Fałszywy mandat drogowy SMS-em: co zrobić i jak sprawdzić, czy jest prawdziwy

„DGT: masz nieopłaconą karę. Zapłać dziś z 50% zniżką i uniknij dopłaty.” I link. Przychodzi w zwykły wtorek, a twoja pierwsza myśl to, czy złapał cię fotoradar na autostradzie. Właśnie tej wątpliwości szuka oszust. To fałszywy mandat drogowy wysłany SMS-em, jedna z kampanii smishingowych, które w Hiszpanii wciąż powracają (DGT, Dirección General de Tráfico, to krajowy urząd ruchu drogowego w Hiszpanii; gdzie indziej to samo oszustwo podszywa się pod urząd, policję lub operatora autostrady w twoim kraju). Jego celem nie jest pobranie mandatu, tylko skłonienie cię do wpisania pełnych danych karty na stronie podszywającej się pod urząd.

Dobra wiadomość jest taka, że jedna zasada wystarczy, by je rozbroić: urząd ruchu drogowego nie prosi o zapłatę mandatu przez link w SMS-ie. Jeśli chcesz wiedzieć, czy masz prawdziwą karę, sprawdzisz to w minutę oficjalnymi kanałami, bez dotykania czegokolwiek z otrzymanej wiadomości.

Jak działa oszustwo z fałszywym mandatem?

Scenariusz powtarza się z niewielkimi zmianami:

• Instytucja budząca respekt. Prawie zawsze DGT, czasem urząd miasta, „policja lokalna”, płatna autostrada lub strefa niskiej emisji. Wszystko to instytucje, od których mandat brzmi wiarygodnie.
• Wiarygodna kwota. Prawdziwe stawki mandatów za przekroczenie prędkości lub parkowanie, żeby nie wzbudzać podejrzeń.
• Zniżka z terminem. Kopiują prawdziwą zasadę: w Hiszpanii wiele mandatów można zapłacić z 50% obniżką, jeśli wpłaci się je w ciągu 20 dni kalendarzowych od doręczenia. Oszust robi z tego przynętę na pośpiech: „tylko dziś”, „ostatnie wezwanie”, „przed zajęciem komorniczym”.
• Link do sklonowanej strony. Logo, kolory i teksty skopiowane z oficjalnej witryny. Najpierw proszą o numer rejestracyjny lub numer dowodu, by „znaleźć mandat”, potem o kartę, by go zapłacić.

Często fałszywa strona prosi następnie o kod, który przychodzi SMS-em. Ten kod nie potwierdza zapłaty mandatu: autoryzuje dużo większe obciążenie albo dodanie twojej karty do cyfrowego portfela oszusta. Mając twoje dane osobowe, mogą też zadzwonić kilka dni później, podając się za twój bank, i wiedzieć wystarczająco dużo, by brzmieć wiarygodnie.

Jak rozpoznać fałszywego SMS-a?

Zwróć uwagę na te sygnały. Wystarczy jeden, by nabrać podejrzeń:

• Zawiera link do płatności. To sygnał rozstrzygający. W Hiszpanii prawdziwe mandaty przychodzą listem poleconym lub przez Dirección Electrónica Vial (DEV, oficjalną elektroniczną skrzynkę DGT) i sprawdza się je na oficjalnym portalu e-usług DGT, a nie przez link w nieoczekiwanej wiadomości. Również w innych krajach prawdziwe mandaty przychodzą oficjalnymi, możliwymi do prześledzenia kanałami.
• Domena nie jest oficjalna. Strona DGT kończy się na dgt.es lub na domenie .gob.es. Uważaj na adresy z dodatkowymi myślnikami lub słowami („dgt-multas”, „pago-sanciones”), dziwnymi końcówkami albo skracaczami linków.
• Nie podaje konkretów. Prawdziwe zawiadomienie wskazuje numer sprawy, datę, miejsce i pojazd. Fałszywy SMS mówi ogólnie o „pańskim mandacie”, bo nic o tobie nie wie.
• Pogania i straszy. Natychmiastowe dopłaty, zajęcie konta, utrata punktów lub unieruchomienie samochodu, „jeśli nie zapłaci pan dziś”. Administracja ma ustawowe terminy, a nie kilkugodzinne ultimata.
• Dostajesz go, nawet nie mając auta. Wiadomości wysyłane są masowo. Jeśli nie prowadzisz, masz już odpowiedź.
• Nadawca niczego nie dowodzi. Nazwę „DGT” jako nadawcę można podrobić, a fałszywa wiadomość może pojawić się nawet w tym samym wątku co wcześniejsze prawdziwe powiadomienia.

Jak sprawdzić, czy mam prawdziwy mandat?

