Jak sprawdzić usługę wymiany walut przed wysłaniem środków
Nazwa i kłódka nie wystarczą. Kontrola usługi wymiany obejmuje tożsamość podmiotu, dokładny adres, warunki oraz odbiorcę przelewu.
Oszuści mogą kopiować wygląd prawdziwych serwisów, kupować podobne domeny i wysyłać wiadomości wywołujące presję czasu. Z drugiej strony sama mało znana nazwa nie oznacza oszustwa. Potrzebna jest seria sprawdzeń, w której dane z jednego miejsca potwierdzają informacje z innego.
Zacznij od pełnej tożsamości podmiotu
W regulaminie lub wymaganych informacjach przedumownych znajdź nazwę prawną, adres i identyfikatory. Nie poprzestawaj na marce widocznej w nagłówku. Sprawdź dane we właściwych oficjalnych źródłach. Wyszukiwarka podmiotów KNF pomaga odszukać informacje o podmiotach nadzorowanych i rejestrowanych, ale należy przeczytać rodzaj wpisu oraz zakres wskazanej działalności.
Porównaj domenę i dane kontaktowe z informacją w rejestrze lub na oficjalnej stronie otwartej niezależną drogą. Jeżeli nazwa spółki jest wspólna dla kilku podmiotów, zwróć uwagę na numer identyfikacyjny i adres. Rozbieżności wymagają wyjaśnienia przed wpłatą, nie po niej.
Sprawdź ostrzeżenia, lecz nie nadawaj im odwrotnego znaczenia
Lista ostrzeżeń publicznych KNF zawiera informacje o zawiadomieniach w sprawach wskazanych na stronie. Jeśli podmiot lub powiązana domena pojawia się na liście, zapoznaj się z pełnym wpisem i nie ignoruj sygnału. Brak wyniku nie oznacza jednak, że podmiot został sprawdzony i zatwierdzony. Nowa fałszywa strona może jeszcze nie być zgłoszona, a nazwa użyta przez oszusta może różnić się jednym znakiem.
Podobnie opinie użytkowników mogą podsunąć pytania, ale nie są rejestrem ani dowodem. Mogą dotyczyć innej usługi, być nieaktualne lub zmanipulowane. Opieraj decyzję na dokumentach, zgodnych danych i własnej kontroli transakcji.
Czytaj domenę od prawej strony
W adresie najważniejsza jest zarejestrowana domena, a nie dowolny tekst przed nią ani po ukośniku. Oszust może umieścić znaną nazwę jako subdomenę zupełnie innego adresu, użyć liter podobnych wizualnie albo dodać słowo sugerujące logowanie. CERT Polska opisuje takie wzorce w analizach domen phishingowych.
Połączenie HTTPS oznacza szyfrowanie transmisji do domeny widocznej w pasku. Nie potwierdza, że domena należy do oczekiwanej instytucji. Certyfikat może otrzymać również witryna przygotowana do wyłudzenia. Dlatego najpierw sprawdzasz adres, a dopiero potem logujesz się.
Zatrzymaj się przy niespodziewanej wiadomości
Wiadomość o blokadzie, dopłacie lub pilnej zmianie rachunku ma skłonić do działania bez kontroli. Nie odpowiadaj danymi logowania i nie korzystaj z podanego przycisku. Otwórz usługę przez własną zakładkę albo samodzielnie wpisany, wcześniej zweryfikowany adres. Następnie sprawdź komunikaty na koncie lub skontaktuj się oficjalnym kanałem.
Nie instaluj programu do zdalnego pulpitu na prośbę osoby, która zadzwoniła w sprawie rzekomej wymiany lub zwrotu. Nie podawaj kodu BLIK, kodu SMS, jednorazowego hasła ani pełnych danych karty. Pracownik nie potrzebuje przejąć ekranu, aby „zabezpieczyć” Twój rachunek.
Aplikacja także wymaga sprawdzenia źródła
Jeśli usługa działa w aplikacji, przejdź do sklepu systemowego przez własne urządzenie i porównaj nazwę wydawcy z danymi podmiotu. Reklama lub wiadomość może prowadzić do instalacji programu podszywającego się pod usługę albo do profilu instalacyjnego spoza oficjalnego sklepu. Liczba pobrań i znajoma grafika nie zastępują weryfikacji wydawcy, uprawnień i adresu polityki prywatności.
Aktualizuj system i aplikację ich standardowymi mechanizmami. Program do wymiany walut nie powinien wymagać wyłączenia zabezpieczeń telefonu ani instalacji narzędzia umożliwiającego obcej osobie sterowanie ekranem. Taką prośbę potraktuj jako powód do przerwania kontaktu i samodzielnego połączenia z podmiotem.
Zweryfikuj konkretną dyspozycję
Nawet na właściwej stronie przeczytaj podsumowanie: parę walut, kierunek, kwotę, kurs, prowizje, termin i rachunek. W aplikacji banku porównaj odbiorcę i numer rachunku z prawidłową instrukcją. Jeśli dane są inne, nie zatwierdzaj przelewu pod wpływem komunikatu o kończącym się kursie.
Przy zmianie danych płatniczych potwierdź ją drugim, niezależnym kanałem. Nie dzwoń na numer zawarty w tej samej podejrzanej wiadomości. Przejdź przez dane opublikowane w zweryfikowanym serwisie lub rejestrze.
Co zrobić po podejrzanym zdarzeniu
Jeśli tylko otworzyłeś link, zamknij stronę i nie wracaj przez historię. Gdy wpisałeś hasło, zmień je na prawdziwej stronie, zaczynając od bezpiecznego urządzenia, i sprawdź aktywne sesje. Jeżeli ujawniłeś dane płatnicze, zatwierdziłeś operację lub wysłałeś środki, natychmiast skontaktuj się z bankiem przez oficjalny kanał; czas może mieć znaczenie dla dostępnych działań.
Zachowaj wiadomość, adres, numery rachunków i potwierdzenia. Incydent można zgłosić do CERT Polska na incydent.cert.pl. Podejrzenie przestępstwa zgłoś również właściwym organom. Nie płać osobie obiecującej odzyskanie pieniędzy w zamian za kolejny przelew — takie wtórne oszustwa wykorzystują stres ofiary.
Zasada końcowa
Wiarygodność wynika ze zgodności wielu elementów, nie z jednego znaku jakości. Tożsamość, uprawnienia, domena, regulamin, kanał kontaktu i dane przelewu muszą opisywać tę samą usługę. Jeśli nie potrafisz usunąć rozbieżności, bezpieczną decyzją jest odłożenie transakcji.