Black Friday, Black Week i Cyber Monday to dni, na które co roku czekają miliony konsumentów pragnących upolować najlepsze promocje i rabaty. Jednak wzmożony okres przedświątecznych zakupów to jednocześnie większa aktywność cyberprzestępców. Podczas poszukiwania okazji łatwo stracić czujność, a to może nas słono kosztować – nie tylko finansowo, ale i w postaci utraty danych. Jak bezpiecznie korzystać z internetowych promocji, aby nie wpaść w sidła oszustów?
Zbliżający się festiwal zakupów, którego kulminacją jest Black Friday (w tym roku przypadający na 28 listopada) i zamykający go Cyber Monday, to prawdziwe żniwa – nie tylko dla sprzedawców, ale także dla cyberprzestępców. Atrakcyjne rabaty i wyprzedaże atakują nas praktycznie z każdej strony: w mediach społecznościowych, w skrzynkach e-mail, w wiadomościach SMS oraz na stronach internetowych. W tym wirze informacji, gdzie każdy pragnie jak najszybciej sfinalizować „super okazję”, zagrożenie staje się niemal niewidzialne. Pod presją czasu i wizji oszczędności jesteśmy mniej skłonni do dokładnej weryfikacji linków, podejrzanych wiadomości czy fałszywych sklepów.
Cyberprzestępcy doskonale wykorzystują psychologię pośpiechu i chęć zrobienia zakupów po okazyjnej cenie. Aby osiągnąć zamierzony skutek kreują łudząco podobne do oryginału strony sklepów, banków lub platform płatniczych. Często wysyłają także do kupujących wiadomości z niezwykle atrakcyjną ofertą. By bezpiecznie zrobić zakupy i móc skorzystać z promocyjnych ofert, kluczowe jest zachowanie ostrożności i wdrożenie kilku podstawowych zasad bezpieczeństwa. Weryfikacja adresu strony internetowej czy sprawdzenie informacji oraz opinii o sklepie zajmie tylko kilka minut, a przezorność i doza ostrożności, może nas uchronić przed przykrymi konsekwencjami – przekonuje Paulina Rosłoń, ekspert z Departamentu Cyberbezpieczeństwa Banku Pekao S.A.
Gdzie polują oszuści? Oto najczęstsze metody
Kreatywność przestępców w tworzeniu pułapek jest nieograniczona. Często koncentrują się na podszywaniu się pod zaufane podmioty, takie jak popularne platformy zakupowe. Oto, na co trzeba uważać w pierwszej kolejności.
Phishing „na kupującego” i fałszywy link do płatności to jedna z najpopularniejszych metod działania cyberprzestępców. Jej celem jest wyłudzenie danych logowania do bankowości lub danych karty, gdy sprzedający oczekuje na pieniądze.
Jak to działa? Wystawiasz przedmiot na platformach sprzedażowych. W ciągu kilku minut kontaktuje się z tobą rzekomy kupujący (często natychmiast przenosząc rozmowę na WhatsApp lub Messenger, łamiąc tym samym zasady platformy). Kupujący twierdzi, że „już zapłacił” i prosi o kliknięcie w link, aby „odebrać pieniądze” lub „potwierdzić dane do wysyłki”. Link prowadzi do strony łudząco podobnej do systemu płatności portalu lub firmy kurierskiej. Na tej fałszywej stronie sprzedający jest proszony o podanie pełnych danych karty płatniczej (numer, data ważności, kod CVV/CVC) lub o zalogowanie się do swojego banku. W ten sposób przestępcy mają pełen komplet naszych danych i mogą wyczyścić konto. Pamiętaj: sprzedający nigdy nie musi podawać danych swojej karty, by otrzymać płatność!
Oszustwo „na fałszywą fakturę” to bardziej wyrafinowana metoda phishingu, wykorzystująca standardowe procedury platformy.
Jak to wygląda w praktyce? Oszuści wysyłają sprzedającym na wybranej platformie plik PDF za pomocą formularza kontaktowego, który ma być rzekomą fakturą sprzedaży lub innym dokumentem systemowym. W treści dokumentu znajduje się przycisk, który ma rzekomo prowadzić do zarządzania transakcją. Kliknięcie tego przycisku prowadzi na spreparowaną stronę internetową, gdzie pod pretekstem dokończenia weryfikacji lub sprawdzenia płatności próbuje się wyłudzić dane uwierzytelniające do twojego konta.
