Pierwszy tydzień września. Wypełniłeś czternaście formularzy w trzy dni, zaznaczyłeś zgodę na zdjęcie klasowe, opłaciłeś składkę na radę rodziców i założyłeś konto na portalu dla rodzin, którego hasła już nie pamiętasz. Telefon wibruje: „Stołówka szkolna — wykryto ujemne saldo na koncie Państwa dziecka. Prosimy o uregulowanie do 08.09, aby zachować dostęp do posiłków: [link]”.
Wcale nie wydaje ci się to absurdalne. Owszem, coś opłaciłeś w zeszłym tygodniu, ale nie masz pewności, czy chodziło właśnie o stołówkę. Nie wiesz już, czy zlecenie stałe zostało odnowione. A myśl, że twoje dziecko zostanie w czwartek bez obiadu, wystarczy, by przechylić szalę.
Szkolny smishing nie wymaga żadnego wyczynu technicznego. Opiera się na czymś znacznie bardziej banalnym: we wrześniu rodzice tracą kontrolę nad własnymi formalnościami.
Dlaczego początek roku szkolnego to idealne okno strzału
Kampanie oszustw SMS-owych podążają za kalendarzem. Fałszywe paczki eksplodują w listopadzie i grudniu, fałszywe mandaty po długich weekendach, fałszywe zwroty podatku latem. Wrzesień należy do szkoły — a grunt jest wyjątkowo podatny z trzech powodów.
Liczba prawdziwych wiadomości jest nienaturalnie duża. Między aplikacją dziennika elektronicznego, miejskim portalem dla rodzin, stowarzyszeniem rodziców, klubem sportowym i przewoźnikiem szkolnym rodzina potrafi otrzymać kilkanaście oficjalnych komunikatów w ciągu dwóch tygodni. Fałszywa wiadomość wślizgnięta w ten strumień w niczym nie odstaje.
Kanały płatności są rozproszone. W zależności od gminy za stołówkę płaci się na portalu miejskim, przez prywatnego operatora, poleceniem zapłaty, kartą albo w kasie placówki. Żaden rodzic nie zna na pamięć nazwy operatora obsługującego jego miasto. Ta całkowicie naturalna niewiedza jest dokładnie tym, co wykorzystuje oszust: nie musi nawet podszyć się pod właściwy podmiot, skoro i tak nie wiesz, czyjej wiadomości się spodziewać.
Stawką jest dziecko. To prawdziwa różnica w porównaniu z fałszywym SMS-em bankowym. Sprawdzenie konta można odłożyć na jutro. Nie odkłada się na jutro czegoś, co mogłoby pozbawić dziecko posiłku, uniemożliwić mu wyjazd na wycieczkę albo wykluczyć z zajęć. Dźwignią nie jest strach przed utratą pieniędzy, lecz strach przed byciem złym rodzicem.
Najczęstsze scenariusze w tym roku
Sformułowania się zmieniają, mechanizm pozostaje ten sam. Oto warianty, które najczęściej pojawiają się w zgłoszeniach z początku roku szkolnego.
| Pretekst | Przykładowa wiadomość | Czego naprawdę od ciebie chcą |
|---|---|---|
| Zaległość za stołówkę | „Ujemne saldo, ureguluj w ciągu 48 godz.” | Danych karty płatniczej na fałszywym portalu |
| Przybory lub podręczniki | „Niekompletne zamówienie podręczników, wymagana dopłata” | Drobnej płatności + danych bankowych |
| Wycieczka / wyjazd szkolny | „Zaliczka za wyjazd nie została zaksięgowana” | Przelewu na oszukańczy numer konta |
| Ubezpieczenie szkolne | „Brak obowiązkowego zaświadczenia, wykup tutaj” | Fikcyjnej polisy + pełnych danych tożsamości |
| Dowóz szkolny | „Karta autobusowa niezwalidowana, aktywuj ponownie” | Loginu i hasła do portalu regionalnego |
| Zdjęcie klasowe | „Twoje zamówienie zdjęć wygasa” | Płatności na skopiowanej stronie |
| Konto dziennika elektronicznego | „Twój dostęp zostanie zablokowany, zaloguj się ponownie” | Danych logowania używanych też gdzie indziej |
Dwie tendencje zasługują na szczególną uwagę.
Pierwsza to oszustwo na pomoc finansową. Wiadomości zapowiadają wyrównanie zasiłku na start roku szkolnego, „dopłatę do stołówki” albo świadczenie do odebrania z urzędu. Zasada jest ta sama, co przy fałszywych zwrotach z instytucji publicznych: obiecuje się pieniądze, by zdobyć numer konta i dokument tożsamości, które posłużą później do zaciągnięcia kredytu lub przechwycenia prawdziwych wypłat. Powiedzmy to jasno: świadczenia na wyprawkę szkolną wypłacane są automatycznie uprawnionym rodzinom, bez żadnych formalności przez SMS i bez linków do kliknięcia.
