Wiadomość przychodzi od kogoś, kogo znasz od lat. Zdjęcie profilowe się zgadza, imię się zgadza, historia rozmów też. „Hej, masz chwilę? Pilna sprawa, podeślesz mi kod BLIK? Oddam wieczorem”. Właśnie w tym miejscu zaczyna się jedno z najskuteczniejszych oszustw w polskim internecie. Nie opiera się ono na zaawansowanej technologii. Wykorzystuje coś znacznie cenniejszego: Twoje zaufanie do drugiej osoby.
W tym artykule wyjaśniamy, jak działa oszustwo na BLIK-a w Messengerze, dlaczego nabierają się na nie nawet ostrożni ludzie, po czym poznać, że po drugiej stronie nie siedzi Twój znajomy, i co zrobić, jeśli kod został już podany.
Jak działa oszustwo „na BLIK-a” krok po kroku
Schemat jest powtarzalny i dopracowany. Przestępcy stosują go masowo, bo działa.
- Przejęcie konta. Oszust uzyskuje dostęp do profilu na Facebooku prawdziwej osoby.
- Wybór celów. Przegląda listę znajomych i historię rozmów. Szuka osób, z którymi właściciel konta ma bliską relację i regularny kontakt.
- Otwarcie rozmowy. Pisze krótko i naturalnie, często nawiązując do stylu, jakiego używał właściciel konta.
- Pretekst i presja czasu. „Zablokowała mi się karta”, „stoję przy kasie”, „muszę pilnie coś opłacić”. Pilność to podstawa całego mechanizmu.
- Prośba o kod. Ofiara generuje w aplikacji bankowej sześciocyfrowy kod BLIK i przesyła go w wiadomości.
- Wykorzystanie kodu. Przestępca używa kodu do płatności lub wypłaty gotówki z bankomatu. Ofiara dostaje w aplikacji prośbę o potwierdzenie i, przekonana, że pomaga znajomemu, zatwierdza transakcję.
- Powtórka. Jeśli się udało, pada kolejna prośba: „Nie przeszło, wyślesz jeszcze raz?”. W rzeczywistości pierwsza transakcja przeszła bez problemu.
Kod BLIK jest ważny tylko przez 2 minuty. Dla przestępcy to zaleta, a nie ograniczenie, bo krótkie okno czasowe zmusza ofiarę do działania bez zastanowienia.
Dlaczego to oszustwo jest tak skuteczne
Większość ludzi jest przekonana, że „na pewno by się zorientowała”. Tymczasem ten schemat nie atakuje wiedzy, tylko mechanizmy psychologiczne, które działają u każdego.
- Pożyczone zaufanie. Nie oceniasz obcej osoby, tylko prośbę od kogoś bliskiego. Mózg pomija weryfikację, bo relacja została „sprawdzona” już dawno temu.
- Sztuczna pilność. Presja czasu wyłącza analityczne myślenie. Dwuminutowa ważność kodu dodatkowo ją wzmacnia.
- Niska kwota na start. Prośby zwykle dotyczą kilkuset złotych. To suma, której łatwo „pożyczyć” bez długiego namysłu, a jej wysokość nie budzi alarmu.
- Efekt zaangażowania. Kto raz pomógł, chętniej pomaga ponownie. Dlatego druga i trzecia prośba („nie przeszło”) są równie skuteczne jak pierwsza.
- Znajomy kanał. Messenger to miejsce prywatnych rozmów, a nie podejrzanych e-maili. Nikt nie spodziewa się tam ataku.
- Wstyd po fakcie. Wiele ofiar nie zgłasza sprawy, bo czuje się naiwnie. To daje przestępcom więcej czasu i mniejsze ryzyko.
Najważniejszy wniosek: w tym oszustwie ofiarą są tak naprawdę dwie osoby. Właściciel przejętego konta traci kontrolę nad swoim profilem i reputacją, a jego znajomi tracą pieniądze.
Skąd przestępca ma konto Twojego znajomego?
