„DZIEN DOBRY, Panstwa urzadzenie (zgloszenie RP-77421) zostalo odebrane i wycenione na 189 EUR. Potwierdz dane bankowe, aby uruchomic przelew w ciagu 48h: https://reprise-mobile-validation.net/rp77421"
Ten SMS niczym nie grozi. Żadnej kary, żadnego zablokowanego konta, żadnej przesyłki wstrzymanej na granicy. Wręcz przeciwnie: przynosi dobrą wiadomość. Twój stary telefon, ten, który dziesięć dni temu zapakowałeś do kartonu, jest wart 189 euro, a pieniądze są już w drodze. Została tylko jedna formalność: podać numer konta, na który ma trafić przelew.
I właśnie dlatego ten SMS działa lepiej niż większość pozostałych. Najbardziej dochodowe oszustwa to nie te, które straszą. To te, które trafiają dokładnie w momencie, gdy spodziewasz się takiej wiadomości, i których treść wygląda łudząco podobnie do tego, czego oczekiwałeś.
Dlaczego skup telefonów stał się terenem łowów
W ciągu kilku lat odsprzedaż starego smartfona stała się masowym odruchem. Premia za oddanie starego urządzenia u operatora przy przedłużeniu umowy, program odkupu u producenta, platformy specjalizujące się w urządzeniach odnowionych, automaty w galeriach handlowych, bony zakupowe w hipermarketach – kanałów jest coraz więcej, a każdy działa według własnych zasad.
Zadaj sobie szczere pytanie. Jeśli dwa tygodnie temu wysłałeś urządzenie, czy potrafisz wymienić z pamięci:
- dokładną nazwę firmy, która je odkupuje (często pośrednika, o którym nigdy nie słyszałeś przed złożeniem zamówienia);
- numer zgłoszenia przypisany do Twojej przesyłki;
- kwotę ostatecznie przyjętą po wycenie, która niemal zawsze różni się od szacunku z internetu;
- zapowiedziany termin wypłaty i jej formę: przelew, bon zakupowy, rabat na fakturze, PayPal;
- adres e-mail lub numer, z którego platforma się kontaktuje?
W ogromnej większości przypadków – nie. I to właśnie tę dziurę informacyjną wypełnia oszust. Nie musi wiedzieć, do której platformy wysłałeś urządzenie. Rozsyła wiadomość na dziesiątki tysięcy numerów, wiedząc, że niewielka część odbiorców znajduje się w tym momencie w idealnym okienku oczekiwania.
Rynek odnowionych urządzeń ma jeszcze jedną cechę: jest szlachetny i pozytywnie kojarzony. Mówi się o nim w kategoriach gospodarki obiegu zamkniętego, ekologii, zdrowego rozsądku. Efekt: czujność spada. Nikt nie myśli: „uwaga, skup telefonów to coś podejrzanego".
Anatomia wiadomości
W obiegu są trzy główne warianty, które mają różne cele końcowe.
1. Prośba o IBAN „w celu uruchomienia przelewu"
To najbardziej bezpośrednia wersja. Link prowadzi do formularza w wiarygodnej szacie graficznej, który żąda imienia, nazwiska, adresu, a potem pełnego numeru IBAN i czasem dokumentu tożsamości „w celu spełnienia wymogów przeciwdziałania praniu pieniędzy".
Wiele ofiar uspokaja się logicznym, ale błędnym rozumowaniem: „numer konta służy tylko do otrzymywania pieniędzy". W rzeczywistości IBAN powiązany z Twoim nazwiskiem, adresem i skanem dokumentu tożsamości to bardzo kompletny zestaw do kradzieży tożsamości. Pozwala próbować oszukańczych poleceń zapłaty SEPA, otwierać konta lub abonamenty na Twoje nazwisko, a przede wszystkim budować dossier do inżynierii społecznej, które uczyni późniejszy telefon od „Twojego banku" wyjątkowo wiarygodnym.
2. Fałszywa „dopłata do kosztów" lub „nadpłata"
Wariant bardziej przewrotny: tłumaczą Ci, że urządzenie dotarło z ekranem w gorszym stanie niż zgłoszony, że „zaliczka" została już wypłacona przez pomyłkę i że trzeba uregulować 3,90 euro opłaty administracyjnej. Mała kwota rozbraja czujność. Nie chodzi jednak o te 3,90 euro: chodzi o wpisanie numeru karty płatniczej na stronie płatności, po którym często następuje przechwycone żądanie uwierzytelnienia 3-D Secure.