Druga to pilna wiadomość rzekomo wysłana przez placówkę: „incydent w szkole, zapoznaj się z komunikatem dla rodzin”, wraz z linkiem. Ten pretekst nie prosi o pieniądze. Chodzi o zainstalowanie aplikacji albo przechwycenie danych logowania, przy wykorzystaniu emocji, które zwierają obwód wszelkiego rozumowania. Żadna szkoła nie przekazuje alertu bezpieczeństwa przez zewnętrzny link wysłany z nieznanego numeru komórkowego.
Co czyni te wiadomości wiarygodnymi
Nazwa nadawcy niczego nie dowodzi
Wiele takich SMS-ów wyświetla się z tekstową nazwą nadawcy — „SZKOŁA”, „STOŁÓWKA”, „URZĄD” — zamiast numeru. Takie podszycie się pod nagłówek, czyli spoofing, jest technicznie banalnie proste do wykonania przez niektóre międzynarodowe bramki SMS. Co gorsza: gdy wyświetlana nazwa odpowiada nadawcy już obecnemu w twojej historii, fałszywa wiadomość może wskoczyć do tej samej konwersacji, co prawdziwe SMS-y ze szkoły, tuż pod komunikatem otrzymanym tydzień wcześniej.
To właśnie odkrycie wywołuje u rodziców największe zdumienie. Wątek rozmowy nie jest dowodem autentyczności: telefon grupuje wiadomości według wyświetlanej nazwy, a nie zweryfikowanej tożsamości.
Dane osobowe też niczego nie dowodzą
Niektóre wiadomości podają imię dziecka, gminę, czasem nazwę szkoły. Wydaje się to niemożliwe bez dostępu do dokumentacji placówki — a jednak te dane krążą: wycieki od dostawców usług pozalekcyjnych, listy mailingowe stowarzyszeń, zapisy na zajęcia, media społecznościowe, gdzie rodzice co roku publikują zdjęcia i nazwy szkół. Znajomość imienia nie jest podpisem.
Zasada, która sprawdza się zawsze: prawdziwa informacja w wiadomości nie uwierzytelnia tej wiadomości. Dowodzi jedynie, że nadawca w taki czy inny sposób uzyskał do niej dostęp.
Kwota jest celowo śmiesznie niska
12,40 zł. 6,90 zł. 23 zł. Żądane sumy są tak skalibrowane, by nie wzbudzić nieufności: zbyt małe, by dzwonić w tej sprawie do urzędu, wystarczająco prawdopodobne, by odpowiadały kilku obiadom. Celem prawie nigdy nie jest to obciążenie. Celem jest wpisanie numeru karty, daty ważności i kodu CVV na skopiowanej stronie — dane te posłużą później do znacznie poważniejszych operacji, zatwierdzanych podstępem przez fałszywego doradcę, który zadzwoni do ciebie kilka dni później.
Weryfikacja w trzydzieści sekund
Nie musisz być ekspertem. Potrzebujesz jednego nawyku: nigdy nie korzystaj z drogi zaproponowanej w wiadomości.
- Nie klikaj w link. Nawet „tylko żeby zobaczyć”. Niektóre strony próbują automatycznie pobrać plik na Androidzie.
- Sam otwórz znany ci portal. Przez zainstalowaną wcześniej aplikację, zapisaną zakładkę albo wpisując adres urzędu. Jeśli zaległość naprawdę istnieje, zobaczysz ją tam.
- Zadzwoń do sekretariatu szkoły lub wydziału oświaty urzędu miasta pod numer widniejący na papierowym dokumencie otrzymanym na początku roku, nigdy pod numer podany w SMS-ie.
- Sprawdź domenę linku bez jego otwierania, przytrzymując go dłużej, by wyświetlić adres URL. Oficjalne adresy kończą się rozpoznawalną domeną instytucji lub znanego operatora — nie egzotycznymi końcówkami ani przydługimi nazwami domen.
- Zapytaj innego rodzica. Wiadomość do trójki klasowej często wystarczy, by w trzydzieści sekund ustalić, czy cała klasa dostała ten sam SMS.
Ten ostatni punkt jest niedoceniany. Kampanie szkolnego smishingu są masowe: jeśli sąsiad z piętra dostał tę samą wiadomość, a jego dziecko chodzi do innej szkoły, wątpliwości znikają natychmiast.
Czynnik pogarszający sprawę: telefon dziecka
Wrzesień to także miesiąc, w którym wiele dzieci dostaje swoje pierwsze urządzenie. A oszukańcze wiadomości nie zatrzymują się na rodzicach: nastolatki otrzymują własne wersje — fałszywe kody do gier, fałszywe oferty abonamentów, fałszywe wygrane w konkursach — i statystycznie klikają szybciej.
Trzy środki ostrożności warte więcej niż długie kazanie:
- Skonfiguruj filtrowanie nieznanych nadawców w aplikacji Wiadomości (zarówno Android, jak i iOS oferują automatyczne sortowanie wiadomości od niezapisanych nadawców).
- Wyłącz instalowanie aplikacji spoza oficjalnego sklepu na urządzeniach z Androidem.
