NFZ phishing trafił do mojej skrzynki kilka dni po powrocie ze szpitala. Mail wyglądał profesjonalnie. Logo NFZ, oficjalny komunikat, przycisk „Rozpocznij weryfikację”, numer infolinii, estetyczna stopka.
Uśmiechnąłem się.
Bo pierwszy sygnał, że coś jest nie tak, nie był techniczny. Był logiczny.
W Polsce nikt nie dostaje rachunku po pobycie w szpitalu
W Stanach Zjednoczonych taka wiadomość mogłaby zadziałać. Tam jedna hospitalizacja potrafi kosztować tyle co samochód. Ludzie po pobycie w szpitalu rzeczywiście czekają na pisma, rozliczenia, dopłaty, zwroty.
W Polsce przyjeżdża karetka, trafiasz do szpitala, masz operację, dostajesz leki i opiekę. I nikt nie wręcza Ci na wyjściu rachunku.
Dlatego „zwrot nadpłaty z NFZ” wywołał u mnie tylko jeden odruch: chęć napisania o tym artykułu.
Ale gdyby ta wiadomość trafiła do kogoś mniej uważnego, albo bardziej zmęczonego, historia mogłaby się skończyć inaczej.
Co to jest phishing?
To atak, w którym ktoś podszywa się pod instytucję, żeby wyłudzić twoje dane lub pieniądze.
Nie chodzi o hakerów w kapturach. Chodzi o maila, który wygląda jak prawdziwy.
Jak wygląda mail NFZ phishing?
W środku znalazłem:
- informację o „nadpłacie do zwrotu”,
- prośbę o „bezpieczną weryfikację tożsamości”,
- przycisk prowadzący do zewnętrznej strony,
- prawdziwy numer infolinii NFZ,
- stopkę z logotypem i adresem.
Gdybyś dostał taki mail po ciężkim tygodniu, bez chwili zastanowienia, czy byś kliknął?
Wiele osób kliknie.
Co się dzieje po kliknięciu?
Trafiasz na fałszywą stronę. Może wyglądać jak strona banku, strona NFZ albo zwykły formularz. Strona prosi o:
- dane logowania do banku,
- numer PESEL,
- dane karty,
- albo płatność BLIK „żeby potwierdzić tożsamość”.
Podajesz dane. Strona znika. Pieniądze też.
Jak rozpoznać phishing? Pięć konkretnych sygnałów.
1. Adres nadawcy nie zgadza się z instytucją
Sprawdź nie nazwę wyświetlaną, tylko adres email. W tej wiadomości widniało „NFZ”, ale adres pochodził z domeny elisa-1284.zendesk.com. NFZ wysyła maile z nfz.gov.pl. Żadna inna domena nie jest oficjalna.
2. Wiadomość obiecuje pieniądze lub straszy konsekwencjami
„Masz zwrot”, „dopłata”, „konto zablokowane”, „paczka zatrzymana”. Cel jest jeden: wywołać emocję, żebyś działał bez myślenia.
3. Jest przycisk lub link, w który masz kliknąć
Oficjalne instytucje rzadko proszą o kliknięcie przycisku w mailu, żeby „potwierdzić dane”. Jeśli coś wymaga weryfikacji, wejdź na stronę samodzielnie, wpisując adres w przeglądarkę.
4. Wiadomość tworzy presję czasu
„Oferta ważna 24 godziny”, „działaj teraz”, „nie zwlekaj”. Presja wyłącza czujność. To celowy zabieg.
5. Coś nie gra, nawet jeśli nie wiesz co
Zaufaj temu uczuciu. Lepiej sprawdzić raz za dużo niż kliknąć raz za mało.
Dlaczego dziś trudniej to rozpoznać?
Kiedyś phishing był łatwy do wykrycia. Złe tłumaczenie, dziwne czcionki, błędy językowe.
Dziś atakujący używają:
- narzędzi AI do pisania poprawnych tekstów,
- prawdziwych logotypów pobranych ze stron instytucji,
- profesjonalnych szablonów maili,
- prawdziwych danych kontaktowych w stopce.
Wiadomość, którą dostałem, wyglądała lepiej niż niejeden firmowy newsletter.
Co zrobić, jeśli masz wątpliwości?
Nie klikaj. Wejdź na stronę instytucji samodzielnie i sprawdź, czy jest tam jakakolwiek informacja o zwrocie. Zadzwoń na oficjalną infolinię. Numer znajdziesz na stronie instytucji, nie w mailu.
Jeśli już kliknąłeś i podałeś dane, zadzwoń natychmiast do banku i zastrzeż kartę lub konto. Podejrzany mail możesz też zgłosić przez formularz na incydent.cert.pl.
Jeśli prowadzisz firmę lub chcesz zabezpieczyć sieć domową
Jeden klik zmęczonego pracownika może kosztować więcej niż roczna umowa serwisowa.
Najczęstsze ataki nie trafiają w serwery. Trafiają w ludzi. Ale odpowiednio skonfigurowany router lub sprzętowy firewall potrafi zablokować połączenie ze złośliwą stroną, nawet jeśli ktoś już kliknął w link.
Mogę pomóc skonfigurować urządzenia sieciowe tak, żeby ryzyko było wyraźnie mniejsze. Nawet jeśli zawiedzie czujność człowieka, sieć zrobi swoje.
To jakiś wydatek. Nie ukrywam.
Ale o bezpieczeństwie w sieci nie ma co dyskutować. Jeden skuteczny atak kosztuje wielokrotnie więcej niż porządna konfiguracja.
Jeśli chcesz wiedzieć, co konkretnie można zrobić u ciebie, napisz do mnie. Porozmawiamy.