Cyberprzestępcy przebiegle podszywają się pod mObywatela

Portal Niebezpiecznik poinformował wczoraj o wysyłaniu SMS-ów, dotyczących rzekomego sprawdzenia informacji o rzekomym wystawieniu mandatu.

„Kliknięcie w link z SMS przekierowuje ofiarę na stronę, na której może ona sprawdzić swoje punkty karne. Oczywiście sprawdzenie zawsze kończy się informacją o niepłaconym na 200 PLN mandacie” - czytamy w artykule.

Dalszym krokiem jest wyłudzanie danych z karty płatniczej w celu opłacenia fałszywego mandatu - informacje są używane do dodania karty do Portfela Google.

(...) przestępcy będą nią (kartą dodaną do Google Wallet - przyp. red) mogli płacić bez konieczności proszenia o potwierdzenia transakcji i wyzerują konto ofiary.
Niebezpiecznik

Fałszywe SMS-y

Na łamach Sekuraka wskazano, że fałszywy SMS pojawia się pod prawdziwymi wiadomościami od mObywatela, dlatego kampania jest taka groźna. Należy przy tym dodać, że nie powinniśmy ufać nadpisom adresatów SMS-ów - wiele z nich może być sfałszowanych.

Przykładowe treści SMS-ów brzmiały następująco:

„mObywatel: zarejestrowano przekroczenie prędkości pojazdu. Proszę sprawdzić status mandatu. [złośliwy link]”

„mObywatel: wykryto wykroczenie drogowe. Oplac mandat, aby uniknac dalszych konsekwencji. [złośliwy link]”

Wyłudzenie pieniędzy

Sekurak wskazał, że phishingowa strona nakłania użytkowników do wpisania danych z tablicy rejestracyjnej. Nie będzie zaskoczeniem, że każda wpisana „blacha” zwraca informacje o mandacie, który można od razu „opłacić” (czyli podać przestępcom dane ze swojej karty).

Należy przyznać, że - niestety - fałszywa strona jest dość dopracowana graficznie. Jedną z niespójności może być jednak mandat od ZTM, który nie wystawia ich za wykroczenia drogowe (lecz głównie za brak biletu na przejazd komunikacją miejską).

Kampania odnosi się do silnych emocji, które towarzyszą wielu kierowcom podczas otrzymywania informacji o rzekomym mandacie. Poniżej pragniemy zamieścić ocenzurowany zrzut ekranu złośliwej witryny, opublikowany pierwotnie na łamach Sekuraka:

Dlaczego to jest możliwe?

10 stycznia 2024 roku CSIRT NASK uruchomił system służący do wymiany informacji o wzorcach złośliwych wiadomości i zarezerwowanych nadpisach, realizując obowiązek z art. 10 Ustawy o zwalczaniu nadużyć w komunikacji elektronicznej.

Każdy zainteresowany obywatel może zazpoznać się z listą podmiotów publicznych, które używają zastrzeżonego nadpisu.

„Przedsiębiorcy telekomunikacyjni będą blokować SMS z zastrzeżonymi nadpisami, które nie pochodzą od podmiotu publicznego” - czytamy w komunikacie Ministerstwa Cyfryzacji z stycznia 2024 roku.

W wykazie znajdują się 343 nadpisy dot. podmiotów publicznych - m.in. „CERT Polska”, „PARP”, „ZUS”, „CeZ” czy „CSIRT KNF”. Co ciekawe, nie zobaczymy tam nadpisów związanych z mObywatelem. Skierujemy się z pytaniami do odpowiednich podmiotów w tej sprawie.

Nieustannie powinniśmy pamiętać o tym, że nie powinniśmy ufać nadpisom SMS-ów, nawet jeżeli któryś z nich jest zastrzeżony, to cyberprzestępcy mogą próbować stworzyć bardzo podobny.

Należy przy tym oddać, że mechanizm zastrzegania nadpisów jest słuszny i konieczny - zapobiega „wstrzykiwaniu” wiadomości w już istniejące konwersacje z podmiotem o zastrzeżonym nadpisie.

Jak się chronić?

Niezależnie od tego, czy nasze dane zostały wykradzione lub uległy naruszeniu ochrony, powinniśmy pamiętać o poniższych elementach cyberhigieny:

• zastrzeżenie numeru PESEL (więcej: tutaj);
• wykorzystywanie dwuetapowego uwierzytelniania (więcej: tutaj);
• stosowanie silnych i unikalnych haseł (więcej: tutaj).

Jeżeli podaliśmy jakiekolwiek dane w formularzu cyberprzestępców, powinniśmy natychmiast zastrzec kartę płatniczą.

Pamiętajmy również o niepodawaniu jakichkolwiek prywatnych danych na nieznanych (bądź niezaufanych) stronach - link powinniśmy czytać „od lewej do prawej”, ponieważ to przed domeną najwyższego poziomu (np. „.pl” czy „.com”) znajduje się faktyczna strona. Więcej ciekawych informacji zawarto w opracowaniu CERT Polska z września 2025 roku.

Przykładowo: „(cokolwiek).gov.pl” wskazuje na domenę gov.pl, a „pl-gov.(cokolwiek).pl” czy „(cokolwiek).pl/gov” wskazują na stronę „(cokolwiek).pl” - nie na witrynę rządową.

Wszelkie próby wyłudzeń danych powinniśmy zgłaszać do CERT Polska, zaś podejrzane SMS-y przekazywać na numer 8080.

Chcesz nam coś przekazać? Polecamy anonimowy kontakt z nami - należy użyć formularza „Zgłoszenia anonimowe” u dołu strony.