Kluczowa zmiana polega na połączeniu technologii z psychologią. Oszuści wykorzystują zaawansowane narzędzia – spoofing numeru telefonu, złośliwe aplikacje, a coraz częściej także elementy sztucznej inteligencji i deepfake – ale nadal opierają się na tym samym, sprawdzonym mechanizmie: wywołać strach, presję czasu i poczucie, że tylko natychmiastowe działanie „z urzędu” lub „z banku” może uratować pieniądze.

Nowy model „konsultanta z banku”

U źródła większości współczesnych ataków stoi wciąż ten sam mechanizm – vishing, czyli wyłudzenie przez telefon – ale w wersji 2024/2025 jest to zupełnie inna liga niż kilka lat temu. Dzięki spoofingowi numeru na ekranie ofiary wyświetla się oficjalny numer banku, infolinii KNF albo innej instytucji finansowej. Już ten jeden szczegół powoduje, że wielu klientów automatycznie „obniża gardę” – przecież dzwoni numer, który widnieje na karcie, stronie banku czy w historii wcześniejszych, autentycznych rozmów.

Na tym się nie kończy. Przestępcy coraz częściej korzystają z danych zdobytych we wcześniejszych wyciekach albo wyciągniętych z mediów społecznościowych. Potrafią podać imię doradcy z oddziału, nazwy produktów, z których klient korzysta, kwoty ostatnich przelewów albo informacje o niedawnym wniosku kredytowym. Taka wiedza buduje iluzję, że po drugiej stronie jest ktoś, kto ma wgląd w „prawdziwe systemy banku”. Coraz częściej oszuści podszywają się też pod instytucje publiczne, np. KNF, twierdząc, że „asystują przy zabezpieczaniu transakcji”, choć nadzór w rzeczywistości nigdy nie bierze udziału w indywidualnych rozmowach z klientami i nie prowadzi z nim przelewów.

To wszystko tworzy nowy model: fałszywy konsultant nie brzmi już jak natarczywy sprzedawca, tylko jak profesjonalny pracownik działu bezpieczeństwa. Używa branżowego słownictwa, odwołuje się do „procedur” i „polityk bezpieczeństwa”, a nawet… przypomina klientowi znane z komunikatów banków zasady typu „nie podawaj nikomu hasła”. Dzięki temu ofiara ma poczucie, że rozmawia z kimś, kto stoi po jej stronie.

Jak przebiega rozmowa krok po kroku

Choć wariantów jest wiele, schemat rozmowy jest do złudzenia podobny. Ofiara odbiera telefon z „banku” i słyszy informację o rzekomym zagrożeniu: nietypowym logowaniu, próbie zaciągnięcia kredytu, podejrzanym przelewie czy ataku na konto. Od pierwszych sekund budowana jest atmosfera pośpiechu – „czas działa na niekorzyść”, „przestępcy właśnie próbują wyczyścić konto”, „mamy ostatnie minuty, żeby zablokować atak”.

Następnie fałszywy konsultant proponuje „działania ratunkowe”. Często chodzi o:

– przelanie pieniędzy na „bezpieczne konto techniczne banku” (z którego w praktyce nigdy nie wracają),
– instalację aplikacji do zdalnego dostępu, która ma rzekomo „zeskanować urządzenie i usunąć wirusa”,
– zalogowanie się przez podesłany link z SMS-a lub reklamy – co tak naprawdę oznacza wpisanie danych na stronie kontrolowanej przez przestępców.

Potem wszystko dzieje się pozornie „za zgodą” klienta. To on wpisuje loginy i hasła, on przepisuje kody SMS, on zatwierdza przelew, choć jest przekonany, że w ten sposób blokuje transakcję przestępcy. Najbardziej wstrząsające w wielu opisach incydentów jest to, że klienci przez dużą część procesu wierzą, iż współpracują z działem bezpieczeństwa – dopiero po godzinach lub dniach orientują się, że krok po kroku pomagali okraść samych siebie.

