Black Friday bez pułapek: jak rozpoznać fałszywy sklep i phishing
Praktyczna checklista bezpiecznych zakupów: jak sprawdzić adres sklepu, płatność i wiadomość z promocją oraz jak chronić konta za pomocą MFA.
Black Friday sprzyja nie tylko zakupom. Duża liczba newsletterów, reklam i komunikatów o dostawie ułatwia ukrycie fałszywej wiadomości wśród prawdziwych ofert. Oszust liczy przede wszystkim na pośpiech, nie na techniczną przewagę.
W skrócie: nie wchodź do sklepu z linku w wiadomości, sprawdź pełny adres domeny, wybierz płatność z ochroną kupującego i włącz MFA na poczcie oraz kontach zakupowych.
1. Phishing na sterydach, czyli „superokazja”
W okresie wyprzedaży skrzynki zalewają oferty. Przestępcy kopiują układ newsletterów znanych marek, aby fałszywa wiadomość nie wyróżniała się na pierwszy rzut oka.
Najczęstszy scenariusz to e-mail lub SMS z wyjątkową przeceną albo rzekomym problemem z dostawą. Komunikat wymaga natychmiastowego kliknięcia, logowania lub dopłaty niewielkiej kwoty.
Na co uważać?
- Adres nadawcy: sprawdź fragment po znaku
@. Nazwa marki w polu nadawcy nie potwierdza autentyczności. - Link docelowy: na komputerze najedź na link bez klikania; na telefonie przytrzymaj go i odczytaj pełny adres.
- Treść prośby: dopłata, reset hasła lub logowanie z linku to sygnał, by wejść do serwisu samodzielnie.
2. Fałszywe sklepy internetowe
Widzisz reklamę w social mediach: sklep, który wygląda znajomo, oferuje produkty luksusowe za ułamek ceny. Strona wygląda profesjonalnie, ma logo, regulamin, a nawet certyfikat SSL (kłódkę przy adresie – uwaga, to już nie gwarantuje bezpieczeństwa!).
Kłódka przy adresie oznacza jedynie szyfrowane połączenie z daną stroną. Nie potwierdza, że sklep jest uczciwy. Fałszywy serwis również może mieć certyfikat TLS.
Jak się bronić?
- Sprawdź literówki, dodatkowe słowa i nietypowe rozszerzenie domeny.
- Zweryfikuj dane sprzedawcy, regulamin, zasady zwrotu i niezależne opinie.
- Sprawdź, czy cena nie odbiega rażąco od ofert w innych sklepach.
- Nie kupuj, jeżeli jedyną opcją jest zwykły przelew na rachunek nieznanej osoby.
3. Druga warstwa ochrony: MFA
Jeśli hasło zostanie wyłudzone, uwierzytelnianie wieloskładnikowe (MFA) może zatrzymać próbę logowania. Nie należy jednak bezrefleksyjnie zatwierdzać powiadomień: nieoczekiwany monit logowania może oznaczać, że ktoś już zna hasło.
W pierwszej kolejności chroń pocztę e-mail, ponieważ zwykle pozwala ona resetować hasła do innych usług. Dla kont o wysokim znaczeniu warto rozważyć metody odporne na phishing, takie jak klucz sprzętowy lub passkey.
4. Jedno hasło do wielu kont
Black Friday sprzyja zakładaniu kont w nowych sklepach na szybko, byle zdążyć z zakupem. Częsty grzech? Używanie tego samego hasła, co do poczty firmowej.
Po wycieku z jednego serwisu przestępcy automatycznie sprawdzają te same dane logowania w poczcie, mediach społecznościowych i usługach firmowych. Ten atak nazywa się credential stuffing.
Zasada jest prosta: jedno konto powinno mieć jedno unikalne hasło. Menedżer haseł pozwala je generować i przechowywać bez zapamiętywania każdej kombinacji.
Checklista przed kliknięciem „Kup teraz”
- Zatrzymaj się, jeżeli komunikat wywołuje presję czasu.
- Otwórz sklep z zakładki, aplikacji lub samodzielnie wpisanego adresu.
- Sprawdź domenę, sprzedawcę i warunki zwrotu.
- Wybierz znaną bramkę płatniczą lub metodę z ochroną kupującego.
- Użyj unikalnego hasła i włącz MFA.
- W firmie przypomnij zespołowi, aby nie wykorzystywał służbowego hasła w prywatnych sklepach.
Jeśli już podałeś dane na podejrzanej stronie, zmień hasło z zaufanego urządzenia, wyloguj aktywne sesje, skontaktuj się z bankiem w sprawie płatności i zgłoś stronę do CERT Polska.
