Kliknięcie podejrzanego linku nie zawsze oznacza, że komputer lub telefon został zainfekowany. Największe znaczenie ma to, co wydarzyło się później: czy tylko otworzyłeś stronę, czy wpisałeś dane logowania, podałeś informacje o karcie, pobrałeś plik albo zainstalowałeś aplikację.
Nie wpadaj w panikę, ale też nie ignoruj sytuacji. Szybka i właściwa reakcja może zatrzymać próbę przejęcia konta, kradzież pieniędzy lub instalację złośliwego oprogramowania. CERT Polska podkreśla, że w typowych kampaniach phishingowych największym zagrożeniem nie jest samo otwarcie strony, lecz wpisanie danych do fałszywego formularza albo wykonanie kolejnych instrukcji oszusta.
Najpierw ustal, co dokładnie zrobiłeś
Podejrzany link może prowadzić do fałszywej strony banku, panelu logowania do poczty, sklepu internetowego, serwisu społecznościowego albo strony zachęcającej do pobrania programu. Więcej o mechanizmie takich oszustw przeczytasz w artykule o atakach phishingowych.
Zanim zaczniesz zmieniać hasła lub resetować urządzenie, przypomnij sobie kolejność zdarzeń. Najczęściej mamy do czynienia z jednym z pięciu scenariuszy:
- Otworzyłeś stronę, ale niczego nie wpisałeś i niczego nie pobrałeś.
- Wpisałeś login i hasło.
- Podałeś dane karty, rachunku bankowego, kod BLIK lub kod autoryzacyjny.
- Podałeś dane osobowe, na przykład numer PESEL, adres lub numer dokumentu.
- Pobrałeś plik, uruchomiłeś go, zainstalowałeś aplikację albo nadałeś jej dodatkowe uprawnienia.
Każdy z tych przypadków wymaga innej reakcji. Samo otwarcie strony zwykle nie uzasadnia formatowania komputera. Podanie hasła wymaga natomiast natychmiastowego zabezpieczenia konta, a instalacja podejrzanej aplikacji może oznaczać konieczność odłączenia urządzenia od sieci i przeprowadzenia dokładnego skanowania.
Otworzyłeś stronę, ale niczego nie podałeś
Jeżeli tylko kliknąłeś link, zobaczyłeś podejrzaną stronę i od razu ją zamknąłeś, ryzyko jest zazwyczaj ograniczone. Nowoczesne przeglądarki izolują strony od systemu operacyjnego, dlatego typowa witryna phishingowa nie przejmuje komputera wyłącznie przez samo jej wyświetlenie. Nie oznacza to jednak, że można całkowicie zignorować zdarzenie. Nieaktualna przeglądarka lub system mogą zawierać luki wykorzystywane przez złośliwe witryny.
Zamknij kartę i nie wracaj na stronę. Następnie sprawdź folder pobranych plików. Niektóre witryny próbują automatycznie rozpocząć pobieranie albo wyświetlają przycisk udający aktualizację przeglądarki, odtwarzacza lub programu antywirusowego. Jeśli pojawił się plik, którego świadomie nie pobierałeś, nie otwieraj go.
Warto również:
- zaktualizować przeglądarkę i system operacyjny,
- uruchomić skanowanie antywirusowe,
- sprawdzić, czy nie pojawiło się nowe rozszerzenie przeglądarki,
- usunąć zgodę na powiadomienia z nieznanej strony,
- obserwować urządzenie pod kątem nietypowych zachowań.
Nie musisz od razu resetować ani formatować komputera. W artykułach czy reset komputera usuwa wirusy oraz czy formatowanie dysku usuwa wirusy wyjaśniamy, kiedy takie radykalne działania rzeczywiście mają sens.
Wpisałeś login i hasło
Jeśli na podejrzanej stronie wpisałeś dane logowania, należy założyć, że mogły trafić do przestępców. Zmień hasło natychmiast, najlepiej korzystając z innego, zaufanego urządzenia. Jest to szczególnie ważne, gdy na komputerze został również uruchomiony nieznany plik.
Zacznij od konta, którego dane podałeś. Następnie zabezpiecz skrzynkę e-mail powiązaną z tym kontem. Poczta jest często najważniejszym elementem całego łańcucha, ponieważ pozwala resetować hasła do banku, sklepów, portali społecznościowych i innych usług.
Nowe hasło musi być unikalne. Jeżeli tego samego hasła używałeś również w innych serwisach, zmień je wszędzie. Nie wystarczy dopisać jednej cyfry ani zmienić końcówki. Przestępca zna już poprzednią wersję i może łatwo sprawdzać jej typowe modyfikacje.
