Zatrzymaj się przed kliknięciem
Fałszywy e-mail z prośbą o zalogowanie się często nie wygląda jak przypadkowy spam. Może używać nazwy znanej usługi, podobnych kolorów i poprawnego języka. Jego celem jest zwykle skłonienie odbiorcy do otwarcia strony, która naśladuje prawdziwy ekran logowania. Wpisane tam dane trafiają do osoby stojącej za wiadomością, a nie do usługi, z której chcesz skorzystać.
Pierwszym sygnałem do sprawdzenia wiadomości jest presja: „zaloguj się natychmiast”, „potwierdź konto, inaczej stracisz dostęp” albo „odrzucono płatność”. Taka treść nie dowodzi jeszcze oszustwa, bo prawdziwe usługi również wysyłają ważne powiadomienia. To jednak wystarczający powód, by nie korzystać z przycisku w e-mailu. Sprawdzenie sprawy inną drogą zajmuje zwykle mniej wysiłku niż odzyskiwanie przejętego konta.
Sprawdź nadawcę, ale nie oceniaj tylko po nazwie
Wyświetlana nazwa nadawcy, na przykład „Obsługa konta”, jest łatwa do upodobnienia do nazwy prawdziwej firmy. Rozwiń szczegóły wiadomości i zobacz pełny adres e-mail. Zwróć uwagę na dodatkowe słowa, przestawione litery oraz domenę, która jedynie przypomina nazwę usługi. Podejrzany adres jest mocną wskazówką, ale znajomy adres w polu nadawcy nie daje pewności: wygląd wiadomości można podrobić, a prawdziwe konto pocztowe może zostać wykorzystane bez wiedzy właściciela.
Przeczytaj też samą prośbę. Czy dotyczy konta, którego używasz? Czy e-mail podaje konkretną czynność do wykonania po zalogowaniu, czy tylko wywołuje niepokój? Ogólny zwrot do odbiorcy, nietypowy ton, błędy lub prośba o podanie hasła w odpowiedzi powinny zwiększyć ostrożność. Żadnego z tych elementów nie traktuj osobno jako niezawodnego testu. Dobrze przygotowana fałszywa wiadomość może być poprawna językowo i zawierać Twoje imię.
Przyjrzyj się celowi linku bez otwierania go
Tekst przycisku „Zaloguj się” nie mówi, dokąd prowadzi. Na komputerze zwykle można najechać na przycisk lub odnośnik i odczytać adres docelowy bez klikania. W telefonie bywa możliwe przytrzymanie linku i obejrzenie podglądu, lecz nie wybieraj opcji otwarcia strony. Jeśli podgląd jest ucięty albo niewygodny do odczytania, pomiń tę metodę i przejdź bezpośrednio do aplikacji lub znanej Ci strony usługi.
W adresie zwróć uwagę na właściwą domenę, a nie tylko na słowo rozpoznawalnej marki gdzieś na początku ciągu znaków. Adres może zawierać nazwę usługi jako część dłuższej, obcej domeny. Nie uznawaj też symbolu kłódki ani początku „https” za dowód, że strona należy do oczekiwanej firmy. Oznaczają one zabezpieczenie połączenia z daną witryną, nie potwierdzają jej uczciwości. Skrócone i trudne do odczytania linki najlepiej pozostawić nieotwarte.
Zweryfikuj prośbę niezależną drogą
Najprostszy nawyk brzmi: nie loguj się przez link z niespodziewanego e-maila. Otwórz aplikację, z której zwykle korzystasz, albo wpisz samodzielnie znany adres usługi w przeglądarce. Jeśli zapisujesz zakładki do ważnych kont, możesz użyć sprawdzonej zakładki. Po zalogowaniu poszukaj powiadomienia lub sprawdź odpowiednią sekcję konta. Brak komunikatu nie zawsze rozstrzyga sprawę, ale pozwala ocenić ją bez przechodzenia przez podejrzany odnośnik.
Jeżeli wiadomość dotyczy płatności, przesyłki lub zmiany hasła, sprawdzaj jej szczegóły w aplikacji albo przez kanał pomocy znaleziony niezależnie od e-maila. Nie dzwoń pod numer podany wyłącznie w podejrzanej wiadomości i nie odpisuj, podając dane do logowania. Możesz też oznaczyć e-mail jako próbę wyłudzenia w swojej skrzynce. W razie wątpliwości nie musisz podejmować decyzji w tempie narzuconym przez treść wiadomości.
Co zrobić, jeśli link został już otwarty
Samo otwarcie strony nie jest tym samym co wpisanie hasła. Zamknij podejrzaną kartę i nie pobieraj proponowanych plików. Jeśli podałeś dane logowania, otwórz usługę niezależną drogą i zmień hasło na nowe, nieużywane w innych miejscach. Sprawdź dostępne ustawienia bezpieczeństwa: aktywne sesje, historię logowań, adres do odzyskiwania konta oraz reguły przekazywania poczty, jeśli chodzi o skrzynkę e-mail. Wyloguj nieznane sesje i włącz uwierzytelnianie wieloskładnikowe, gdy usługa je oferuje.
Jeśli to samo hasło było używane również gdzie indziej, zmień je także w tych miejscach. Gdy podałeś dane płatnicze albo widzisz nieznane działania na koncie, skontaktuj się z odpowiednią usługą jej oficjalnym kanałem. Na przyszłość warto zapamiętać krótką procedurę: zatrzymaj się, sprawdź prośbę poza e-mailem i dopiero wtedy zaloguj się do znanej aplikacji lub witryny. Ten nawyk jest bardziej użyteczny niż próba zapamiętania wyglądu wszystkich możliwych oszustw.
