„DGFiP: po ponownym przeliczeniu twojej decyzji podatkowej przysługuje ci nadpłata w wysokości 284,17 €. Podaj swoje dane przed 18/09: impots-remboursement-gouv[.]net"
W tej wiadomości nie ma się czego bać. Żadnej groźby, żadnej zablokowanej paczki, żadnej mandatowej kary, która się podwaja, żadnego spanikowanego doradcy bankowego po drugiej stronie słuchawki. Po prostu suma pieniędzy, która należy do ciebie i którą proponuje ci się odzyskać. I właśnie dlatego jest to tak groźne.
Zdecydowana większość kampanii prewencyjnych przeciwko smishingowi odwołuje się do rejestru strachu: fałszywa paczka, fałszywy mandat, fałszywy debet. Uczy się odbiorców nieufności wobec lękotwórczej pilności. Nikt albo prawie nikt nie uczy nieufności wobec dobrej wiadomości. Oszuści zrozumieli to już dawno temu.
Przynęta zwrotu: odwrócony mechanizm psychologiczny
Klasyczne oszustwa wywołują reakcję stresową. Stres sprawia, że klikamy szybko, ale u wielu osób uruchamia też odruch weryfikacji: dzwonimy do partnera, szukamy w internecie, sprawdzamy oficjalne śledzenie przesyłki. Strach jest złym doradcą, ale jest głośny – alarmuje otoczenie.
Perspektywa zwrotu pieniędzy działa odwrotnie. Buduje atmosferę zaufania i dyskrecji. Nie dzwonimy do córki, żeby jej oznajmić, że dostaniemy 284 €. Nie pytamy kolegi z pracy: „ty też to dostałeś?". Po prostu myślimy sobie: no tak, to logiczne, w tym roku przecież zmieniła mi się sytuacja.
Splatają się tu trzy dobrze udokumentowane w psychologii decyzji błędy poznawcze:
- Efekt potwierdzenia: większość gospodarstw domowych ma w którymś momencie mgliste poczucie, że za coś przepłaciła. Wiadomość potwierdza wcześniejszą intuicję, nie tworzy jej.
- Reguła wzajemności: instytucja, która oddaje ci pieniądze, jawi się jako życzliwa. Niechętnie podejrzewamy dobroczyńcę.
- Niska czujność wobec średnich kwot: 284 € to ani nie tyle, by wydawało się zbyt piękne, by było prawdziwe, ani nie tak mało, by zrezygnować z formalności. Oszuści bardzo starannie kalibrują tę liczbę.
Cybermalveillance.gouv.fr, francuski krajowy system pomocy ofiarom, od kilku lat z rzędu klasyfikuje phishing na pierwszym miejscu wśród powodów zgłoszeń osób prywatnych, niezależnie od kanału. A wśród wykorzystywanych pretekstów zwrot pieniędzy zajmuje strukturalnie mocną pozycję, bo daje się przetwarzać w nieskończoność: podatki, ubezpieczenie zdrowotne, świadczenia rodzinne, składki, dostawca energii, operator telefoniczny, linia lotnicza, autostrada.
Kalendarz podatkowo-socjalny: grafik pracy oszustów
Oszustwo na zwrot nigdy nie pojawia się przypadkowo. Dopasowuje się do administracyjnego kalendarza, bo wiarygodna wiadomość to wiadomość, która przychodzi w odpowiednim momencie.
| Okres | Najczęstszy pretekst | Dlaczego to działa |
|---|---|---|
| Lipiec – wrzesień | Decyzja podatkowa, nadpłata DGFiP | Przychodzą prawdziwe decyzje, a wraz z nimi korekty |
| Wrzesień – październik | Początek roku szkolnego: zasiłki, stypendia | Nasilenie formalności rodzinnych |
| Listopad – styczeń | Rozliczenie rachunku za energię | Odczyty roczne i zmiany taryf |
| Cały rok | Zwrot z ubezpieczenia zdrowotnego | Stały strumień rozliczeń |
| Po przeprowadzce | Nadpłata u operatora lub ubezpieczyciela | Prawdziwe wypowiedzenia umów i rozliczenia proporcjonalne |
Zasada jest prosta: jeśli w tym miesiącu czekasz na pismo z jakiejś instytucji, oszust też o tym wie. Nie celuje w ciebie osobiście, celuje statystycznie w miliony osób, z których część rzeczywiście czeka na taką wiadomość. Przy masowej wysyłce kilka procent zbiegów okoliczności wystarczy, by operacja się opłaciła.
Techniczna pułapka: dlaczego „płacisz" za to, by dostać zwrot
Tu wkracza najbardziej nieintuicyjna część scenariusza – ta, która łapie nawet osoby uważne. Fałszywa strona nie prosi o pieniądze. Prosi o to, gdzie te pieniądze wysłać. Czyli o twoje dane bankowe – a bardzo często o znacznie więcej.