Zdalny pulpit i złośliwe aplikacje – „techniczne wsparcie” oszustwa

Nowym fundamentem wielu ataków są zdalne narzędzia do przejęcia kontroli nad urządzeniem. Przestępcy proszą o zainstalowanie „apki do pomocy technicznej” lub „narzędzia banku do diagnostyki”, które w rzeczywistości dają pełny dostęp do ekranu smartfona czy komputera. Po zainstalowaniu takiej aplikacji fałszywy konsultant widzi wszystko, co robi klient, może sam klikać, wypełniać formularze w bankowości internetowej, zmieniać limity czy dodawać nowych odbiorców.

Jeszcze groźniejsze są złośliwe aplikacje podszywające się pod oficjalne apki banków, firm kurierskich, operatorów czy sklepów. Po instalacji przechwytują SMS-y autoryzacyjne, wyświetlają fałszywe ekrany logowania, a w niektórych przypadkach pozwalają w tle potwierdzać transakcje, których użytkownik w ogóle nie widzi. Z zewnątrz wszystko wygląda normalnie – do czasu, aż saldo rachunku spadnie do zera.

Równolegle rozwijają się ataki z użyciem deepfake i klonowania głosu. Pojawiają się kampanie reklamowe z wykorzystaniem przerobionych wideo znanych ekspertów finansowych, a także przypadki rozmów, w których słychać syntetyczny głos przypominający pracownika firmy czy nawet członka rodziny. Jeśli do tego dołożyć realny stres i pośpiech, nawet osoba „ogarnięta” technologicznie może na chwilę zawiesić zdrowy sceptycyzm.

Dlaczego dają się nabrać nawet doświadczeni klienci

W nowszych analizach incydentów widać wyraźnie, że ofiary coraz częściej należą do grupy, którą stereotypowo uznalibyśmy za „trudną do oszukania”. To ludzie korzystający na co dzień z płatności mobilnych, dwuskładnikowego uwierzytelniania, bankowości online i aplikacji do zarządzania finansami. Wiedzą, że nie należy podawać nikomu haseł, słyszeli o phishingu, oglądali ostrzegawcze kampanie banków. Mimo to przegrywają z perfekcyjnie zaprojektowaną psychologią ataku.

Przestępcy budują autorytet, odwołując się do silnych marek banków i instytucji nadzorczych. Potrafią „wpleść” swoją narrację w realne wydarzenia z życia ofiary: telefon pojawia się krótko po złożeniu wniosku kredytowego, podniesieniu limitu karty czy założeniu konta w nowym banku. Kiedy kilka elementów układanki pasuje do osobistej historii klienta, jego mózg sam dopowiada resztę – rozmowa „musi” być prawdziwa, bo przecież dotyczy czegoś, co faktycznie się wydarzyło.

Do tego dochodzi presja emocjonalna. Fałszywy konsultant często chwali rozmówcę („dobrze, że Pan/Pani szybko reaguje, większość klientów to ignoruje”), stawiając go w roli kogoś rozsądnego i odpowiedzialnego, a jednocześnie delikatnie go obciąża: jeśli teraz odmówi, to „bank odnotuje, że klient nie zgodził się zabezpieczyć środków”. Mechanizm jest prosty – nikt nie chce być tym, który „sam sobie jest winien”, więc łatwiej ulec namowie do działania natychmiast, bez konsultacji z kimkolwiek.

Bardzo groźne jest też to, że cały scenariusz ataku często zaczyna się niewinnie – od profesjonalnie wyglądającej reklamy inwestycyjnej, formularza kontaktowego na łudząco podobnej do bankowej stronie czy „ankiety” w mediach społecznościowych. Klient ma poczucie, że sam zdecydował się na kontakt w sprawie produktu finansowego. Gdy po kilku dniach oddzwania do niego „opiekun inwestycyjny” lub „konsultant techniczny”, traktuje go jako naturalną kontynuację wcześniej rozpoczętej, wiarygodnej historii.

Nowe technologie w rękach oszustów – skala i automatyzacja

Dzisiejsze kampanie oszustw bankowych coraz bardziej przypominają zorganizowane „projekty” niż chaotyczną działalność pojedynczych oszustów. Wykorzystuje się automatyzację, voiceboty, systemy predykcyjne – wszystko po to, aby dotrzeć do jak największej liczby potencjalnych ofiar i szybko wyłowić tych, którzy wydają się najbardziej podatni.