Wiadomość nie pochodzi od znajomego, tylko z jego przejętego profilu. Do takiego przejęcia dochodzi najczęściej przez fałszywe strony logowania, hasła z wycieków danych używane w wielu serwisach albo złośliwe oprogramowanie, które wykrada zapisane hasła i sesje z przeglądarki. Warto wiedzieć, dlaczego hakerzy przejmują konta na Facebooku i co z nimi później robią, bo oszustwo na BLIK-a to tylko jeden z wielu scenariuszy wykorzystania cudzego profilu.
Warto też pamiętać o efekcie lawiny. Z przejętego konta często rozsyłane są również linki do fałszywych stron. Każda osoba, która w nie kliknie i poda dane logowania, może stać się kolejnym „nadawcą” próśb o BLIK.
9 sygnałów, że w Messengerze nie pisze Twój znajomy
- Prośba o kod BLIK w ogóle się pojawia. Dorośli ludzie z działającym bankiem rzadko potrzebują cudzego kodu. Samo to jest poważnym sygnałem ostrzegawczym.
- Unikanie rozmowy telefonicznej. „Nie mogę teraz rozmawiać”, „mam słaby zasięg”, „jestem na spotkaniu”.
- Inny styl pisania. Brak typowych dla tej osoby zwrotów, emotek, skrótów, zdrobnień albo nagle poprawna (lub wyraźnie gorsza) polszczyzna.
- Niepasujący zwrot powitalny. Znajomy, który zawsze pisze „Siema”, nagle zaczyna od „Witam” lub „Cześć, jak się masz?”.
- Brak odpowiedzi na konkretne pytania. Oszust zbywa pytania o wspólne sprawy albo odpowiada ogólnikami.
- Pośpiech i ponaglanie. „Szybko”, „proszę, to pilne”, „za minutę mi się zamknie”.
- Prośba o kolejny kod. „Nie przeszło, wygeneruj jeszcze raz” to jeden z najbardziej charakterystycznych elementów schematu.
- Nietypowa pora lub sytuacja. Wiadomość w środku nocy lub w chwili, gdy wiesz, że ta osoba jest w pracy lub na urlopie.
- Treść potwierdzenia w aplikacji bankowej. Jeśli transakcja do zatwierdzenia to wypłata z bankomatu albo płatność w sklepie w innym mieście, to nie jest „pomoc przy kasie”. Zawsze czytaj ekran potwierdzenia przed wpisaniem PIN-u.
Odmiany oszustwa, na które warto uważać
Przestępcy modyfikują schemat, gdy stary przestaje działać. Obecnie spotyka się między innymi:
- Prośbę o przelew na telefon BLIK na „nowy numer” rzekomego znajomego.
- Link do „płatności” lub „odbioru przesyłki”, który prowadzi do fałszywej strony banku i wyłudza dane logowania.
- Wiadomość głosową lub nagranie, które ma uwiarygodnić prośbę. Rozwój narzędzi do klonowania głosu sprawia, że samo nagranie nie jest już dowodem, że pisze prawdziwa osoba.
- Wariant „zbiórkowy”: prośba o wsparcie leczenia, zwierzęcia lub pomoc po wypadku, połączona z linkiem do fałszywej zbiórki.
Weryfikacja w 30 sekund: prosta procedura
Zanim wygenerujesz jakikolwiek kod, zrób trzy rzeczy:
- Zadzwoń na numer telefonu, który masz zapisany w kontaktach. Nie przez Messengera, bo tam też odbierze oszust.
- Jeśli nie możesz się dodzwonić, zadaj pytanie kontrolne, na które odpowiedź zna tylko ta osoba i której nie da się znaleźć w historii rozmów ani na profilu.
- Jeśli masz wątpliwości, odmów. Prawdziwy znajomy zrozumie. Oszust zacznie naciskać, co tylko potwierdzi podejrzenia.
