajmy do tego, że Assurance Maladie za pośrednictwem Ameli wysyła prawdziwe SMS-y – choćby o badaniach przesiewowych, przypomnieniach o szczepieniach czy udostępnieniu dokumentu. Użytkownik nie ma więc prostej reguły w stylu „Ameli nigdy nie wysyła SMS-ów". Granica jest rozmyta, a rozmycie zawsze działa na korzyść atakującego.
Cztery scenariusze, które napotkasz w tym roku
1. „Nowa karta Vitale" do zamówienia
To scenariusz dominujący od czasu ogłoszenia wdrożenia zdematerializowanej karty Vitale w aplikacji carte Vitale. Wiadomość informuje o wygaśnięciu twojej fizycznej karty albo o obowiązku „migracji" do wersji cyfrowej i proponuje formularz.
Czego formularz żąda, po kolei: nazwisko, imię, data urodzenia, numer ubezpieczenia społecznego, adres pocztowy, a następnie – po trzech ekranach, kiedy jesteś już zaangażowany – opłata „manipulacyjna" od 1,50 € do 4,90 €. Kwota jest śmieszna i o to właśnie chodzi: służy wyłącznie przechwyceniu numeru twojej karty płatniczej, jej daty ważności i kodu CVV.
Zapamiętaj: karta Vitale nie ma żadnej daty ważności, a jej wyrobienie jest całkowicie bezpłatne. Każde żądanie zapłaty związane z kartą Vitale jest z definicji oszustwem.
2. Fałszywy zwrot kosztów od ubezpieczyciela
„Twoje dodatkowe ubezpieczenie zdrowotne: oczekuje zwrot w wysokości 47,82 €. Podaj numer konta, aby go otrzymać." Kwota z dwoma miejscami po przecinku to detal inscenizacyjny o niezwykłej skuteczności: sprawia wrażenie realnego wyliczenia, pochodzącego z prawdziwego rozliczenia.
Tutaj oszust nie prosi o pieniądze – on je obiecuje. To odwrócenie wyłącza sporą część czujności. Zebrany numer konta służy potem albo do oszukańczych obciążeń, albo do zasilania dossier na potrzeby kradzieży tożsamości, albo po prostu do odsprzedaży.
3. „Aktualizacja tiers payant"
Wariant bardziej techniczny, często wysyłany na początku roku szkolnego, gdy zmieniają się umowy grupowe. SMS zachęca do „reaktywacji teletransmisji między twoim ubezpieczycielem a twoją kasą". Strona docelowa imituje panel członkowski i prosi o dane logowania do konta u ubezpieczyciela.
Te dane mają szczególną wartość: panel członkowski zawiera historię świadczeń, dane osób uprawnionych, numer konta, czasem dane pracodawcy. To kompletne dossier tożsamościowe, znacznie bogatsze niż zwykły numer karty płatniczej.
4. Fałszywe badanie przesiewowe lub fałszywe wezwanie
Rzadsze, ale coraz częstsze: SMS zapowiadający zorganizowane badanie przesiewowe (rak jelita grubego, rak piersi) z linkiem do „potwierdzenia udziału". Wykorzystuje fakt, że Santé publique France i Assurance Maladie faktycznie prowadzą takie kampanie. Cel jest ten sam: zebranie danych osobowych dotyczących zdrowia, odsprzedawanych lub wykorzystywanych do późniejszych, ukierunkowanych oszustw.
Jak rozpoznać fałszywkę w dziesięć sekund
Istnieje kilka wiarygodnych sygnałów – pod warunkiem, że wiesz, gdzie patrzeć. Pierwszym odruchem nigdy nie jest czytanie treści: to sprawdzenie, dokąd prowadzi link.
| Co widzisz | Co to znaczy |
|---|---|
| Skrócony link (bit.ly, tinyurl, cutt.ly) | Instytucja publiczna nigdy nie używa skracaczy linków |
Domena typu ameli-remboursement.info | Prawdziwa domena to ameli.fr, i kropka |
.ameli.fr.securite-xyz.com | Prawdziwa nazwa domeny to ta przed ostatnią kropką: tutaj securite-xyz.com |
| Nadawca z numeru 06 lub 07 | Oficjalne instytucje używają nazwy nadawcy albo numeru skróconego |
| Żądanie zapłaty, choćby 1 € | Żadna administracyjna sprawa zdrowotna nie załatwia się płatnością przez SMS |
Trzeci punkt tabeli jest najważniejszy i najmniej znany. Oszuści budują adresy zawierające prawdziwą nazwę instytucji, żeby zmylić oko. Reguła mechaniczna: czytaj nazwę domeny od prawej do lewej, zaczynając od .fr lub .com. To, co znajduje się tuż przed, jest prawdziwym właścicielem strony.
