Lažni bankar zove: kako prepoznati prijevaru i zaštititi novac

Telefon zvoni, na zaslonu je domaći broj. Osoba se predstavi kao zaposlenik banke, zna vaše ime i kaže da je na računu upravo primijećen pokušaj prijenosa od 2.400 eura. Zvuči uvjerljivo i želi pomoći. Samo morate „potvrditi identitet” i izdiktirati kod koji je upravo stigao SMS-om.

U toj situaciji najvažnije je znati jednu stvar: vjerodostojnost poziva ne dokazuje ni broj na zaslonu, ni poznavanje vašeg imena, ni činjenica da osoba zna u kojoj ste banci. Podaci mogu procuriti iz drugih izvora, biti prikupljeni s interneta ili kupljeni u kriminalnim bazama, a prikaz broja pozivatelja može se zloupotrijebiti.

Nacionalni CERT takve telefonske prijevare opisuje kao vishing – oblik socijalnog inženjeringa u kojem napadač glasom pokušava izvući podatke ili navesti žrtvu na radnju u njegovu korist.

Prevarantu je najvažnije da nemate vremena razmisliti

Tipičan obrazac nije „hakiranje” u filmskom smislu. To je razgovor kojim se stvara hitnost. Navodna banka može tvrditi da će vam račun biti blokiran, da je netko pokušao potrošiti novac, da morate „prebaciti sredstva na siguran račun” ili da je za poništenje transakcije potreban kod iz aplikacije.

Crvene zastavice su:

• zahtjev da odmah djelujete jer ćete inače izgubiti novac
• traženje PIN-a kartice, lozinke ili jednokratnog autorizacijskog koda
• zahtjev da instalirate program za udaljeni pristup telefonu ili računalu
• poveznica poslana SMS-om ili e-mailom preko koje se navodno morate prijaviti u banku
• uputa da prebacite novac na „sigurni”, „zaštićeni” ili „privremeni” račun
• odvraćanje od toga da sami nazovete banku.

HNB u sigurnosnim preporukama upozorava da osjetljive bankovne podatke i vjerodajnice treba štititi te da prije potvrde plaćanja treba provjeriti iznos i primatelja. Jednokratna potvrda u aplikaciji nije šifra koju „bankar treba čuti”; ona može biti upravo ono što je potrebno za izvršenje transakcije.

Najsigurniji odgovor je vrlo jednostavan

Ako neočekivani pozivatelj kaže da je iz banke, recite da ćete sami nazvati banku i prekinite poziv. Zatim pronađite broj na službenoj stranici banke, u službenoj aplikaciji ili na poleđini kartice. Nemojte nazvati broj koji vam je pozivatelj izdiktirao niti koristiti link iz njegove poruke.

Ako je problem stvaran, banka će ga moći pronaći kada je kontaktirate službenim putem. Ako nije, upravo ste prekinuli pokušaj prijevare.

Isto pravilo vrijedi za poruke. SMS koji izgleda kao da dolazi u isti niz s pravim porukama banke nije dovoljan dokaz. Ne otvarajte poveznicu, nego sami otvorite bankovnu aplikaciju. Ako u aplikaciji nema nikakve obavijesti, a poruka traži hitnu prijavu, dodatni je razlog za oprez.

„Ali znao je moje podatke” nije dokaz da je poziv bio pravi

Današnje prijevare često su personalizirane. Napadač može znati ime, adresu, broj telefona, OIB, mjesto rada ili dio podataka s ranije kompromitiranog računa. Nacionalni CERT upozorava da se stvarni podaci iz curenja mogu iskoristiti kako bi lažni poziv ili poruka izgledali uvjerljivije.

Zato se identitet pozivatelja ne provjerava tako da on nama dokaže da zna nešto o nama. Provjerava se tako da mi uspostavimo novi kontakt preko neovisno pronađenog službenog kanala.

Što ako ste već rekli broj kartice ili kod?

Nemojte čekati da vidite hoće li se „nešto dogoditi”. Odmah kontaktirajte banku preko službenog broja i precizno recite koje ste podatke dali: broj kartice, datum valjanosti, sigurnosni broj, korisničko ime, jednokratni kod, PIN ili jeste li u aplikaciji odobrili transakciju.

Banka će prema situaciji moći blokirati karticu, digitalno bankarstvo ili drugi instrument i objasniti daljnje korake. Ako ste instalirali program za udaljeni pristup, prekinite mrežnu vezu i nemojte na tom uređaju mijenjati bankovne lozinke dok ne budete sigurni da je uređaj očišćen. Za promjenu lozinke koristite drugi pouzdan uređaj.

Provjerite promet po računu i karticama, uključujući male iznose. Prevaranti ponekad prvo pokušavaju manju transakciju. Ako vidite nešto što niste autorizirali, prijavite to banci bez odgađanja i slijedite formalni postupak za neautoriziranu transakciju.

Sačuvajte SMS-ove, e-mailove, broj s kojeg je došao poziv, vrijeme razgovora, poveznice i snimke zaslona. Ti podaci mogu biti korisni banci, policiji ili CERT-u. Kod ozbiljne financijske prijevare treba razmotriti i prijavu policiji.

Što ako ste samo razgovarali, ali niste dali podatke?

Ako niste otkrili vjerodajnice, instalirali program niti autorizirali transakciju, rizik je manji. Ipak, ako je pozivatelj znao neuobičajeno mnogo osobnih podataka, budite pojačano oprezni na sljedeće poruke i pozive. Promijenite lozinku e-maila ako sumnjate da je račun kompromitiran i provjerite je li uključena višefaktorska zaštita gdje je dostupna.

Ne treba panično mijenjati sve kartice samo zato što vas je netko pokušao prevariti. Reakcija treba odgovarati onome što je stvarno kompromitirano. Banka vam može reći treba li karticu blokirati i izdati novu.

Nije problem u „naivnosti” nego u pritisku

Socijalni inženjering uspijeva jer napadač iskorištava normalne reakcije: strah od gubitka novca, poštovanje autoriteta i želju da problem riješimo brzo. Starije građane prevaranti često ciljaju, ali iste metode uspijevaju i kod mladih, zaposlenih u tehnologiji ili ljudi koji svakodnevno koriste mobilno bankarstvo.

Najbolja zaštita zato nije uvjerenje „meni se to ne može dogoditi”, nego unaprijed dogovoreno pravilo: nitko tko me neočekivano nazove ne dobiva moje kodove, a svaku hitnu bankovnu situaciju provjeravam tako da sam uspostavim kontakt s bankom.

Što sada možete napraviti?

Spremite službeni broj banke u telefon nakon što ga provjerite na službenoj stranici ili kartici. Dogovorite isto pravilo s roditeljima, partnerom i djecom: kod neočekivanog poziva o novcu prekida se razgovor i banka se zove ponovno preko službenog broja. Ako ste već nešto otkrili ili odobrili, reagirajte odmah – brzina je važnija od nelagode zbog pogreške.

---