Bez klikania linku, na własną rękę:

1. Zamknij wiadomość. Nie odpowiadaj i niczego nie dotykaj, nawet żeby „wypisać się”.
2. Wejdź sam do oficjalnego kanału: wpisz w przeglądarce adres DGT (dgt.es) i przejdź do jej portalu e-usług albo otwórz oficjalną aplikację miDGT pobraną z oficjalnego sklepu w telefonie. Gdzie indziej wpisz sam oficjalny adres właściwego urzędu w twoim kraju.
3. Sprawdź swoje kary, logując się przez Cl@ve, certyfikat cyfrowy lub elektroniczny dowód osobisty (oficjalne hiszpańskie systemy identyfikacji cyfrowej). Zobaczysz tam doręczone mandaty i zapłacisz je z przysługującą zniżką.
4. Sprawdź też Tablón Edictal Único (oficjalną tablicę ogłoszeń publikowaną przez BOE, hiszpański dziennik urzędowy), jeśli niepokoi cię zawiadomienie, które do ciebie nie dotarło: publikuje się tam kary, których nie udało się doręczyć.
5. Jeśli mandat jest miejski, sprawdź go na oficjalnej stronie swojego urzędu miasta. W Katalonii i Kraju Basków część kar podlega ich własnym regionalnym urzędom ruchu drogowego, które również mają oficjalne strony.

Jeśli w żadnym z tych kanałów nic się nie pojawia, SMS był fałszywy. To ta sama sekwencja, która sprawdza się przy weryfikacji powiadomienia o paczce czy SMS-a od twojego banku: zamknij wiadomość i wejdź sam oficjalnymi drzwiami.

Co zrobić, jeśli już podałem dane karty?

Działaj w tej kolejności, im szybciej, tym lepiej:

1. Zadzwoń do banku pod numer z odwrotu karty lub z oficjalnej aplikacji. Poproś o zablokowanie karty i wydanie nowej.
2. Powiedz, jeśli podałeś kod. Jeśli wpisałeś kod otrzymany SMS-em, powiedz to bankowi wprost: może już istnieć autoryzowane obciążenie albo twoja karta została dodana do cudzego telefonu.
3. Przeglądaj operacje przez kolejne tygodnie i włącz powiadomienia o obciążeniach w aplikacji banku. Nieuczciwe obciążenia czasem pojawiają się dopiero po kilku dniach.
4. Jeśli podałeś numer dowodu lub dane osobowe, nie ufaj późniejszym telefonom „z banku” czy „z policji”, w których proszą cię o przelanie pieniędzy lub podanie haseł. Żaden bank o to nie prosi.
5. Jeśli zapłaciłeś przez Bizum (hiszpańską usługę natychmiastowych płatności mobilnych) lub przelewem, i tak powiadom bank: możliwości odzyskania pieniędzy są bardziej ograniczone, ale im szybciej się dowiedzą, tym lepiej. Wyjaśniamy to w artykule jak odzyskać pieniądze po oszustwie telefonicznym.

Gdzie to zgłosić?

• Złóż zawiadomienie na policji: w Hiszpanii w Policía Nacional (091) lub Guardia Civil (062); gdzie indziej na policji w swoim kraju. Dołącz zrzuty ekranu SMS-a, link i potwierdzenia ewentualnych obciążeń. Bank zwykle prosi o to zawiadomienie, by rozpatrzyć reklamację.
• Poproś o poradę: w Hiszpanii pod numerem 017 INCIBE, bezpłatną i poufną infolinią ds. cyberbezpieczeństwa; jej serwis dla obywateli, OSI, publikuje ostrzeżenia o takich kampaniach, gdy zostaną wykryte. Gdzie indziej w krajowej agencji cyberbezpieczeństwa.
• Dzwoń na 112 tylko w prawdziwym nagłym wypadku; przy oszustwie, które już się wydarzyło, drogą jest zawiadomienie.
• Zgłoś numer w katalogu numerów spamowych, by inni mogli go rozpoznać.

Najczęstsze pytania

Czy DGT naprawdę wysyła SMS-y? Może wysyłać powiadomienia, jeśli zapisałeś się do jej usług, np. o tym, że w DEV czeka na ciebie zawiadomienie. Ale takie powiadomienie nie prosi o zapłatę przez link: kieruje cię do samodzielnego sprawdzenia na oficjalnym portalu lub w aplikacji.

Naprawdę mam mandat i SMS się zgadza. Czy może być prawdziwy? Zbieżność niczego nie dowodzi: przy milionach kierowców przypadkowe trafienie jest łatwe. Sprawdź sprawę na oficjalnym portalu DGT i płać tylko tam.

Tylko kliknąłem link, nic nie wpisałem. Czy jestem w niebezpieczeństwie? Główne ryzyko tkwi w danych, które wpisujesz. Zamknij stronę, niczego z niej nie pobieraj i aktualizuj telefon. Jeśli nie wpisałeś danych, wystarczy usunąć wiadomość i ją zgłosić.

A jeśli przyjdzie e-mailem lub przez WhatsApp? To to samo oszustwo innym kanałem, tak jak fałszywy SMS o mandacie DGT, który analizujemy na blogu. Obrona się nie zmienia: nigdy nie płać z otrzymanego linku; sprawdź sam oficjalnym kanałem.

Podsumowanie

Prawdziwy mandat sprawdza się i opłaca oficjalnymi kanałami, nigdy przez link z SMS-a. W razie wątpliwości zamknij wiadomość, wejdź sam na portal DGT lub do miDGT (albo do właściwego urzędu w swoim kraju) i sprawdź. Jeśli już podałeś dane karty, zadzwoń teraz do banku i złóż zawiadomienie. A jeśli dostałeś taki SMS, zgłoś go w katalogu numerów spamowych NoCall: twoje zgłoszenie może zatrzymać kolejną osobę, zanim zapłaci mandat, który nie istnieje.