Typowa ścieżka obejmuje cztery ekrany:
- Identyfikacja: nazwisko, imię, data urodzenia, adres, czasem numer identyfikacji podatkowej lub numer ubezpieczenia. Pozornie nic niepokojącego, instytucja przecież powinna cię znać.
- Dane bankowe: numer rachunku, a następnie „dla przelewu natychmiastowego" numer karty, data ważności i kod z tyłu. To moment przełomowy: żadna instytucja publiczna nigdy nie zwraca pieniędzy na kartę płatniczą.
- Numer telefonu: przedstawiony jako niezbędny do potwierdzenia. W rzeczywistości pozwoli oszustowi zadzwonić do ciebie później, podając się za twój bank.
- Zatwierdzenie: drobne obciążenie „weryfikacyjne" na 1 € lub 2 €, rzekomo w celu „przetestowania" karty. Ta płatność uruchamia w istocie dodanie twojej karty do cyfrowego portfela oszusta.
Ten ostatni etap jest najnowocześniejszy i najmniej znany. Od czasu upowszechnienia silnego uwierzytelniania narzuconego przez europejską dyrektywę PSD2 sam numer karty nie wystarcza już do obciążenia konta: trzeba zatwierdzić operację w aplikacji bankowej. Oszuści przesunęli więc swój cel. Nie próbują już płacić bezpośrednio twoją kartą, lecz dodać ją do telefonu, który należy do nich, by potem płacić zbliżeniowo w sklepach, całkiem dyskretnie, dopóki się nie zorientujesz.
Stąd telefon, który często następuje po formularzu – po kilku minutach lub kilku godzinach: spokojny, profesjonalny głos prosi cię o „zatwierdzenie powiadomienia, które właśnie otrzymałeś". Zatwierdzasz. Właśnie autoryzowałeś dodanie karty.
Siedem sygnałów, które zdradzają fałszywy SMS o zwrocie
Żadna z tych wskazówek sama w sobie nie przesądza sprawy. Dwie z nich razem wystarczą, by zakwalifikować wiadomość.
- Link, który nie kończy się na
.gouv.fr. Strony francuskiej administracji zawsze kończą się na.gouv.fr, nigdy na-gouv.net,gouv-fr.comczyimpots-service.info. Myślnik to ulubione przebranie fałszywej domeny. - Precyzyjna kwota z groszami. Ma imitować księgową dokładność. Prawdziwe powiadomienia DGFiP zresztą w ogóle nie podają kwot SMS-em.
- Prośba o dane bankowe. Urząd skarbowy, kasa świadczeń rodzinnych, ubezpieczenie zdrowotne i instytucja składkowa już znają twój numer rachunku: podałeś go przy załatwianiu spraw. Nikt nie prosi o niego ponownie SMS-em.
- Krótki termin. Legalny zwrot nie przedawnia się w 72 godziny. To sztuczna pilność, przeniesiona z rejestru strachu.
- Słowo „kod CVV", „CVC" albo „trzy cyfry z tyłu karty". Ten kod służy wyłącznie do płacenia, nigdy do otrzymywania pieniędzy.
- Podrobiony nadawca alfanumeryczny. Fałszywa wiadomość może wyświetlić się pod wiarygodną nazwą nadawcy, a czasem wpaść do wątku rozmowy z prawdziwą instytucją. Wątek konwersacji nie jest więc dowodem autentyczności.
- Niemal bezbłędna pisownia. Rażące błędy zniknęły. Nie szukaj już literówki: szukaj domeny.
Zasada przetrwania, obowiązująca przy każdym SMS-ie od instytucji: nigdy nie klikamy w wiadomości, zawsze wracamy własnymi drogami na oficjalną stronę – impots.gouv.fr, caf.fr, ameli.fr, urssaf.fr – albo do aplikacji już zainstalowanej w telefonie. Jeśli zwrot istnieje, będzie tam widoczny. Jeśli go tam nie ma, to nie istnieje.
Kto jest najbardziej narażony i dlaczego
Emeryci i osoby mniej obeznane z cyfrowym światem
Pobór podatku u źródła sprawił, że dla wielu gospodarstw domowych opodatkowanie stało się mniej przejrzyste: nie zawsze wiadomo, ile się płaci i za co. Zapowiedź korekty wydaje się więc prawdopodobna. Dochodzi czynnik praktyczny: odczytanie skróconego adresu internetowego na małym ekranie jest obiektywnie trudne. Wiele rodzin rozwiązuje część problemu, trwale powiększając czcionkę na telefonie albo instalując regulowany uchwyt do telefonu obok fotela, żeby ekran można było czytać z właściwej odległości, a nie na wyciągnięcie ręki. Wyraźne zobaczenie nazwy domeny to już połowa czujności.
Studenci i młodzi pracujący
Stypendia, dodatki mieszkaniowe, dopłaty do przeprowadzki, zwroty za transport: ta grupa łączy liczne drobne przepływy administracyjne z silnym przyzwyczajeniem do robienia wszystkiego przez telefon. Zapowiedziany przelew na 120 € wydaje się tam zupełnie zwyczajny.
