Jak sprawdzić SMS bez polegania na pozorach
Prawdziwy SMS może dotyczyć pilnej sprawy, a fałszywy może być napisany poprawnie i pojawić się w wątku ze znaną nazwą. Nie rozstrzygaj wiarygodności na podstawie jednego sygnału. Bezpieczniejsza metoda polega na sprawdzeniu zdarzenia poza wiadomością, zanim klikniesz, odpowiesz, zadzwonisz lub podasz dane.
Najpierw ustal, czy wiadomość pasuje do rzeczywistości
Zatrzymaj się i nazwij sprawę, której dotyczy SMS. Czy rzeczywiście oczekujesz potwierdzenia, przypomnienia albo zmiany? Czy niedawno wykonywałeś czynność, która mogła wywołać taki komunikat? Zgodność z oczekiwaniem nie dowodzi autentyczności, ale brak jakiegokolwiek kontekstu jest powodem do dodatkowej ostrożności.
Zwróć uwagę na to, czego żąda wiadomość. Prośba o hasło, kod logowania, pełne dane karty, instalację programu lub szybki przelew wymaga przerwania działania. Takich informacji nie należy przekazywać tylko dlatego, że na ekranie widnieje znana nazwa. Presja czasu, groźba utraty dostępu i obietnica nieoczekiwanej korzyści są sygnałami do weryfikacji, nie dowodami same w sobie.
Pole nadawcy jest wskazówką, nie potwierdzeniem
Telefon może grupować wiadomości według numeru albo tekstowej nazwy nadawcy. Ustawa o zwalczaniu nadużyć w komunikacji elektronicznej definiuje smishing jako SMS, w którym nadawca podszywa się pod inny podmiot, aby skłonić odbiorcę do określonego zachowania. Sam wygląd wątku nie może więc zastąpić sprawdzenia treści i zdarzenia.
Nie korzystaj automatycznie z numeru telefonu podanego w SMS-ie. Jeśli wiadomość dotyczy znanej usługi, otwórz jej aplikację z ikony zainstalowanej wcześniej albo samodzielnie wejdź na zapisany oficjalny adres. Dane kontaktowe znajdź na umowie, karcie, rachunku lub stronie otwartej niezależnie. Zapytaj o konkretne zdarzenie bez przekazywania kodów otrzymanych w wiadomości.
Link czytaj od strony domeny
Widoczny opis linku, logo strony i symbol kłódki nie wystarczają do potwierdzenia tożsamości. Najważniejsza jest właściwa domena, czyli zasadnicza część adresu przypisana do serwisu. Dodatkowe słowa przed nią, podobne litery, inna końcówka lub skrócony adres mogą ukrywać inne miejsce docelowe.
Na małym ekranie cały adres bywa niewidoczny. Jeśli masz wątpliwość, nie próbuj go badać przez otwieranie. Wpisz znany adres samodzielnie, użyj zakładki utworzonej wcześniej albo przejdź do aplikacji. Status przesyłki, płatności, rezerwacji czy konta powinien być możliwy do znalezienia także tą drogą. Brak jakiegokolwiek śladu opisanego zdarzenia przemawia za przerwaniem kontaktu i wyjaśnieniem go oficjalnym kanałem.
Rozróżnij rozpoznawalną rezygnację od podejrzanego polecenia
Gdy SMS pochodzi od nadawcy, którego znasz, a komunikację wcześniej wybrałeś, instrukcja zmiany preferencji może być prawidłowa. Sprawdź jednak, czego dotyczy rezygnacja i czy wskazany mechanizm odpowiada temu, co widzisz w oficjalnej aplikacji lub serwisie. Wycofanie zgody na marketing nie powinno wymagać podawania hasła, danych płatniczych ani instalowania programu.
W wiadomości całkowicie nieoczekiwanej nie klikaj „wypisz się” tylko po to, by sprawdzić, kto ją nadał. Taki odnośnik może prowadzić do niebezpiecznej strony. Skorzystaj z funkcji oznaczenia spamu w telefonie albo zweryfikuj nadawcę niezależnie. Szczegółowe ograniczanie niechcianych wiadomości i reakcję po phishingu opisuje serwis spamy.pl; tutaj najważniejsza jest ocena konkretnego SMS-a przed działaniem.
Podejrzany SMS można zgłosić
CERT Polska wskazuje, że podejrzaną wiadomość SMS można przekazać do CSIRT NASK na bezpłatny skrócony numer 8080. Instrukcję warto każdorazowo sprawdzić w oficjalnym serwisie CERT Polska, ponieważ sposób obsługi zgłoszeń może się zmieniać. Pełny incydent można zgłosić przez incydent.cert.pl.
Zgłoszenie podejrzanej wiadomości nie potwierdza automatycznie, że jest ona fałszywa, i nie zastępuje ochrony własnego konta. Jeśli już podałeś dane, zatwierdziłeś operację lub zainstalowałeś program, trzeba dobrać reakcję do tego zdarzenia i skontaktować się z właściwą instytucją kanałem znalezionym poza SMS-em. Nie przesyłaj podejrzanej treści przypadkowym osobom i nie publikuj zrzutu, jeśli zawiera dane osobowe lub identyfikatory sprawy.
Krótka procedura przed każdą decyzją
Najpierw nazwij żądanie. Następnie porównaj je z oczekiwanym zdarzeniem. Pomiń link i numer z wiadomości, otwórz znany kanał samodzielnie, a potem sprawdź status sprawy. Dopiero gdy informacje się zgadzają, wybierz działanie w oficjalnym serwisie. Ta procedura jest wolniejsza o chwilę, ale oddziela decyzję odbiorcy od presji stworzonej przez nadawcę.
Jeśli tworzysz SMS-y, zastosuj tę samą próbę przed wysłaniem: czy osoba, która nie ufa polu nadawcy i nie otwiera linku, nadal potrafi rozpoznać komunikat i potwierdzić go bezpiecznie?