Na małym ekranie taka lektura jest uciążliwa – i jest to zamierzone. Wielu użytkowników, którzy codziennie dostają wiadomości urzędowe, zaczyna w końcu czytać tę korespondencję na tablecie z dużym ekranem, gdzie pełny adres pozostaje czytelny bez mrużenia oczu – banalny szczegół, który eliminuje sporą część błędów z nieuwagi.
Szczególna pułapka dla seniorów i ich opiekunów
Osoby starsze kumulują w tej konkretnej sprawie trzy czynniki podatności: realnie intensywnie korzystają z systemu ochrony zdrowia, faktycznie dostają dużo pism od kasy chorych i ubezpieczyciela oraz zostały wychowane w odruchu odpowiadania urzędom.
Problemem nie jest naiwność. Emeryt, który dostaje trzy rozliczenia zwrotów miesięcznie, nie ma żadnego strukturalnego powodu, by czwartą wiadomość uznać za podejrzaną. Stosuje uprawnioną rutynę do nieuprawnionej wiadomości.
Kilka konkretnych rozwiązań dla starszego bliskiego:
- Ustalcie jedną, absolutną regułę: „nie klikamy w żaden link otrzymany SMS-em, nigdy, niezależnie od nadawcy". Reguła bez wyjątków jest nieskończenie skuteczniejsza niż lista kryteriów do oceny.
- Zainstalujcie razem aplikację carte Vitale lub oficjalną aplikację Ameli ze sklepu z aplikacjami i wyjaśnijcie, że odtąd wszystko idzie tą drogą.
- Zapiszcie numer telefonu do kasy chorych na papierze, obok telefonu. Notatnik z dużymi literami leżący przy aparacie rozwiązuje połowę sytuacji: zamiast klikać, osoba dzwoni.
- Sprawdźcie czytelność sprzętu. Wiele błędów w odczytaniu bierze się ze zbyt ciemnego ekranu albo zbyt małej czcionki. Okulary powiększające położone obok telefonu bywają pożyteczniejsze niż antywirus.
- Umówcie się na systematyczną „drugą opinię": każda wiadomość mówiąca o pieniądzach lub zdrowiu wymaga telefonu do opiekuna przed jakimkolwiek działaniem. Bez wyrzutów, bez oceniania, jako wspólny odruch.
Celem nie jest zamienienie bliskiej osoby w eksperta od cyberbezpieczeństwa. Celem jest zmniejszenie liczby decyzji, które musi podejmować sama, w pośpiechu, na sześciocalowym ekranie.
Ile te dane naprawdę są warte
Wartość numeru ubezpieczenia społecznego jest masowo niedoceniana. W przeciwieństwie do hasła nie da się go zmienić. W przeciwieństwie do karty płatniczej nie da się go zastrzec. Towarzyszy ci przez całe życie i koduje twoją płeć, rok i miesiąc urodzenia oraz departament urodzenia.
W połączeniu z nazwiskiem, adresem i datą urodzenia pozwala:
- zakładać sprawy w instytucjach, które słabo weryfikują tożsamość;
- uwiarygodnić późniejszy atak – oszust, który dzwoni i cytuje twój numer ubezpieczenia społecznego, staje się w twoich oczach natychmiast „oficjalny";
- zasilać znacznie bardziej ukierunkowane kampanie oszustw, gdzie wiadomość nie mówi już „szanowny kliencie", lecz podaje twoje nazwisko, twoje miasto i twoją kasę chorych.
