Inżynieria społeczna (ang. social engineering) to manipulowanie ludźmi tak, żeby sami przekazali pieniądze, dane logowania, kody lub dostęp do urządzenia. Atakujący nie łamie zabezpieczeń technicznych – obchodzi je, wykorzystując zaufanie, strach, pośpiech i chęć zysku. Phishing to jeden z jej kanałów (fałszywe wiadomości i strony), ale inżynieria społeczna obejmuje też rozmowy telefoniczne, komunikatory, fałszywe reklamy i wielotygodniowe budowanie relacji.
Podstawowe techniki
| Technika | Na czym polega |
|---|---|
| Pretexting | oszust tworzy wiarygodną historię – „podejrzana transakcja”, „kontrola”, „zwrot podatku” – i odgrywa rolę |
| Podszywanie się | „konsultant banku”, „dział bezpieczeństwa giełdy”, „policjant”, „pracownik KNF”; numer na ekranie telefonu może być sfałszowany |
| Fałszywe inwestycje | reklamy z deepfake’ami znanych osób, „opiekun konta”, platforma pokazująca fikcyjne zyski |
| Metoda „na policjanta” | rzekomy funkcjonariusz prosi o „pomoc w akcji” i przekazanie pieniędzy lub przelew na „konto zabezpieczające” |
| Zdalny pulpit | prośba o instalację aplikacji do zdalnej pomocy, która daje oszustowi kontrolę nad urządzeniem |
Scenariusz 1: „dział bezpieczeństwa banku”
Tak zwykle wygląda to z perspektywy ofiary:
- Dzwoni telefon, a na ekranie wyświetla się numer lub nazwa Twojego banku. Rozmówca zna Twoje imię i nazwisko.
- Słyszysz, że „ktoś próbuje wziąć kredyt na Twoje dane” albo „zlecono podejrzany przelew na 9800 zł”.
- Konsultant „przełącza” Cię do „policjanta” lub „działu bezpieczeństwa”, który potwierdza zagrożenie i prosi o dyskrecję – „w banku może działać wspólnik przestępców”.
- Dostajesz polecenie: przelej oszczędności na „bezpieczne konto techniczne” albo zainstaluj aplikację, „żeby specjalista mógł zablokować przelew”.
- Masz 48 000 zł na koncie oszczędnościowym. Przelewasz je trzema przelewami po 16 000 zł, bo „limit dzienny”. Konto docelowe należy do oszustów, a pieniądze w ciągu minut trafiają dalej.
Żaden bank nie przenosi pieniędzy na „bezpieczne konto”, nie prosi o instalację aplikacji zdalnego dostępu ani o podanie kodu BLIK, hasła czy kodu z SMS. Policja nie prowadzi akcji z udziałem pieniędzy obywateli.
Scenariusz 2: fałszywa inwestycja z deepfake’iem
- W mediach społecznościowych widzisz reklamę: znany biznesmen lub dziennikarz „zdradza”, jak zarabia na krypto. Wideo wygląda realistycznie – to deepfake.
- Zostawiasz numer telefonu. Dzwoni „opiekun konta”, uprzejmy i cierpliwy, i proponuje start od 1000 zł.
- Platforma pokazuje zyski: po dwóch tygodniach saldo to 1400 zł. Opiekun namawia na więcej – dopłacasz 10 000 zł, potem 25 000 zł, czasem biorąc kredyt „na okazję”.
- Po kilku tygodniach na ekranie widzisz 68 000 zł przy wpłatach 36 000 zł. Chcesz wypłacić.
- Słyszysz, że najpierw trzeba zapłacić „podatek” lub „opłatę za odblokowanie” – 15%, czyli 10 200 zł. Płacisz, a wypłata nie przychodzi. Kontakt się urywa albo pojawiają się kolejne „opłaty”.
- Po jakimś czasie kontaktuje się „kancelaria” lub „firma odzyskująca środki”, która za zaliczkę obiecuje odzyskanie pieniędzy. To zwykle ta sama grupa, druga runda oszustwa.
Saldo 68 000 zł nigdy nie istniało – to liczby w panelu kontrolowanym przez oszustów. Realna strata to 36 000 zł wpłat plus 10 200 zł „opłaty”, czyli 46 200 zł.
