Pilny komunikat PKO BP. Alarm dla wszystkich klientów

Największy bank w Polsce wydał pilny apel do wszystkich klientów. Oszuści wykorzystują sztuczną inteligencję do tworzenia fałszywych dokumentów tożsamości pracowników bankowych, które wyglądają niemal jak prawdziwe. Wystarczy jedno kliknięcie, by stracić oszczędności całego życia. Jeśli ostatnio otrzymałeś wiadomość z legitymacją pracownika banku, może to być początek wyrafinowanego oszustwa, które w grudniu zbiera żniwo wśród klientów polskich banków.

PKO Bank Polski ostrzega, że przestępcy uruchomili nową falę ataków wymierzonych bezpośrednio w klientów największej instytucji finansowej w kraju. Według komunikatu banku, oszuści wykorzystują narzędzia sztucznej inteligencji do generowania niezwykle przekonujących fałszywych legitymacji służbowych. Metoda działa tak skutecznie, że nawet ostrożni klienci dają się nabrać na ten podstęp. Bank wyraźnie zastrzega, że jego pracownicy nigdy nie wysyłają wizytówek ani legitymacji przez SMS czy e-mail.

Schemat ataku jest dopracowany w najdrobniejszych szczegółach. Wszystko zaczyna się od telefonu, podczas którego nieznana osoba informuje o rzekomej pożyczce zaciągniętej na twoje nazwisko lub podejrzanej transakcji na koncie. Suma często wynosi pięćdziesiąt pięć tysięcy złotych, choć kwoty mogą się różnić w zależności od ofiary. Oszust przedstawia się z imienia i nazwiska, podaje numer pracownika i wskazuje, że reprezentuje departament danych osobowych PKO BP. To klasyczny zabieg, którego celem jest wzbudzenie zaufania rozmówcy i osłabienie jego czujności.

Następnie, aby uwiarygodnić swoją tożsamość, przestępca przesyła SMS-em lub e-mailem spreparowaną legitymację służbową. Dokument wygląda profesjonalnie, zawiera zdjęcie, dane personalne i logo banku. Jak podaje portal CyberDefence24.pl, ofiary zgłaszają, że dzwoniący często mówi ze wschodnim akcentem, ale sama legitymacja jest na tyle przekonująca, że ludzie tracą czujność. W rzeczywistości żaden prawdziwy pracownik PKO BP nie wyśle ci takiego dokumentu. To pierwszy i najważniejszy sygnał ostrzegawczy, który powinieneś rozpoznać.

Fałszywe maile o „aktualizacji danych” zalały skrzynki

Druga metoda ataku polega na rozsyłaniu fałszywych wiadomości mailowych. Jak informuje CERT Polska oraz CSIRT KNF, oszuści używają sfałszowanego adresu e-mail, który zawiera końcówkę sugerującą powiązanie z bankiem, na przykład z dopiskiem „PKO” lub „IPKO”. Wiadomości mają różne warianty tytułów, przykładowo „Zaktualizuj swoje dane do szestnastego grudnia dwa tysiące dwudziestego piątego roku” lub „Potwierdzenie przelewu”. Bank podkreśla w swoim komunikacie, że nie jest autorem tych niebezpiecznych wiadomości.

Treść maila ostrzega, że karta płatnicza przestanie działać, jeśli natychmiast nie zaktualizujesz danych. Wiadomość zawiera link lub przycisk prowadzący na podrobioną stronę internetową, która łudząco przypomina autentyczną witrynę banku. Jak wyjaśnia portal RMF24.pl, jeśli wpiszesz tam swoje dane logowania do bankowości elektronicznej, trafiają one bezpośrednio w ręce oszustów, którzy mogą natychmiast przejąć kontrolę nad twoim kontem, wykonać nieautoryzowane przelewy czy zaciągnąć zobowiązania.

Według danych Związku Banków Polskich, na koniec pierwszego kwartału dwa tysiące dwudziestego czwartego roku już ponad dwadzieścia trzy miliony klientów logowało się do e-bankowości przynajmniej raz w miesiącu. Portal Biznesinfo.pl podaje, że liczba zgłoszeń cyberzagrożeń do CERT Polska w samym dwa tysiące dwudziestym czwartym roku przekroczyła sześćset tysięcy, z czego lwią część stanowił właśnie phishing. Wzrost popularności bankowości elektronicznej przyciąga coraz więcej cyberprzestępców, którzy nieustannie udoskonalają swoje metody.

„Bezpieczne konto” to pułapka na twoje pieniądze

Po zdobyciu zaufania ofiary oszuści przechodzą do kluczowej części ataku. Informują, że ze względów bezpieczeństwa, aby zabezpieczyć środki przed praniem pieniędzy, klient musi natychmiast przesłać je na tak zwane „bezpieczne konto” lub „konto techniczne”. To kompletna bzdura, którą bank stanowczo dementuje. Pracownicy PKO BP nigdy nie proszą o przesłanie pieniędzy na inne konto. Jeśli ktoś wydaje ci takie polecenie, masz do czynienia z oszustem, niezależnie od tego, jak przekonująco brzmi jego historia.

