Czy wiadomości od Lux Medu, Vectry i PGNiG uczą nas ufać linkom? Ryzyko phishingu

Firmy od lat edukują klientów, by nie klikać w linki z e-maili i nie logować się przez nie do banków czy serwisów. Tymczasem same – czasem te same podmioty – wysyłają wiadomości z linkami prowadzącymi do płatności lub logowania. Jak opisuje Niebezpiecznik, w ostatnim czasie na takie praktyki natknęli się klienci Lux Medu, Vectry i PGNiG. Problem nie polega na tym, że te maile są fałszywe – są autentyczne. Chodzi o to, że utrwalają szkodliwy nawyk: klikania w link i podawania danych.

Trzy przykłady – trzy różne podejścia

W przypadku Lux Medu klienci po rejestracji na wizytę otrzymywali maila z potwierdzeniem i linkiem, który prowadził do strony Lux Medu, a stamtąd do bramki płatności PayU. Schemat – jak zauważa Niebezpiecznik – jest identyczny z tym, jaki stosują oszuści w kampaniach „na dopłatę”. Vectra wysyłała klientom link do eBOK, który następnie przekierowywał do płatności. PGNiG (Grupa Orlen) w mailu umieszczało przycisk „Zapłać online”, który prowadził do eBOK, a dopiero potem do płatności. Firma ta w przeszłości sama ostrzegała przed phishingiem.

Reakcje firm – co mówią?

Redakcja Niebezpiecznika zapytała wszystkie trzy podmioty o możliwość zmiany tych praktyk. Vectra odpowiedziała, że „systematycznie ogranicza liczbę linków i dąży do pełnej ich eliminacji”, ale jednocześnie wskazała, że „niektórzy ludzie bez linka nie ogarną płatności”. W oficjalnym stanowisku czytamy:

„Korespondencję masową, do której odniósł Pan swoje uwagi, charakteryzuje długi okres wdrażania nowych rozwiązań. Wynika to choćby z konieczności zmiany dotychczasowych przyzwyczajeń w zakresie korzystania z wdrożonych udogodnień przez Abonentów.”

PGNiG z kolei stwierdziło, że linki kierują do eBOK, więc nie ma problemu, ale po zgłoszeniu zmienili opis przycisku z „Zapłać online” na „Zaloguj i zapłać”. Firma podkreśliła, że „w żadnym z szablonów wiadomości nie ma linków prowadzących do bezpośredniej płatności”. Lux Med nie udzielił odpowiedzi w cytowanym artykule.

Dlaczego to problem?

Edukacja antyphishingowa od lat uczy jednej zasady: nie klikaj w link z e-maila, nie loguj się przez niego. Gdy duże, zaufane firmy wysyłają linki do logowania lub płatności, podważają tę zasadę. Oszuści podszywają się pod te same marki, używając identycznych schematów. Klient, który przywykł do klikania w linki od Vectry czy PGNiG, łatwiej da się nabrać na fałszywą wiadomość. Jak zauważa Niebezpiecznik, „wszystkim byłoby łatwiej, gdyby w materiałach edukacyjnych można było napisać: żadna uczciwa firma nie będzie Cię zachęcać w e-mailu do logowania przez kliknięcie w link”.

Co możesz zrobić jako użytkownik?

Dopóki firmy nie zmienią swoich praktyk, warto zachować czujność. Zanim klikniesz w link z e-maila, sprawdź adres nadawcy i porównaj z oficjalną domeną. Zamiast klikać, wejdź na stronę firmy ręcznie – wpisz adres w przeglądarce lub użyj aplikacji. Jeśli mail budzi wątpliwości, skontaktuj się z firmą przez oficjalny kanał. Pamiętaj: nawet autentyczna wiadomość może Cię przyzwyczaić do ryzykownego zachowania. Lepiej dmuchać na zimne.

Warto też śledzić komunikaty Niebezpiecznika i innych serwisów o cyberbezpieczeństwie, które regularnie ostrzegają przed nowymi kampaniami phishingowymi. Im więcej wiesz, tym trudniej Cię oszukać.