Phishing bankowy: jak działa
Phishing bankowy celuje bezpośrednio w dostęp do środków firmy, dlatego bywa jednym z najkosztowniejszych rodzajów ataku, jeśli się powiedzie.
Typowe scenariusze phishingu bankowego
Najczęstszy wariant to fałszywy e-mail lub SMS rzekomo od banku z linkiem do “weryfikacji konta” lub “potwierdzenia transakcji”, prowadzący do strony wizualnie identycznej z prawdziwym bankiem, ale na innej domenie.
Coraz częściej pojawia się też wariant telefoniczny (vishing): osoba podająca się za pracownika banku dzwoni z informacją o “podejrzanej transakcji” i prosi o podanie kodu autoryzacyjnego SMS lub zainstalowanie aplikacji do zdalnego dostępu.
- fałszywa strona logowania łudząco podobna do prawdziwego banku
- SMS z linkiem do rzekomej weryfikacji konta lub transakcji
- telefoniczne podszycie pod pracownika banku (vishing)
Dlaczego jest szczególnie groźny dla firm
W firmach dostęp do bankowości ma zwykle więcej niż jedna osoba (księgowość, właściciel), co zwiększa liczbę potencjalnych celów ataku, a jednocześnie utrata dostępu do konta firmowego bywa bardziej dotkliwa finansowo niż w przypadku konta prywatnego.
Atakujący czasem łączą phishing bankowy z wcześniej zdobytą wiedzą o firmie (np. z wycieku danych lub mediów społecznościowych), co zwiększa wiarygodność podszycia.
- więcej osób w firmie ma dostęp do bankowości, więcej potencjalnych celów
- utrata dostępu do konta firmowego bywa bardziej kosztowna
- atakujący czasem wykorzystują wcześniej zebrane informacje o firmie
Jak się chronić
Bank nigdy nie prosi telefonicznie ani mailowo o pełny kod autoryzacyjny SMS czy hasło do bankowości, taka prośba to zawsze sygnał alarmowy, niezależnie jak wiarygodnie brzmi rozmówca.
Do bankowości loguj się zawsze wpisując adres ręcznie lub z zapisanej zakładki, nigdy z linku w mailu lub SMS-ie, i włącz wszystkie dostępne powiadomienia o transakcjach.
- nigdy nie podawaj kodu autoryzacyjnego SMS przez telefon ani e-mail
- loguj się do bankowości z zapisanej zakładki, nie z linku
- włącz powiadomienia SMS/push o każdej transakcji na koncie firmowym
Powiązane artykuły
Najczęściej zadawane pytania
Czy bank może zadzwonić i poprosić o kod SMS?
Nie: banki nigdy nie proszą o pełny kod autoryzacyjny przez telefon. Taka prośba to zawsze próba oszustwa, niezależnie od tego, jak przekonująco brzmi rozmówca.
Jak rozpoznać fałszywą stronę logowania do banku?
Sprawdź dokładnie adres domeny (nie tylko wygląd strony), certyfikat SSL i sposób, w jaki na nią trafiłeś, jeśli to link z maila lub SMS-a, lepiej wpisać adres ręcznie.
Co zrobić, jeśli podałem dane logowania na fałszywej stronie banku?
Natychmiast zadzwoń na oficjalną infolinię banku (numer z karty lub strony banku, nie z podejrzanej wiadomości) i zgłoś zdarzenie, żeby zablokować dostęp.
Czy firmy powinny ograniczać liczbę osób z dostępem do bankowości?
Tak: im mniej osób ma pełny dostęp do bankowości firmowej, tym mniejsza powierzchnia ataku, przy zachowaniu jasnych procedur autoryzacji przelewów.
Chcesz sprawdzić, jak to wygląda w Twojej firmie?
Krótki audyt pokazuje, które elementy warto poprawić najpierw, żeby ograniczyć ryzyko i nie przepalać budżetu.