Voicebot może rozpocząć rozmowę, informując o blokadzie karty czy „podejrzanym logowaniu”, a następnie przełączyć połączenie do żywego „konsultanta”. Systemy mogą analizować, czy klient się waha, prosi o powtórzenie, czy raczej bez wahania wykonuje polecenia – od tego zależy, czy rozmowa będzie rozwijana, czy przerwana. Równolegle w wyszukiwarkach i mediach społecznościowych pojawia się ogromna liczba reklam inwestycyjnych obiecujących „gwarantowany zysk”, „dzienne wypłaty” czy „oferty specjalne we współpracy z bankiem X czy Y”.

Za każdą z takich kampanii stoi potem ten sam mechanizm: przekierowanie na stronę, kontakt telefoniczny, budowanie zaufania, prośba o dostęp do urządzenia lub autoryzację pierwszej „testowej” wpłaty. Im bardziej profesjonalnie wygląda otoczka – strona, logo, język, dokumenty – tym trudniej przeciętnemu użytkownikowi zauważyć, że coś jest nie tak.

Co realnie działa jako obrona – praktyka, nie hasła

Banki, KNF i zespoły CERT od miesięcy powtarzają ten sam zestaw zasad, ale kluczowe jest nie tylko ich znać, lecz także umieć zastosować w stresującej sytuacji. Prawdziwy konsultant banku nigdy nie prosi o podanie pełnych danych logowania, kodów SMS czy jednorazowych haseł, nigdy też nie żąda wykonania przelewu na „bezpieczne konto techniczne” ani zainstalowania oprogramowania do zdalnego pulpitu z linka w wiadomości. Każdy taki telefon należy automatycznie traktować jako podejrzany.

Eksperci od bezpieczeństwa proponują prostą, brutalnie skuteczną zasadę „dwóch kroków”. Po pierwsze, jeśli rozmówca wywołuje presję czasu („ostatnia szansa”, „decydują się sekundy”), najlepiej natychmiast się rozłączyć. Po drugie, po chwili oddechu samodzielnie zadzwonić na oficjalny numer infolinii banku – wpisując go z klawiatury lub wybierając z aplikacji, a nie „z historii połączeń” – i zweryfikować, czy faktycznie dzieje się coś niepokojącego. Jeżeli zagrożenie jest prawdziwe, prawdziwy bank będzie o nim wiedział. Jeśli nie, właśnie uniknęliśmy ataku.

Warto też wyrobić w sobie kilka nawyków: nie instalować aplikacji z linków SMS czy komunikatorów, nie wpisywać danych logowania po kliknięciu w reklamy lub odnośniki z maili, regularnie sprawdzać historię operacji i limity transakcyjne, a podejrzane wiadomości i domeny zgłaszać do banku oraz odpowiednich służb. Tam, gdzie klienci konsekwentnie stosują te proste procedury, a banki na bieżąco wysyłają ostrzeżenia w swoich aplikacjach, skala strat spada – choć oszuści nie przestają szukać nowych scenariuszy.

Świadomość zamiast wstydu

Ważnym elementem walki z tym zjawiskiem jest przełamanie wstydu. To, że ofiarą padają także „ogarnięci” klienci, nie jest dowodem na ich naiwność, ale na to, jak bardzo profesjonalnie działają dzisiejsi przestępcy. Wiele osób dowiaduje się po fakcie, że scenariusz ich rozmowy wyglądał niemal identycznie jak setki innych zgłoszeń – różniły się tylko szczegóły.

Im częściej o tym mówimy – w firmach, w rodzinach, w szkołach, w mediach – tym mniejszą przewagę ma druga strona. Zaufanie do banków i instytucji finansowych jest potrzebne, ale musi iść w parze z nawykiem zdrowej nieufności wobec każdego telefonu, który próbuje zmusić nas do natychmiastowego działania pod hasłem „ratowania pieniędzy”. Bo w większości takich sytuacji tak naprawdę nie chodzi o to, żeby je uratować, tylko żeby je jak najszybciej od nas wyciągnąć.

Źródło: Jarosław Wasiński, MyBank.pl