Samozatrudnieni i mikroprzedsiębiorcy
Naprawdę dostają wiadomości od instytucji składkowych, naprawdę wymieniają się numerami rachunków i zarządzają płynnością z dnia na dzień. Fałszywa „nadpłata składek" znajduje tu idealny grunt. Dla nich rozdzielenie zastosowań to realny zysk bezpieczeństwa: drugi telefon przeznaczony wyłącznie do działalności zawodowej albo co najmniej karta SIM na kartę zarezerwowana dla kontaktów urzędowych mechanicznie zmniejsza powierzchnię narażenia.
Co zrobić, jeśli już kliknąłeś albo podałeś swoje dane
Liczy się czas, a nie wstyd. Oto kolejność priorytetów.
- Natychmiast zastrzeż kartę w swoim banku, przez aplikację albo pod numerem widniejącym na odwrocie karty – nigdy pod numerem otrzymanym SMS-em. We Francji międzybankowa infolinia do blokowania kart działa całodobowo pod numerem 0 892 705 705.
- Sprawdź dodane urządzenia w swoim serwisie bankowym: większość banków wyświetla dziś listę telefonów powiązanych z kartą na potrzeby płatności mobilnych. Usuń każde nieznane urządzenie.
- Zmień hasła do zagrożonych kont, jeśli używałeś tego samego hasła gdzie indziej. Papierowy notes na hasła trzymany w domu pozostaje dla wielu gospodarstw domowych rozwiązaniem bardziej realistycznym niż zapamiętywanie na oko – pod warunkiem, że nigdy się go nie fotografuje ani nie nosi ze sobą.
- Zgłoś wiadomość. Numer 33700 to oficjalna francuska usługa zgłaszania niechcianych i oszukańczych SMS-ów: przekaż wiadomość na 33700, a następnie wyślij numer nadawcy, gdy serwis o to poprosi. Możesz też zgłosić fałszywy adres na platformie Phishing Initiative i zgłosić sprawę na oficjalnym portalu zgłoszeniowym ministerstwa spraw wewnętrznych.
- Złóż zawiadomienie na komisariacie policji lub posterunku żandarmerii, jeśli doszło do obciążenia konta. To warunek często wymagany, by uzyskać zwrot środków.
- Zażądaj zwrotu pieniędzy. Francuski kodeks monetarny i finansowy przewiduje, że w przypadku nieautoryzowanej transakcji płatniczej bank zwraca środki posiadaczowi, chyba że dopuścił się on rażącego niedbalstwa. Banque de France oraz organ nadzoru ostrożnościowego (ACPR) wielokrotnie przypominały, że sam fakt padnięcia ofiarą manipulacji nie stanowi automatycznie takiego rażącego niedbalstwa. Jeśli bank odmawia, zwróć się do jego rzecznika (mediatora).
Jak trwale zmniejszyć ryzyko, nie popadając w paranoję
Celem nie jest nieufność wobec wszystkiego, ale ułatwienie sobie wątpienia. Wystarczy kilka nawyków.
- Zainstalować oficjalne aplikacje (impots.gouv, ameli, CAF – Mon Compte) i wyrobić odruch sprawdzania w nich, a nie w linku. To gest, który sam w sobie neutralizuje 90% takich kampanii.
- Włączyć bankowe powiadomienia w czasie rzeczywistym dla każdej operacji, w tym drobnych kwot: to obciążenie na 1 € zdradza oszukańcze dodanie karty.
- Aktualizować telefon, zarówno system, jak i przeglądarkę. Wbudowane filtry antyphishingowe blokują część zgłoszonych domen.
- Nie pozwalać, by o decyzjach decydował poziom baterii. Niemała część impulsywnych kliknięć zdarza się, gdy chcemy „szybko to załatwić", zanim telefon się wyłączy. Kompaktowy powerbank w torbie to także zyskany czas do namysłu.
- Rozmawiać o otrzymanych próbach oszustwa. Głównym czynnikiem ochronnym we wszystkich badaniach nad oszustwami pozostaje fakt, że rozmawiało się o tym z kimś. Popularna książka o cyberbezpieczeństwie na co dzień, zostawiona na stole w salonie, otwiera więcej rodzinnych rozmów niż długie kazanie.
I wreszcie zdanie, które warto zapamiętać i przekazać dalej, zwłaszcza rodzicom i dziadkom: żadna francuska instytucja publiczna nigdy nie poprosi cię o numer karty płatniczej, żeby przelać ci pieniądze. Zwrot następuje przelewem, na już znany numer rachunku, i nie musisz w tej sprawie nic robić. Każda wiadomość, która odbiega od tej zasady, to oszustwo – niezależnie od logo, tonu czy zapowiadanej kwoty.
Dobra wiadomość, ta prawdziwa, jest taka, że to oszustwo rozsypuje się w chwili, gdy się je nazwie. Nie opiera się na żadnym technicznym wyczynie: wyłącznie na tym, że nauczono nas nieufności wobec gróźb, a nigdy wobec prezentów.
