Co zrobić po podejrzanym linku — spokojna kolejność działań
Nie każde kliknięcie ma te same skutki. Ustal, co dokładnie się wydarzyło, odłącz zagrożone urządzenie w razie potrzeby i zabezpiecz właściwe konto.
Najpierw odtwórz fakty. Czy tylko otworzyłeś stronę, czy także pobrałeś plik, wpisałeś hasło, podałeś dane karty, zatwierdziłeś kod, zainstalowałeś program albo wysłałeś pieniądze? Każdy wariant wymaga innej reakcji. Nie wykonuj chaotycznie wszystkich porad znalezionych w sieci, zwłaszcza na urządzeniu, które może być przejęte.
Samo otwarcie strony
Zamknij kartę i nie wracaj do niej przez historię. Nie zezwalaj na powiadomienia, pobieranie ani uruchomienie pliku. Zaktualizuj przeglądarkę i system standardowym mechanizmem. Sprawdź listę pobrań oraz uprawnienia witryn; jeśli niczego nie podałeś ani nie uruchomiłeś, nie zakładaj automatycznie najgorszego, ale obserwuj konto i urządzenie.
Nie instaluj przypadkowego „czyściciela” z reklamy. Jeśli urządzenie zachowuje się nietypowo, skorzystaj z zaufanej pomocy technicznej. W środowisku pracy zgłoś zdarzenie zgodnie z procedurą, nawet gdy nie widzisz szkody — zespół może mieć dane telemetryczne i obowiązki, których użytkownik nie widzi.
Wpisane hasło lub dane logowania
Na bezpiecznym urządzeniu otwórz prawdziwą usługę samodzielnie i zmień hasło. Jeśli używałeś tego samego hasła gdzie indziej, zmień je również tam, zaczynając od poczty i kont odzyskiwania. Wyloguj inne sesje, sprawdź urządzenia, metody uwierzytelniania, adresy odzyskiwania, przekazywanie poczty i utworzone reguły.
Włącz dodatkowy składnik uwierzytelniania, ale upewnij się, że napastnik nie dodał wcześniej własnej metody. Zachowaj kody odzyskiwania bezpiecznie. Jeśli nie możesz się zalogować, użyj oficjalnej procedury odzyskania, a nie osoby oferującej pomoc w komentarzu lub prywatnej wiadomości.
Kod autoryzacyjny lub zatwierdzenie w aplikacji
Przeczytaj, czego dotyczył kod. Mógł zatwierdzić logowanie, zmianę ustawień, dodanie urządzenia albo operację finansową. Natychmiast skontaktuj się z właściwą instytucją przez oficjalny kanał i powiedz dokładnie, co zatwierdziłeś. Sama zmiana hasła może nie cofnąć już wydanej zgody lub wykonanej transakcji.
Nie zatwierdzaj kolejnego komunikatu mającego rzekomo anulować poprzedni. Taka prośba może być drugim etapem ataku. Działaj według instrukcji widocznych w prawdziwej aplikacji lub przekazanych po samodzielnym nawiązaniu kontaktu.
Dane karty, BLIK lub przelew
Skontaktuj się z bankiem niezwłocznie numerem z oficjalnej strony, aplikacji lub karty. Opisz ujawnione dane i operacje; bank dobierze działania, takie jak zastrzeżenie instrumentu, zabezpieczenie dostępu lub przyjęcie reklamacji. Nie czekaj na zaksięgowanie, jeśli transakcja jest już widoczna jako oczekująca.
Zachowaj potwierdzenia, numer rachunku odbiorcy, wiadomości i adres strony. W przypadku podejrzenia przestępstwa zgłoś sprawę właściwym organom. CERT Polska przyjmuje zgłoszenia cyberincydentów, ale nie zastępuje banku ani organów ścigania i nie odzyskuje środków na żądanie.
Zainstalowany program lub zdalny dostęp
Jeżeli uruchomiłeś nieznany program, odłącz podejrzane urządzenie od sieci, szczególnie gdy ktoś miał zdalny pulpit. Nie używaj go do zmiany haseł ani kontaktowania się z bankiem. Skorzystaj z innego, zaufanego urządzenia. W firmie skontaktuj się z zespołem IT przed wyłączaniem lub kasowaniem danych, bo może być potrzebne zabezpieczenie śladów.
Usunięcie ikony nie dowodzi, że urządzenie jest czyste. Zakres reakcji zależy od systemu, uprawnień programu i wykonanych czynności. Profesjonalna analiza, przywrócenie systemu z zaufanego źródła albo wymiana danych dostępowych może być konieczna. Nie korzystaj z instrukcji przesłanej przez tego samego rozmówcę, który nakłonił do instalacji.
Zgłoszenie i dokumentacja
Prześlij podejrzany SMS na 8080 lub użyj incydent.cert.pl zgodnie z rodzajem zdarzenia i aktualną instrukcją. Zrób notatkę z godzinami: otrzymania wiadomości, kliknięcia, wpisania danych, kontaktu z bankiem i zmian na koncie. Nie publikuj zrzutów zawierających pełne dane osobowe, karty lub tokeny.
Po opanowaniu pilnych skutków ostrzeż osoby, które mogły dostać wiadomość z przejętego konta. Użyj innego kanału i napisz wprost, aby nie klikały. Krótka, rzeczowa informacja ogranicza dalsze rozprzestrzenianie ataku.
Sprawdź także konta, których odzyskiwanie prowadzi przez przejętą skrzynkę. Priorytet mają usługi finansowe, chmura z dokumentami, media społecznościowe i narzędzia pracy. Przejrzyj powiadomienia o zmianach ustawień, ale otwieraj usługi samodzielnie, a nie przez linki z tej samej skrzynki. Uporządkowana lista jest skuteczniejsza niż wielokrotna, chaotyczna zmiana jednego hasła.
Nie płać za „odzyskanie” w drugim kontakcie
Osoba poszkodowana może otrzymać kolejną wiadomość od rzekomego eksperta, urzędu lub kancelarii obiecującej odzyskanie pieniędzy po opłacie wstępnej. Nie przekazuj dalszych środków ani dokumentów. Weryfikuj każdą pomoc niezależnie, szczególnie jeśli kontakt nastąpił bez Twojej prośby.