3. Fałszywy „problem z identyfikacją przesyłki"
Tutaj mówią Ci, że paczka dotarła, ale urządzenie jest zablokowane i trzeba „wyłączyć zabezpieczenie" albo podać dane logowania do konta Apple lub Google, żeby dokończyć wycenę. Cel: przejęcie całego konta internetowego. To zdecydowanie najbardziej szkodliwa wersja, bo takie konto często zawiera zdjęcia, kontakty, kopie zapasowe i metody płatności.
Żadna poważna platforma skupu nigdy nie poprosi Cię – ani SMS-em, ani e-mailem – o dane logowania do konta Apple, Google czy Samsung. Odblokowanie wykonujesz samodzielnie, przed wysyłką, we własnych ustawieniach.
Sygnały, które nie zawodzą
Fałszywe SMS-y o skupie mają szereg niemal niezmiennych cech charakterystycznych.
| Sygnał | Co robi prawdziwa platforma | Co robi oszustwo |
|---|---|---|
| Nadawca | Krótka nazwa marki lub spójny numer, wiadomość do odnalezienia w panelu klienta | Numer komórkowy, numer zagraniczny lub nazwa nadawcy „na niby" |
| Link | Oficjalna domena marki, czasem brak linku w ogóle | Domena-zlepek: reprise-mobile-validation.net, rachat-mon-tel-fr.com |
| Dane bankowe | Już podane podczas składania zamówienia, w panelu klienta | Żądane w pośpiechu przez zewnętrzny formularz |
| Ton | Informacyjny, bez odliczania czasu | „w ciągu 48h", „ostatnie przypomnienie", „zgłoszenie anulowane bez odpowiedzi" |
| Kwota | Odpowiada Twojej wycenie, rozpisana w raporcie z ekspertyzy | Okrągła, pochlebna, często wyższa niż się spodziewałeś |
| Ortografia | Poprawne znaki diakrytyczne, czysty układ tekstu | Brak polskich znaków, dziwne wielkie litery, spacje przed kropkami |
Brak znaków diakrytycznych to powracająca wskazówka, ale nie polegaj na niej bezkrytycznie: zestawy narzędzi do smishingu się profesjonalizują i coraz więcej wiadomości jest napisanych nienaganną polszczyzną. Instytucje zajmujące się cyberbezpieczeństwem regularnie przypominają w swoich materiałach o phishingu SMS-owym: jedynym naprawdę wiarygodnym kryterium jest weryfikacja kanałem, który wybierasz samodzielnie.
Odruch, który warto wyrobić raz na zawsze
Da się go streścić w jednym zdaniu: nigdy nie weryfikuj wiadomości z samej wiadomości.
- Nie klikaj. Nawet żeby „zobaczyć, jak to wygląda".
- Otwórz historię zamówień. Nie link z SMS-a: swój pierwotny e-mail z potwierdzeniem albo aplikację platformy, którą sam zainstalowałeś.
- Porównaj numer zgłoszenia. Jeśli nie zgadza się dokładnie, sprawa zamknięta.
- Sprawdź status przesyłki u przewoźnika, na jego własnej stronie. Jeśli urządzenie jest jeszcze w drodze, żadna wycena nie mogła się odbyć.
- Zadzwoń do obsługi klienta na numer widniejący na Twojej fakturze, nigdy na ten z SMS-a.
- Zgłoś wiadomość pod numer 8080 (bezpłatny, oficjalny numer do zgłaszania podejrzanych SMS-ów), przekazując treść wiadomości. Możesz też zgłosić incydent zespołowi CERT Polska.
Jeśli pomagasz w takich sprawach starszemu rodzicowi, wydrukuj mu te sześć kroków i wsuń kartkę tam, gdzie przegląda dokumenty. Zwykły, dobry papierowy notes położony przy telefonie stacjonarnym pozostaje najskuteczniejszym narzędziem, by w chwili wysyłki zapisać nazwę firmy, numer zgłoszenia i zapowiedzianą kwotę. Trzy odręczne linijki wystarczą, by rozbroić całe oszustwo, bo zatykają właśnie tę dziurę informacyjną.
Przed wysyłką: przygotowanie urządzenia to już ochrona
Duża część tego typu oszustw udaje się tylko dlatego, że zgłoszenie do skupu zostało źle przygotowane. Kilka czynności wykonanych w odpowiedniej kolejności czyni fałszywy SMS nieszkodliwym.
Zrób kopię, potem odłącz konto
- Wykonaj pełną kopię zapasową. Przenośny dysk zewnętrzny pozwala zachować lokalną kopię zdjęć i dokumentów niezależną od chmury – przydatną właśnie w dniu, gdy konto zostanie przejęte.
- Odłącz konto Apple, Google lub Samsung i wyłącz lokalizację urządzenia. To Twoja odpowiedzialność, nie skupującego. Telefon wciąż powiązany z Twoim kontem jest dla serwisu bezużyteczny, a to wymarzony pretekst do fałszywych wiadomości o „odblokowaniu".
