Jak sprawdzić, czy telefon lub SMS z banku jest prawdziwy

"Dzwonimy z działu bezpieczeństwa twojego banku. Wykryliśmy podejrzane obciążenie i musimy zweryfikować twoją tożsamość." Albo SMS: "Twoje konto zostanie zablokowane. Zweryfikuj dane tutaj." Podszywanie się pod bank to król oszustw telefonicznych w Hiszpanii — nie dlatego, że oszuści są geniuszami techniki, tylko dlatego, że dopracowali scenariusz: pilność, autorytet i rozwiązanie, które wymaga, żebyś działał już, bez myślenia.

Dobra wiadomość: nie musisz umieć odróżnić prawdziwego telefonu od fałszywego w gorącej chwili. Nikt nie umie, bo numer na ekranie da się podrobić, a scenariusze dobrze udają prawdziwych konsultantów. Potrzebujesz metody, która działa bez decydowania. Oto ona.

Metoda: sam się rozłącz, sam zadzwoń

Działa i dla telefonów, i dla SMS-ów, i ma trzy kroki:

1. Nic nie rób w ramach przychodzącej rozmowy. Nie podawaj danych, nie klikaj linków, nie wciskaj klawiszy, nic nie instaluj, nie czytaj na głos kodów, które dostajesz. Jeśli to telefon, grzecznie się pożegnaj i rozłącz. Nic się nie stanie, jeśli rozłączysz się z prawdziwym bankiem: zadzwonią ponownie albo załatwisz sprawę innym kanałem.
2. Sam otwórz oficjalny kanał. Zadzwoń pod numer banku (z tyłu karty albo z jego oficjalnej strony, wpisany przez ciebie) albo otwórz oficjalną aplikację banku, zainstalowaną ze sklepu z aplikacjami. Nigdy nie używaj numeru, z którego dzwoniono, ani linku, który ci przysłano.
3. Sprawdź tam. Jeśli było podejrzane obciążenie, zablokowane konto albo sprawa do załatwienia, pojawi się w twoich transakcjach albo potwierdzi je prawdziwy konsultant. Jeśli nie ma nic, wiadomość była fałszywa.

To wszystko. Sztuczka polega na zrozumieniu, dlaczego to działa: ty wybierasz kanał, więc oszustowi nic po tym, że podrobił numer albo sklonował stronę banku. Jego oszustwo żyje wewnątrz telefonu albo SMS-a; gdy tylko stamtąd wychodzisz, nie ma już nic.

Ta sama metoda służy do weryfikacji powiadomienia z urzędu skarbowego albo ZUS, do fałszywego SMS-a o mandacie DGT i do fałszywego SMS-a kurierskiego. Naucz się jej raz, a posłuży ci do wszystkiego.

Czego prawdziwy bank nigdy od ciebie nie zażąda

Wbij sobie tę listę do głowy, bo to szybki test, gdy masz wątpliwości:

• Twojego PIN-u, całego hasła ani haseł do podpisu. Prawdziwy bank może poprosić, żebyś potwierdził tożsamość w JEGO aplikacji albo na JEGO stronie; nigdy nie zażąda, żebyś dyktował hasła przez telefon albo SMS-em.
• Kodów, które dostajesz SMS-em. Te kody autoryzują operacje. Kto prosi o nie przez telefon, próbuje sprawić, żebyś autoryzował operację, którą ON rozpoczął. To główna pułapka prawie całego vishingu bankowego.
• Zainstalowania aplikacji do zdalnej kontroli (AnyDesk, TeamViewer i podobne) „żeby ci pomóc". Żaden bank tego nie robi. To krok przed wyczyszczeniem ci konta na twoich oczach.
• Zrobienia przelewu „testowego" albo „żeby cofnąć oszustwo". Przelewów, które robisz sam, nie da się cofnąć. Bank nigdy nie prosi o przesuwanie pieniędzy przez telefon dla twojego bezpieczeństwa.
• Działania bez rozłączania się. „Proszę się nie rozłączać, to pilne, jeśli się pan rozłączy, obciążenie zostanie wykonane." Pośpiech to narzędzie oszusta. Prawdziwy bank woli, żebyś zweryfikował, niż żebyś szybko słuchał.

Najczęstsze odmiany i ich scenariusz

• Obciążenie, którego nie poznajesz. „Jest obciążenie 800 € w sklepie elektronicznym, czy je pan poznaje?" Mówisz, że nie, i prowadzą cię, żeby je „cofnąć": coś zainstalować, podać kody, zrobić przelew. Cały teatr po „nie" to oszustwo.
• Konto zablokowane przez SMS. Link do strony identycznej jak bankowa, gdzie wpisujesz login i hasło. Od tej chwili działają oni.
• Fałszywy pracownik, który cię „chroni". Miły, profesjonalny, ze swoimi podstawowymi danymi (imię, część numeru dokumentu, ostatnie cyfry karty: to wszystko krąży w wyciekach). Profesjonalizm niczego nie weryfikuje; weryfikuje tylko kanał.
• Przebrany Bizum. Proszą, żebyś zaakceptował coś w telefonie „żeby zweryfikować tożsamość", a to żądanie zapłaty przez Bizum. Zawsze sprawdzaj, co akceptujesz w aplikacji.

Co robić, jeśli już podałeś dane albo kody

1. Od razu zadzwoń do banku (numer z tyłu karty) i opowiedz, co się stało. Poproś o zablokowanie kart, cofnięcie oczekujących operacji i zmianę haseł dostępu.
2. Przejrzyj transakcje z kolejnych dni, mając włączone powiadomienia aplikacji.
3. Złóż zawiadomienie na Policji (Policía Nacional albo Guardia Civil), dołączając zrzuty i numer dzwoniącego. Numer 017 instytutu INCIBE doradza za darmo.
4. Zgłoś numer w katalogu numerów spamowych, żeby został oznaczony.
5. Cały proces, z realistycznymi oczekiwaniami zależnie od sposobu płatności, masz w jak odzyskać pieniądze z oszustwa telefonicznego.

Szybkie pytania

Czy numer na ekranie nie dowodzi, że to mój bank? Nie. Identyfikator dzwoniącego da się podrobić (nazywa się to spoofingiem), a oszuści używają go właśnie z prawdziwymi numerami banków, żeby wyszukiwanie wyglądało wiarygodnie. Dlatego zasada brzmi: nigdy nie decyduj w trakcie rozmowy.

A jeśli dzwonią i znają już moje imię, dokument i saldo? Dane osobowe krążą w wyciekach, a salda da się zmyślić ogólnikowo („pokaźne obciążenie"). To, że wiedzą o tobie różne rzeczy, nie czyni ich twoim bankiem. I tak stosuj metodę.

Czy mogę ich o coś poprosić, żeby ich sprawdzić? Możesz poprosić o imię konsultanta i numer sprawy... a potem rozłączyć się i samemu zadzwonić do banku, żeby to sprawdzić. Jakakolwiek „weryfikacja", która dzieje się bez rozłączenia, niczego nie weryfikuje.

Czy mój bank się obrazi, jeśli się rozłączę? Nie. Rozłącz się bez wyrzutów i sam zadzwoń pod oficjalny numer. Dokładnie tego chce od ciebie jego dział bezpieczeństwa.

Zapamiętaj zasadę w jednym zdaniu: jeśli kontaktuje się z tobą bank, nic tam nie rób; rozłącz się, sam otwórz oficjalny kanał i sprawdź. Podziel się nią z bliskimi: to zdanie, które oszczędza w Hiszpanii najwięcej pieniędzy.