SMS przychodzi na twoje nazwisko i wskazuje hotel, w którym rzeczywiście masz rezerwację. Zgadza się też termin pobytu. To nowy scam, w którym oszuści liczą, że bez oporów podasz dane karty. W innej kampanii wiadomość od „Gov PL” straszy wygasającymi danymi w mObywatelu, a kończy się fałszywym logowaniem do banku.
To jeden z tych scamów, przy których prawdziwe dane przestają być dowodem wiarygodności wiadomości. CERT Orange Polska ostrzega przed kampanią, w której przestępcy podszywają się pod Booking.com. SMS-y przychodzą z nazw nadawcy „Booking OTO” albo „Reception”. Zawierają nazwisko odbiorcy i nazwę obiektu. Zgadzają się też daty planowanego pobytu. Link prowadzi oczywiście do podstawionej strony. Tam oszust pokazuje jeszcze więcej: szczegóły prawdziwej rezerwacji, łącznie z kwotą płatności.
CERT Orange określa kampanię jako prawdopodobny phishing celowany. Z analizy zespołu wynika, że przestępcy uzyskali dostęp do kont większej liczby obiektów noclegowych. Nie ma jednak podstaw, żeby ogłaszać wyciek danych z samego Booking.com. CERT przypomina, że w podobnej kampanii z 2025 r. źródłem danych było włamanie do sieci hotelu i przejęcie jego konta w serwisie.
Dalej mamy już klasyczny schemat. Pojawia się prośba o potwierdzenie danych karty. Fałszywy „konsultant” informuje, że zostanie ona obciążona losową kwotą, która zaraz wróci na konto. Oczywiście nie wróci.
Po wpisaniu danych karty otrzymują je przestępcy. W czasie gdy strona pokazuje ekran „przetwarzania informacji”, próbują dokonać zakupu przy użyciu podanych przed chwilą danych.
CERT Orange radzi zwracać uwagę na adres strony. Płatności związane z Bookingiem powinny odbywać się w domenie booking.com. Jeśli dane karty zostały już wpisane na fałszywej stronie, trzeba ją od razu zablokować i skontaktować się z bankiem.
„Gov PL”: twoje dane w mObywatelu wygasają
Druga kampania również zaczyna się od SMS-a, ale tym razem podpisanego „Gov PL”. Nadawca twierdzi, że dane w mObywatelu tracą ważność i trzeba je zaktualizować. Odnośnik prowadzi do domeny `finanse-dowiedz.com`. Witryna jest niemal wierną kopią rządowego serwisu.
Najpierw oszuści zbierają dane osobowe. Formularz pyta o imię i nazwisko, datę urodzenia, numer telefonu, adres pocztowy i numer rachunku bankowego. Później strona przechodzi do bankowości. Użytkownik ma wybrać bank, za pomocą którego rzekomo potwierdzi swoją tożsamość. Dalej historia jest już dobrze znana – wpisywane na podstawionej stronie informacje płytną prosto do oszustów.
Tutaj oszustów zdradza jednak już sam adres. Oficjalne serwisy polskiej administracji działają w domenie `gov.pl`. CERT Orange radzi też nie aktualizować mObywatela przez link otrzymany SMS-em. Aplikację należy pobierać i aktualizować przez oficjalny sklep, a informacje dotyczące konta sprawdzać bezpośrednio w mObywatelu.
Podejrzane SMS-y można przekazać do CERT Polska na numer 8080. CERT Orange przyjmuje zgłoszenia swoich użytkowników pod numerem 508 700 900.