- Dezaktywuj eSIM lub wyjmij fizyczną kartę SIM, a także kartę pamięci.
- Wykonaj przywracanie do ustawień fabrycznych, a potem włącz urządzenie ponownie, by sprawdzić, czy startuje na ekranie pierwszej konfiguracji.
Udokumentuj rzeczywisty stan
Fałszywa „dopłata do kosztów" opiera się na niejasności: nie potrafisz dowieść, w jakim stanie urządzenie wyjechało. Sfotografuj je ze wszystkich stron, z włączonym ekranem, przed zapakowaniem. Zapisz numer IMEI, widoczny w ustawieniach lub na oryginalnym opakowaniu.
Do wysyłki odpowiednio dobrana koperta bąbelkowa i solidne zabezpieczenie wnętrza zapobiegają uszkodzeniom w transporcie – które byłyby już prawdziwym powodem obniżenia wyceny. Zachowaj potwierdzenie nadania od przewoźnika do momentu faktycznej wypłaty.
Chroń telefon, który zostaje u Ciebie
Jeden szczegół często umyka: wartość odkupu zależy przede wszystkim od stanu ekranu i kondycji baterii. W przypadku urządzenia, które właśnie kupiłeś, szkło hartowane nałożone pierwszego dnia i solidne etui antywstrząsowe radykalnie zmieniają wycenę uzyskaną dwa czy trzy lata później. Jest to korzystne ekonomicznie i – pośrednio – stanowi ochronę: mniej awarii, mniej wizyt w serwisie, mniej okienek niepokoju, w które może wślizgnąć się oszust.
Jeśli już odpowiedziałeś
Bez paniki, ale z metodą. Kolejność ma znaczenie.
Podałeś numer IBAN. Powiadom swój bank, poproś o monitorowanie konta i – w zależności od sytuacji – o ustawienie listy dozwolonych poleceń zapłaty SEPA. Sprawdzaj wyciągi co tydzień przez dwa miesiące: oszukańcze obciążenia to często małe kwoty testowane przed większą operacją. Nieautoryzowane polecenie zapłaty SEPA można reklamować w banku w terminie 13 miesięcy (8 tygodni bez podawania szczególnego uzasadnienia): to prawo przewidziane w przepisach europejskich.
Wpisałeś dane karty płatniczej. Natychmiast zablokuj kartę, a potem zażądaj zwrotu środków. Europejska dyrektywa o usługach płatniczych (PSD2) ustanawia zasadę zwrotu kwot nieautoryzowanych transakcji.
Podałeś dane logowania do konta. Zmień hasło z innego urządzenia, wyloguj wszystkie aktywne sesje, włącz mocne uwierzytelnianie dwuskładnikowe. Wybierz aplikację uwierzytelniającą lub fizyczny klucz bezpieczeństwa, a nie zwykły kod SMS, podatny na atak SIM swap.
W każdym przypadku. Złóż zawiadomienie na policji, nawet jeśli nic nie zostało pobrane: bank i ubezpieczyciel często tego wymagają. Zgłoś numer pod 8080 i zachowaj zrzut ekranu SMS-a z datą.
Co to oszustwo mówi o pozostałych
Fałszywy SMS o skupie telefonu nie jest odosobnioną dziwnością. To ilustracja mechanizmu obecnego we wszystkich rodzinach smishingu: oszust nie tworzy sytuacji, lecz wprasza się w sytuację, która już istnieje. Oczekiwana przesyłka, trwająca naprawa, zmiana operatora, sprzedaż samochodu, koniec umowy najmu. Za każdym razem, gdy jakaś sprawa angażuje kilka stron, ma nieostre terminy i obiecaną wypłatę, otwiera się okienko.
Stąd prosta zasada, którą warto przekazać otoczeniu, także osobom najmniej obytym z techniką: wiadomość, która obiecuje Ci pieniądze i w tym samym SMS-ie prosi o dane bankowe, należy w każdym przypadku zignorować. Kwota, która rzeczywiście Ci się należy, i tak do Ciebie dotrze, bez konieczności klikania w cokolwiek. Dla bliskich, którzy chcą ograniczyć powierzchnię narażenia, telefon komórkowy z dużymi klawiszami bez przeglądarki internetowej po prostu likwiduje możliwość kliknięcia w pułapkę – pragmatyczne rozwiązanie, gdy korzystanie ogranicza się do rozmów i SMS-ów.
Urządzenia odnowione to dobry pomysł. Odsprzedaż starego sprzętu również. Wystarczy mieć trzy informacje zapisane gdzieś na papierze i nigdy nie weryfikować wiadomości z samej wiadomości. Dwa nawyki – i cała ta rodzina oszustw się rozsypuje.