Atak zbyt dobrej okazji, czyli fałszywe sklepy-widma – oszuści zakładają profesjonalnie wyglądające „sklepy-widma”, które kuszą nierealnie niskimi cenami, m.in. markowej elektroniki (np. PS5, iPhone'y) lub odzieży.
Reklamy tych sklepów są intensywnie promowane w mediach społecznościowych (Facebook, Instagram, ikTok) jako sponsorowane materiały z limitowaną czasowo ofertą. Co więcej, witryny te często mają elegancki design, ale brakuje im danych rejestrowych firmy (NIP, REGON), adresu siedziby lub zawierają liczne błędy językowe i słabej jakości grafiki. Celem jest pobranie płatności (zwykle tylko przelewem natychmiastowym lub kartą) i niewysłanie towaru.
Praktyczne zasady cyberbezpieczeństwa, czyli checklista dla kupującego
Aby bezpiecznie przejść przez maraton promocji, należy uzbroić się w czujność i stosować się do poniższych zasad:
1. Zawsze weryfikuj wiarygodność sprzedawcy:
• Sprawdź opinie: brak opinii lub wyłącznie krótkie, entuzjastyczne komentarze dodane w tym samym czasie powinny zapalić u ciebie czerwoną lampkę. Poszukaj wzmianek o sklepie w niezależnych wyszukiwarkach.
• Weryfikacja firmy: jeśli kupujesz w sklepie internetowym, sprawdź dane rejestrowe przedsiębiorcy (nazwa, adres, NIP, REGON) w oficjalnych rejestrach (CEIDG lub KRS). Brak takich danych lub jedynie adres skrzynki pocztowej do kontaktu mogą być sygnałem oszustwa.
2. Dokładnie weryfikuj adres strony
• Analiza domeny to podstawa obrony przed phishingiem. Adres strony banku czy platformy handlowej musi być poprawny. Zanim dokonasz płatności lub wpiszesz dane logowania do bankowości elektronicznej, dokładnie sprawdź adres strony WWW, na której się znajdujesz.
• Szukaj niespójności: zwróć uwagę na błędy gramatyczne, ortograficzne, niedopasowane czcionki. Jeśli strona wygląda podejrzanie lub działa nietypowo – zrezygnuj z zakupu.
• Zgłoś wątpliwości – jeśli masz podejrzenie fałszywej strony, zgłoś ją do CERT Polska (CSIRT KNF) – pomożesz innym.
3. Ostrożnie podchodź do reklam i wiadomości e-mail/SMS
• Unikaj klikania: zbyt atrakcyjna i ograniczona czasowo oferta (np. SMS o konieczności dopłaty 1,50 zł do przesyłki) powinna wzbudzić twoją czujność. Zawsze wchodź na strony sklepów, wpisując adres ręcznie lub korzystając ze sprawdzonej aplikacji mobilnej.
• Weryfikuj płatności. Za każdym razem upewniaj się, że transakcję obsługuje znany i zaufany operator płatności. Nigdy nie podawaj loginu, hasła do bankowości ani pełnych danych karty (CVV/CVC) w linkach otrzymanych w SMS-ie czy w komunikatorze.
4. Uważaj na prośbę znajomego o Blika
Weryfikuj prośby znajomych – jeśli otrzymasz prośbę o kod Blik na komunikatorze, zawsze zadzwoń do znajomego, aby upewnić się, że to faktycznie on. Przejęte konta w mediach społecznościowych są często wykorzystywane do wyłudzania pożyczek Blik.
Przed autoryzacją transakcji kodem Blik w aplikacji bankowej zawsze przeczytaj treść komunikatu. Musi on dotyczyć dokładnie tej kwoty i tego odbiorcy (sklepu lub serwisu), którą sam zainicjowałeś. Jeśli bank informuje, że autoryzujesz wypłatę gotówki z bankomatu lub dodanie karty do portfela cyfrowego, a ty tego nie zlecałeś – natychmiast anuluj operację.
Twoja cyfrowa tarcza
Okres Black Friday to test naszej cyfrowej dyscypliny. Cyberprzestępcy żerują na naszym pośpiechu i emocjach związanych z potencjalnymi oszczędnościami. Twoja czujność, weryfikacja domen i unikanie transakcji poza oficjalnymi systemami platform to najlepsza ochrona.
Jeśli oferta jest zbyt dobra, by była prawdziwa, z pewnością jest oszustwem. Warto poświęcić dodatkowe dwie minuty na weryfikację sprzedawcy i adresu strony, aby nie stracić wszystkich oszczędności.
Partnerem publikacji jest Bank Pekao S.A.