Po zmianie hasła:
- wyloguj wszystkie pozostałe sesje i urządzenia,
- sprawdź historię logowania,
- usuń nieznane urządzenia z listy zaufanych,
- zweryfikuj adres e-mail i telefon służące do odzyskiwania konta,
- włącz uwierzytelnianie dwuskładnikowe,
- sprawdź, czy nie dodano nowych reguł przekazywania poczty.
Uwierzytelnianie dwuskładnikowe utrudnia przejęcie konta nawet wtedy, gdy hasło zostało wykradzione. Sam kod SMS nie jest jednak czymś, co należy podawać osobie dzwoniącej z banku, serwisu lub „działu bezpieczeństwa”. Kod wpisuj wyłącznie w oficjalnej aplikacji lub na stronie, której adres samodzielnie otworzyłeś.
Jeżeli wykradzione zostało hasło służbowe, nie próbuj ukrywać zdarzenia. Powiadom przełożonego lub osobę odpowiedzialną za IT. Jedno przejęte konto może zapewnić dostęp do firmowej poczty, dokumentów, danych klientów i wewnętrznych systemów.
Podałeś dane karty, banku lub kod autoryzacyjny
W takiej sytuacji liczą się minuty. Skontaktuj się z bankiem przez oficjalną infolinię lub aplikację, a nie przez numer podany w podejrzanej wiadomości. Poinformuj konsultanta, jakie informacje zostały ujawnione i czy zatwierdziłeś jakąkolwiek operację.
W zależności od sytuacji bank może zablokować kartę, wyłączyć bankowość elektroniczną, unieważnić dane logowania albo zatrzymać oczekującą transakcję. Sprawdź historię rachunku i ustawienia limitów. Jeżeli zauważysz nieznaną operację, zgłoś ją od razu.
Nigdy nie przelewaj pieniędzy na tak zwane bezpieczne konto. Bank, policja ani prokuratura nie proszą klienta o przeniesienie oszczędności na specjalny rachunek techniczny. Oszuści często kontaktują się ponownie po udanym phishingu i podszywają się pod konsultanta, który rzekomo chce „naprawić” wcześniejszy problem.
Jeśli podałeś kod BLIK lub zatwierdziłeś przelew, zachowaj potwierdzenie operacji, treść wiadomości, numer telefonu, adres strony i godzinę zdarzenia. Materiały mogą być potrzebne bankowi i policji. Ministerstwo Cyfryzacji zaleca natychmiastowy kontakt z bankiem, gdy na fałszywej stronie ujawniono dane karty lub rachunku.
Podałeś PESEL lub inne dane osobowe
Dane osobowe nie zawsze pozwalają od razu ukraść pieniądze, ale mogą zostać wykorzystane później. Oszust może próbować zaciągnąć zobowiązanie, założyć konto, wyrobić duplikat karty SIM albo przygotować bardziej wiarygodny atak skierowany bezpośrednio do Ciebie.
Jeżeli ujawniłeś numer PESEL, rozważ jego natychmiastowe zastrzeżenie w aplikacji mObywatel lub inną oficjalną metodą. Zastrzeżenie jest odnotowywane w państwowym rejestrze, który jest sprawdzany między innymi przy zawieraniu określonych umów finansowych.
Zachowaj również kopię fałszywego formularza, wiadomości i adresu strony. W kolejnych tygodniach zwracaj szczególną uwagę na telefony od osób znających Twoje imię, nazwisko lub część danych. Sama znajomość takich informacji nie potwierdza, że rozmówca naprawdę reprezentuje bank, urząd albo operatora.
Pobrałeś lub uruchomiłeś podejrzany plik
Pobranie pliku nie zawsze oznacza infekcję. Największe ryzyko pojawia się po jego otwarciu, uruchomieniu instalatora, włączeniu makr w dokumencie albo nadaniu aplikacji dodatkowych uprawnień.
Jeżeli uruchomiłeś podejrzany program i urządzenie zaczęło zachowywać się nietypowo, odłącz je od internetu i sieci lokalnej. Wyłącz Wi-Fi, Bluetooth oraz transmisję komórkową, a w komputerze przewodowym odłącz kabel sieciowy. Ograniczy to możliwość przesyłania danych i rozprzestrzeniania się infekcji na inne urządzenia. Zalecenia reagowania na malware wskazują izolację podejrzanego urządzenia jako jeden z pierwszych kroków.
