Rozliczasz PIT przez internet? Uważaj na ataki – możesz stracić całe oszczędności

Cyberprzestępcy czekają na rozpoczęcie okresu rozliczeń. PIT przez internet złoży w tym roku z pewnością jeszcze więcej Polaków niż wcześniej. Dla oszustów oznacza to coraz większą grupę osób, spośród których ktoś może dać się nabrać na fałszywy e-mail. Warto uważnie przyglądać się wiadomościom, szczególnie że wiele z nich da się dość łatwo rozpoznać – schematy ataków są bowiem powtarzalne.

Na nadchodzący okres wzmożonych ataków wycelowanych w rozliczających się Polaków zwracają uwagę badacze z CyberRescue. Główne zagrożenie to phishing, czyli namawianie do klikania w podejrzane linki lub do pobierania zainfekowanych załączników za pośrednictwem poczty e-mail.

Już samo kliknięcie w podejrzany link i pobranie szkodliwego załącznika może być katastrofalne w skutkach. Częściej problemem jest jednak dopiero dalsze działanie nieświadomej ofiary, czyli na przykład podanie w formularzu na stronie swoich danych lub uruchomienie makr w pobranym pliku XLSX z Excela.

Jak się okazuje, atakujący wybierają najczęściej jedną z trzech sprawdzonych metod. W swoich e-mailach podszywają się pod Ministerstwo Finansów, informując o rzekomych nieprawidłowościach w rozliczeniu. Czasem sugerują konieczność uregulowania zmyślonej niedopłaty podatku (rzędu kilku złotych) lub zachęcają do złożenia rozliczenia po kliknięciu w załączony link.

Jeśli odbiorca zaufa tego typu wiadomościom, jest już tylko o krok od stracenia wszystkich oszczędności (wyniku późniejszej kradzieży z konta bankowego), a w najlepszym przypadku podzielenia się z oszustami szeregiem swoich danych osobowych.

Innym zagrożeniem są fałszywe aplikacje mobilne, które do złudzenia przypominają oficjalne programy do obsługi internetowej bankowości. Przez nieuwagę można w ten sposób podać swoje dane logowania oszustom, a o kradzieży pieniędzy przekonać się dopiero po kilku minutach.

"Nie powinniśmy ufać mailom, które zachęcają nas do pobrania programu mającego „obliczyć za nas PIT”. Szczególnie, jeżeli pochodzi on spoza zaufanych źródeł, takich jak Google Play czy Apple App Store" – tłumaczy Weronika Bartczak, specjalistka ds. bezpieczeństwa w CyberRescue. "Takie aplikacje nie tylko mogą przekazywać nasze dane przestępcom, ale też najprawdopodobniej zawierają złośliwe oprogramowanie, które może wyrządzić naszemu urządzeniu duże szkody" – dodaje.

Opisywane zagrożenia nie są tylko teoretyczne. W ubiegłym roku opisywaliśmy historię naszych czytelników, którzy w podobny sposób stracili prawie 70 tys. złotych.

Istotą większości opisywanych ataków jest skłonienie odbiorcy do kliknięcia w link zawarty w e-mailu czy wiadomości SMS. W efekcie ofiara jest przekierowywana do spreparowanego systemu szybkich płatności, w którym rzekomo bez problemu będzie mogła uregulować zmyśloną niedopłatę. W praktyce formularz służy jedynie do przekazywania danych atakującym.

Jeśli do tego momentu ofiara nie zorientowała się, że nie porusza się po oficjalnym systemie bankowości lub szybkich płatności, później może być już tylko trudniej. Przestępcy zwykle zachęcają do wypełnienia formularza, w którym należy podać między innymi login i hasło do bankowości. Co istotne, strona żąda podania pełnego hasła, a nie tylko kilku jego znaków, jak ma to miejsce w autentycznych systemach banków. To kolejny moment, w którym użytkownikowi powinna się "zapalić czerwona lampka".

Ponieważ na tym etapie przestępcy dysponują już danymi logowania do prawdziwego systemu bankowości ofiary, ostatni moment by temu zapobiec to potwierdzenie rzekomego przelewu kodem z SMS-a. Tu warto zwracać uwagę na treść wiadomości i nazwę wykonywanej operacji, która musi się pokrywać z tym, co wykonywane jest na komputerze.

Przestępcy na różne sposoby próbują na tym etapie uzyskać kod uwierzytelniający podczas logowania, dodać własny numer konta do zaufanych odbiorców lub zlecić przelew na konkretną kwotę. Machinalne przepisanie kodu z SMS-a do formularza przygotowanego przez atakujących przypieczętuje ich sukces.

Co najważniejsze, aby nie paść ofiarą opisywanych ataków, nie jest potrzebna nadzwyczajna wiedza z zakresu internetowego bezpieczeństwa. Wystarczy odrobina zdrowego rozsądku i czytanie każdej wiadomości z podejrzeniem, że nadawca niekoniecznie musi być wiarygodny.

Jeśli zobaczysz e-mail, który wzywa cię do uregulowania rzekomego długu lub wyjaśnienia jakiejś kwestii podatkowej, najlepiej na niego nie reaguj. Aby rozwiać wątpliwości i wyjaśnić ewentualne nieprawidłowości, dużo lepiej będzie samemu skontaktować się z właściwym urzędem, niż ślepo wierzyć wiadomości, którą mógł napisać sprytny cyberprzestępca.

Warto pamiętać, że oszuści robią wszystko, by upodobnić przygotowywane przez siebie strony do oficjalnych systemów płatności i bankowości. Płacąc w sieci należy więc unikać klikania w linki przenoszące do rzekomych serwisów szybkich płatności i wielokrotnie upewniać się, że odwiedzana strona jest autentyczna. Podstawą jest sprawdzenie zabezpieczeń (symbol kłódki i litera S w skrócie HTTPS) oraz poprawności adresu witryny pod kątem ewentualnych literówek.

Jeśli chcesz rozliczyć PIT przez internet, szereg przydatnych aplikacji z tym związanych znajdziesz w naszym katalogu programów.