To ślepy punkt wielu ofiar: uważają, że „nic nie straciły", bo żadna płatność nie została pobrana. W rzeczywistości dostarczyły surowiec do kolejnego oszustwa – tego, które przyjdzie za trzy albo sześć miesięcy i które będzie już doskonale wiarygodne.
Właściwe kanały, raz na zawsze
Najlepszą obroną przed fałszywą wiadomością nie jest lepsze jej rozpoznawanie: to znajomość prawdziwej drogi na pamięć, żeby nigdy więcej nie musieć oceniać SMS-a.
We wszystkim, co dotyczy Assurance Maladie, jest jeden punkt wejścia: strona ameli.fr albo aplikacja Ameli, otwierane z zakładek lub ze sklepu z aplikacjami w telefonie. Nigdy z otrzymanego linku. Numer 36 46 pozwala połączyć się z doradcą i rozwiać wątpliwość.
W sprawie dodatkowego ubezpieczenia zdrowotnego numer widnieje na twojej karcie tiers payant, tej, którą masz w portfelu. To jedyne źródło informacji, którego nikt nie sfałszuje na odległość.
W sprawie karty Vitale zapamiętaj trzy fakty, które wystarczą, by odsiać 100% oszustw tego typu:
- Nie traci ważności.
- Jest bezpłatna.
- Zamawia się ją z konta Ameli albo w aptece, nie przez link.
Aby zgłosić, przekaż SMS na numer 33700, oficjalną usługę prowadzoną przez francuskich operatorów we współpracy z organami władzy. Otrzymasz automatyczną odpowiedź z prośbą o numer nadawcy: przekaż go. Zgłoszenie jest bezpłatne i zasila listy blokad. Cybermalveillance.gouv.fr oferuje ponadto ścieżkę wsparcia, jeśli już przekazałeś jakieś informacje.
Jeśli już wypełniłeś formularz
Bez paniki, ale z metodą, w tej kolejności.
Jeśli podałeś dane bankowe: natychmiast zadzwoń do banku, żeby zastrzec kartę, albo skorzystaj z funkcji blokady karty w aplikacji bankowej – to zwykle szybsze niż telefon. Następnie obserwuj mikroobciążenia na kilka centów, często będące testem przed poważniejszą operacją.
Jeśli podałeś dane logowania do ubezpieczyciela lub Ameli: zmień hasło na oficjalnej stronie i zmień je wszędzie tam, gdzie go używałeś ponownie. Jeśli nie masz pojęcia, gdzie, to dobry moment, by wdrożyć menedżer haseł albo przynajmniej notes na kody schowany w szufladzie – rozwiązanie niemodne, ale nieskończenie lepsze niż trzy identyczne hasła.
Jeśli podałeś wyłącznie dane tożsamości: nie ma nic do „naprawienia" technicznie, ale miej to na uwadze przez kolejne miesiące. Traktuj jako podejrzany każdy telefon czy wiadomość, które precyzyjnie cię identyfikują i żądają działania. Dobrze poinformowany oszust nie jest wiarygodnym rozmówcą.
W każdym przypadku: złóż zawiadomienie, online albo na komisariacie. Nawet jeśli sprawa indywidualnie nie znajdzie finału, zasila statystyki, które uruchamiają zbiorcze śledztwa. Będzie też wymagane przez bank przy jakimkolwiek zwrocie środków.
Prawdziwy odruch, ten, który nic nie kosztuje
Mieści się w jednym zdaniu: spraw zdrowotnych nigdy nie załatwia się przez SMS.
To nie kwestia czujności ani technicznej wiedzy. To kwestia kanału. Wiadomość odebrana na telefonie nie jest źródłem informacji, tylko powiadomieniem – w najlepszym razie przypomnieniem, żeby sprawdzić gdzie indziej. Kiedy ten odruch się utrwali, jakość fałszywej wiadomości przestaje mieć jakiekolwiek znaczenie: czy będzie prymitywna, czy perfekcyjnie podrobiona, skończy w tym samym miejscu – przekazana na 33700, a potem usunięta.
Cała reszta – błędy ortograficzne, logotypy, dziwne sformułowania – to użyteczne wskazówki, ale wskazówki, które oszuści co roku poprawiają. Kanał natomiast się nie zmieni.