Dobrą praktyką jest też ustalenie z rodziną prostej zasady: nigdy nie prosimy się nawzajem o kody BLIK przez komunikatory. Taka reguła eliminuje problem, zanim się pojawi.
Co zrobić, jeśli już podałeś kod BLIK
Liczy się każda minuta. Działaj w tej kolejności:
- Natychmiast skontaktuj się z bankiem przez infolinię lub aplikację. Poinformuj o oszustwie i poproś o zablokowanie lub wstrzymanie transakcji. Ponieważ operację zatwierdziłeś samodzielnie, odzyskanie środków bywa trudne, dlatego szybka reakcja ma kluczowe znaczenie.
- Zrób zrzuty ekranu rozmowy, profilu nadawcy i potwierdzenia transakcji z aplikacji bankowej.
- Złóż zawiadomienie na policji o podejrzeniu popełnienia przestępstwa. Zabierz ze sobą zebrane dowody.
- Zgłoś incydent do CERT Polska przez formularz na stronie incydent.cert.pl. Podejrzane SMS-y możesz bezpłatnie przesłać na numer 8080.
- Powiadom znajomego innym kanałem (telefon, SMS, inny komunikator), że jego konto zostało przejęte. Możliwe, że jeszcze o tym nie wie.
- Zgłoś profil na Facebooku jako przejęty. Taką opcję ma do dyspozycji również osoba z listy znajomych.
- Ostrzeż wspólnych znajomych, bo przestępca najpewniej pisze równolegle do wielu osób.
Jak chronić siebie i bliskich na przyszłość
- Ustaw limity BLIK w aplikacji bankowej, zwłaszcza dla wypłat z bankomatu i płatności internetowych.
- Zabezpiecz własne konto na Facebooku: unikalne hasło, uwierzytelnianie dwuskładnikowe przez aplikację, regularny przegląd aktywnych sesji.
- Porozmawiaj z rodzicami i dziadkami. Seniorzy są szczególnie narażeni, a jedna rozmowa o tym schemacie często wystarcza, by go rozpoznali.
- Traktuj każdą prośbę o pieniądze przez komunikator jako niezweryfikowaną, dopóki nie potwierdzisz jej innym kanałem.
- Nie wstydź się zgłaszać. Każde zgłoszenie pomaga blokować kolejne ataki i chronić innych.
Najczęstsze pytania (FAQ)
Czy bank zwróci pieniądze po oszustwie na BLIK-a?
To zależy od okoliczności i decyzji banku. Ponieważ transakcję zatwierdza sam użytkownik, zwrot nie jest oczywisty. Szanse rosną, gdy zgłoszenie trafi do banku niezwłocznie i zostanie potwierdzone zawiadomieniem na policji.
Czy samo podanie kodu BLIK wystarczy oszustowi?
Nie. Transakcję trzeba jeszcze potwierdzić w aplikacji bankowej. Dlatego tak ważne jest czytanie ekranu potwierdzenia: widać na nim rodzaj operacji i kwotę.
Jak sprawdzić, czy konto znajomego zostało przejęte?
Najprościej zadzwonić do tej osoby na znany numer telefonu. Sygnałami ostrzegawczymi są też nietypowe posty, zmienione dane profilu i wiadomości, o których znajomy nic nie wie.
Gdzie zgłosić oszustwo na BLIK-a?
Do banku, na policję oraz do CERT Polska przez stronę incydent.cert.pl. Warto też zgłosić przejęty profil bezpośrednio na Facebooku.
Podsumowanie
Oszustwo na BLIK-a w Messengerze nie wymaga od przestępcy zaawansowanych umiejętności. Wystarczy mu przejęte konto i Twoje zaufanie do znajomego. Najskuteczniejsza obrona jest prosta: nie przekazuj kodów BLIK przez komunikatory, zawsze weryfikuj prośbę telefonicznie i czytaj ekran potwierdzenia w aplikacji bankowej. Jeśli kod został już podany, działaj natychmiast: bank, policja, CERT Polska i ostrzeżenie dla znajomego.