- Zapewnij fizyczny nośnik na hasła: notes na hasła trzymany w domu pozostaje dla wielu rodzin bezpieczniejszy niż plik „kody.txt” w notatkach telefonu.
A jeśli urządzenie ma służyć do bardzo ograniczonego użytku, prosty telefon komórkowy z dużymi klawiszami, bez przeglądarki i możliwości instalowania aplikacji, mechanicznie zmniejsza powierzchnię ataku — pułapka może dotrzeć, ale nigdzie nie prowadzi. To także rozwiązanie, po które sięga wiele rodzin dla dziadka lub babci, którzy dostają te same wiadomości, nie mając punktów odniesienia, by je odsiać.
Zabezpiecz urządzenie, które odbiera te wiadomości
Smartfon będący jedyną furtką do rodzinnego życia administracyjnego zasługuje na kilka elementarnych, często zaniedbywanych zabezpieczeń sprzętowych.
Aktualizuj system. Większość stron phishingowych żeruje na łatwowierności, a nie na lukach — ale te, które próbują zainstalować oprogramowanie szpiegujące, celują w stare, niezałatane wersje.
Chroń ekran i obudowę. Pęknięty telefon prędzej czy później wymieniamy w pośpiechu, często odzyskując kopie zapasowe na łapu-capu i instalując aplikacje na chybił trafił: właśnie wtedy wkradają się błędy bezpieczeństwa. Szkło hartowane na ekran i wstrząsoodporne etui nie są szczytem elegancji, ale pozwalają uniknąć takiej gorączkowej przesiadki.
Pilnuj zasięgu baterii. Urządzenie, które padnie w złym momencie, odcina cię od aplikacji bankowych i uwierzytelniania dwuskładnikowego — dokładnie wtedy, gdy trzeba coś sprawdzić. Kompaktowy powerbank w torbie rozwiązuje problem na cały szkolny dzień.
Jeśli kliknąłeś albo zapłaciłeś
Najgorszym odruchem jest milczenie ze wstydu. Te wiadomości są projektowane przez zawodowców tak, by oszukać uważnych ludzi; danie się złapać nie świadczy o braku inteligencji.
W ciągu godziny:
- Skontaktuj się z bankiem, zastrzeż użytą kartę i zgłoś transakcję.
- Zmień hasło do danego portalu oraz do każdej innej usługi, w której używałeś tego samego.
- Nie odbieraj żadnych połączeń przychodzących od osób podających się za twój bank: fałszywy doradca dzwoni niemal zawsze po wpisaniu danych.
W kolejnych dniach:
- Zgłoś wiadomość operatorowi lub na oficjalną platformę zgłaszania oszukańczych SMS-ów działającą w twoim kraju (we Francji jest to 33700 — przekaż SMS na numer 33700, a następnie wyślij numer nadawcy, gdy zostaniesz o to poproszony).
- Złóż zawiadomienie o przestępstwie, online lub na komisariacie. Potwierdzenie zgłoszenia bank często traktuje jako wymóg.
- Skorzystaj z Cybermalveillance.gouv.fr, które oferuje kierowaną diagnozę i wskazuje odpowiednie kroki, oraz z bezpłatnej infolinii Info Escroqueries (0 805 805 817).
- Powiadom szkołę: może ona ostrzec pozostałe rodziny, co ucina kampanię o wiele skuteczniej niż pojedyncze zgłoszenie.
Francuski artykuł L. 133-18 kodeksu monetarnego i finansowego przewiduje zwrot nieautoryzowanych transakcji, z wyjątkiem rażącego niedbalstwa klienta. Dobrowolne podanie kodów na oszukańczej stronie banki często kwalifikują jako niedbalstwo, ale orzecznictwo ewoluowało na korzyść ofiar przekonującego spoofingu. Nalegaj i nie wahaj się zwrócić do rzecznika finansowego w razie odmowy.
Odruch, który warto wyrobić raz na zawsze
Początek roku szkolnego minie, a pretekst się zmieni: Halloween, prezenty na Boże Narodzenie, styczniowe zapisy, wiosenne wycieczki szkolne. Nie zmieni się natomiast struktura pułapki.
Prawdziwa instytucja + krótki termin + niewielka kwota + link. Gdy tylko te cztery elementy współistnieją w jednej wiadomości, uznaj ją za fałszywą do czasu udowodnienia czegoś przeciwnego — a dowodu szukaj gdzie indziej niż w samej wiadomości.
Wytłumacz to dzieciom, rodzicom, innym rodzinom z klasy. Popularnonaukowa książka o cyberbezpieczeństwie rodzinnym może pomóc położyć podwaliny w rozmowie z nastolatkami, ale sedno mieści się w jednym zdaniu, które każdy zapamięta: wiadomości nigdy nie weryfikuje się wiadomością.
A jeśli musisz szybko ostrzec innych rodziców, że krąży taka kampania, w zupełności wystarczy zwykły SMS wysłany z serwisu internetowego, bez instalowania czegokolwiek. Najlepszą zbiorową obroną przed kampanią smishingową wciąż pozostaje szybkość, z jaką informacja krąży między sąsiadami z klatki.