Alternatywną metodą jest nakłanianie do instalacji aplikacji zdalnego pulpitu, która rzekomo ma pomóc w zabezpieczeniu konta. Po zainstalowaniu takiego oprogramowania oszuści uzyskują pełną kontrolę nad twoim urządzeniem i mogą wykonywać operacje bankowe bez twojej wiedzy. Bank wyraźnie zaznacza, że jego konsultanci nigdy nie proszą o instalowanie dodatkowego oprogramowania, nie pytają o dane logowania, kody BLIK, pełne numery kart ani ich kody PIN.

Portal 26pietro.pl zwraca uwagę, że przestępcy często wywierają presję czasu, twierdząc że masz tylko dwie godziny na rozwiązanie rzekомego problemu, bo inaczej oszczędności całego życia znikną z konta. To celowy zabieg mający osłabić twoją czujność. Poprzez silne emocje takie jak panika, strach i lęk, starają się sprawić, byś zaczął posłusznie wykonywać polecenia, zamiast zastanowić się nad tym, co się właściwie dzieje.

Co to oznacza dla ciebie

Jeśli otrzymasz telefon od osoby podającej się za pracownika banku, nie działaj pod wpływem emocji. Spokój to twoja pierwsza linia obrony. Nawet jeśli na wyświetlaczu telefonu zobaczysz oficjalny numer infolinii PKO BP, nie oznacza to wcale, że dzwoni prawdziwy pracownik. Oszuści dysponują programami do podszywania się pod dowolne numery telefonów, co nazywa się spoofingiem. Mogą wpisać numer infolinii banku, a ty zobaczysz na ekranie, że dzwoni PKO BP, mimo że faktycznie dzwoni przestępca ze swojego telefonu.

Najważniejsza zasada brzmi: nigdy nie podawaj przez telefon danych logowania do bankowości elektronicznej, kodów BLIK, danych karty płatniczej ani kodu PIN. Prawdziwy pracownik banku nigdy o to nie poprosi. Nigdy też nie instaluj aplikacji przekazywanych przez rozmówcę i nie wykonuj przelewów na konta wskazywane podczas takiej rozmowy. Jeśli ktoś prosi cię o którekolwiek z tych działań, to oszust, bez względu na to, jak profesjonalnie brzmi jego historia.

Gdy odbierzesz podejrzany telefon, najlepszym rozwiązaniem jest natychmiastowe rozłączenie się i samodzielny kontakt z bankiem. Nie oddzwaniaj na numer, z którego przyszło połączenie. Zamiast tego wpisz w przeglądarce oficjalną stronę PKO BP lub zadzwoń na infolinię pod numer osiemset trzysta dwa trzysta dwa. To bezpłatny numer dla połączeń krajowych w Polsce. Możesz też potwierdzić tożsamość rozmówcy przez aplikację IKO, która służy właśnie do bezpiecznej weryfikacji kontaktu z bankiem.

Jeśli otrzymasz e-mail z linkiem lub przyciskiem, pod żadnym pozorem w niego nie klikaj. Bank PKO BP nigdy nie wysyła linków w swoich oficjalnych wiadomościach SMS ani e-mail. W przypadku ankiety AML, czyli przeciwdziałania praniu pieniędzy, bank pyta o dane tylko po zalogowaniu do serwisu iPKO lub aplikacji IKO, nigdy w wiadomości e-mail. Jeśli w polu nadawcy widzisz adres zawierający „PKO” lub „IPKO”, ale treść wiadomości zawiera link do logowania, to niemal na pewno oszustwo.

Warto też zwrócić uwagę na szczegóły techniczne. Oszuści często używają domen wyglądających podobnie do prawdziwych, ale zawierających drobne różnice, na przykład pkobp.info zamiast pkobp.pl. CSIRT KNF ostrzega, by weryfikować adres strony, na której się znajdujesz przed wprowadzeniem jakichkolwiek danych. Fałszywe strony mogą wyglądać niemal identycznie jak prawdziwe, ale adres w pasku przeglądarki zawsze zdradzi oszustwo.

W razie najmniejszych wątpliwości lepiej dmuchać na zimne. Jeśli nie masz pewności, czy kontaktuje się z tobą prawdziwy pracownik banku, po prostu się rozłącz i zadzwoń na oficjalną infolinię. Możesz też zgłosić próbę oszustwa do CERT Polska oraz do samego banku. Każde takie zgłoszenie pomaga w walce z cyberprzestępcami i może uchronić innych przed stratą pieniędzy. Pamiętaj, że bezpieczeństwo twojego konta wymaga nie tylko działań banku, ale także twojej świadomości i ostrożności.