Nie loguj się z niego do banku, poczty ani serwisów społecznościowych. Do zmiany haseł użyj innego urządzenia.
W systemie Windows uruchom pełne skanowanie w aplikacji Zabezpieczenia Windows. Jeżeli podejrzewasz bardziej uporczywą infekcję, możesz zastosować skanowanie Microsoft Defender Offline, które działa po ponownym uruchomieniu komputera, zanim standardowe środowisko Windows zostanie w pełni załadowane. Utrudnia to ukrywanie się części złośliwego oprogramowania.
Sprawdź także:
- ostatnio zainstalowane programy,
- aplikacje uruchamiane wraz z systemem,
- rozszerzenia przeglądarki,
- nowe konta użytkowników,
- wyjątki dodane do programu antywirusowego,
- aplikacje posiadające dostęp administracyjny.
Jeśli komputer wyraźnie zwolnił, sam otwiera programy, wyświetla reklamy, wyłącza zabezpieczenia albo wysyła wiadomości bez Twojej wiedzy, przeczytaj również artykuł o objawach zainfekowania systemu przez malware.
Gdy program antywirusowy nie potrafi usunąć zagrożenia, konieczna może być czysta instalacja systemu. Nie przywracaj jednak automatycznie całej starej kopii danych. Najpierw upewnij się, że dokumenty i nośniki zewnętrzne nie zawierają zainfekowanych plików.
Jak zgłosić podejrzany link
Podejrzaną stronę, wiadomość e-mail lub inny incydent możesz zgłosić przez formularz CERT Polska. Dzięki zgłoszeniom analitycy mogą zweryfikować domenę i umieścić ją na liście ostrzeżeń.
Podejrzane wiadomości SMS można przekazywać do CERT Polska na numer 8080, najlepiej używając funkcji „przekaż” lub „udostępnij”. Samą wiadomość warto również oznaczyć jako spam. Więcej zasad znajdziesz w poradniku jak bronić się przed spamem.
Jeśli straciłeś pieniądze, doszło do przejęcia konta albo przestępcy wykorzystali Twoje dane, zgłoś sprawę policji lub prokuraturze. Nie usuwaj wcześniej wiadomości, historii połączeń i potwierdzeń transakcji.
Czego nie robić po kliknięciu podejrzanego linku
Najczęstszym błędem jest dalsze wykonywanie poleceń wyświetlanych na fałszywej stronie. Oszust może informować, że trzeba zainstalować „program zabezpieczający”, zadzwonić pod wskazany numer, podać kod albo dopuścić konsultanta do zdalnego pulpitu. Każdy kolejny krok zwiększa skalę problemu.
Nie należy także:
- zmieniać haseł na urządzeniu, na którym uruchomiono podejrzany program,
- dzwonić pod numer z fałszywej wiadomości,
- podawać kodów SMS, BLIK ani kodów z aplikacji uwierzytelniającej,
- instalować programu do zdalnego sterowania ekranem,
- kasować wszystkich dowodów przed zgłoszeniem sprawy,
- płacić za rzekome odblokowanie konta lub urządzenia,
- formatować komputera bez wcześniejszego zabezpieczenia ważnych danych i ustalenia zakresu infekcji.
Warto również sprawdzić, po czym poznać zaufaną witrynę. Sam wygląd strony, logo banku i symbol kłódki nie wystarczają do potwierdzenia jej autentyczności. Najbezpieczniej samodzielnie wpisać adres serwisu lub skorzystać z oficjalnej aplikacji.
Najkrótsza lista działań
Jeżeli kliknąłeś podejrzany link:
- Zamknij stronę i nie wykonuj kolejnych instrukcji.
- Ustal, czy podałeś dane lub uruchomiłeś plik.
- Zmień ujawnione hasła z bezpiecznego urządzenia.
- Włącz uwierzytelnianie dwuskładnikowe.
- Skontaktuj się z bankiem, jeśli podałeś dane finansowe.
- Zastrzeż PESEL, jeżeli ujawniłeś dane umożliwiające kradzież tożsamości.
- Odłącz urządzenie od sieci, jeśli uruchomiłeś podejrzany program.
- Wykonaj pełne lub offline’owe skanowanie antywirusowe.
- Zgłoś stronę lub wiadomość do CERT Polska.
- Zachowaj dowody, jeśli doszło do oszustwa.
Samo kliknięcie nie zawsze kończy się infekcją. Najważniejsze jest jednak to, aby nie wykonywać kolejnych działań pod presją i jak najszybciej zabezpieczyć dane, które mogły zostać ujawnione.