Czerwone flagi
- presja czasu i emocje: „musi Pan działać teraz”, „nikomu o tym nie mów”,
- prośba o przelew na „bezpieczne konto”, wypłatę gotówki lub wpłatę we wpłatomacie krypto,
- prośba o instalację aplikacji zdalnego dostępu lub podanie kodu BLIK, hasła, kodu SMS, frazy seed,
- obietnica wysokiego i pewnego zysku, „gwarancja” lub „program rządowy”,
- konieczność zapłaty, żeby wypłacić „własne” zyski,
- przełączanie między „instytucjami” – bank, policja, prokuratura – w jednej rozmowie.
Jak się bronić
- Rozłącz się i oddzwoń na numer z karty płatniczej lub strony banku – sam, nie przez „przekierowanie”.
- Nie instaluj aplikacji na prośbę rozmówcy i nie udostępniaj ekranu.
- Sprawdzaj podmioty inwestycyjne na liście ostrzeżeń publicznych KNF i w rejestrach nadzorców.
- Ustal hasło rodzinne – przydatne przy metodach „na wnuczka” i „na policjanta”.
- Zastrzeż numer PESEL (np. w aplikacji mObywatel), co utrudnia zaciąganie zobowiązań na Twoje dane.
- W krypto: żaden pracownik giełdy ani producenta portfela nie poprosi o frazę seed.
Gdzie zgłosić oszustwo
Liczy się czas. Od razu zadzwoń do banku i poproś o zablokowanie konta oraz próbę zatrzymania przelewu. Zgłoś sprawę na policję – osobiście lub przez numer alarmowy. Podejrzane strony i wiadomości zgłoś do CERT Polska przez formularz incydent.cert.pl, a podejrzane SMS-y możesz bezpłatnie przesłać na numer 8080. Jeśli oszuści mieli dostęp do Twojego urządzenia, zmień hasła z innego, czystego sprzętu.
Najczęstsze błędy
- Wiara, że numer wyświetlony na ekranie potwierdza tożsamość dzwoniącego.
- Przekonanie „mnie to nie dotyczy” – oszuści dostosowują scenariusz do ofiary.
- Wstyd i zwlekanie ze zgłoszeniem, co zmniejsza szansę na zatrzymanie środków.
- Zaufanie „firmom odzyskującym środki” po pierwszym oszustwie.
Perspektywa tradera
Oszuści celują w osoby, które już inwestują – wiedzą, że masz środki i jesteś oswojony z ryzykiem. Obietnica „pewnych 30% miesięcznie” powinna uruchomić tę samą czujność co setup bez stop lossa. Zarządzanie ryzykiem obejmuje też bezpieczeństwo operacyjne: oddzielny e-mail do giełd, sprzętowe 2FA, białe listy adresów wypłat i zasada, że decyzji finansowych nie podejmujesz pod presją telefonu.
Najczęstsze pytania
Czym inżynieria społeczna różni się od phishingu?
Phishing to jedna z jej form – fałszywe e-maile, SMS-y i strony. Inżynieria społeczna obejmuje też rozmowy telefoniczne, komunikatory, fałszywe reklamy i długie budowanie zaufania.
Czy bank może zadzwonić z prośbą o przelew na bezpieczne konto?
Nie. To zawsze oszustwo. Rozłącz się i zadzwoń do banku na numer z karty lub oficjalnej strony.
Wyświetlił się numer mojego banku. Czy to na pewno bank?
Nie. Numer można sfałszować. Oddzwoń samodzielnie, żeby mieć pewność, z kim rozmawiasz.
Jak rozpoznać deepfake w reklamie inwestycyjnej?
Nie opieraj się na jakości obrazu, bo bywa bardzo dobra. Znane osoby nie polecają w reklamach platform z gwarantowanym zyskiem – samo takie hasło to czerwona flaga.
Co zrobić, jeśli już przelałem pieniądze?
Natychmiast zadzwoń do banku, zgłoś sprawę na policję i do CERT Polska. Nie płać nikomu za „odzyskanie środków”.
Czy mogę odzyskać kryptowaluty wysłane oszustom?
Transakcji w blockchainie nie da się cofnąć. Czasem pomaga szybkie zgłoszenie – giełda, na którą trafiły środki, może je zablokować na wniosek organów ścigania.
Tekst ma charakter edukacyjny i nie stanowi rekomendacji inwestycyjnej.
