Kliknięty link phishingowy – co zrobić od razu, a co sprawdzić później?

Po kliknięciu podejrzanego linku najpierw przerwij dalszą interakcję ze stroną i ustal, co dokładnie wydarzyło się później. Inne działania są potrzebne, gdy strona została tylko otwarta, a inne wtedy, gdy wpisano hasło, podano dane karty, przepisano kod albo pobrano plik.

Samo otwarcie strony zwykle oznacza mniej niż przekazanie danych lub uruchomienie pobranego pliku. Nie daje jednak podstaw do całkowitego zignorowania sytuacji. Potraktować kliknięcie jako sygnał do krótkiej kontroli kont, urządzenia i finansów – adekwatnej do tego, co zostało zrobione po wejściu w link.

Najważniejsze informacje:

• Zamknij podejrzaną stronę i nie wpisuj na niej żadnych danych.
• Ustal, czy tylko otwarto witrynę, czy też wpisano hasło, kod, dane osobowe albo dane karty.
• Po ujawnieniu hasła zmień je z bezpiecznego urządzenia, zakończ aktywne sesje i włącz uwierzytelnianie dwuskładnikowe.
• Jeśli podano dane karty lub logowanie do bankowości, jak najszybciej skontaktuj się z bankiem.
• Po pobraniu albo uruchomieniu pliku odłącz podejrzanie działające urządzenie od internetu i nie loguj się na nim do kont.
• Incydent można zgłosić przez formularz CERT Polska na stronie incydent.cert.pl.

Najpierw ustal, co wydarzyło się po kliknięciu

Nie każde kliknięcie linku phishingowego prowadzi do tego samego rodzaju zagrożenia. Zanim zaczniesz zmieniać ustawienia lub wykonywać kolejne czynności, odpowiedz sobie na kilka prostych pytań:

• Czy strona tylko się otworzyła?
• Czy wpisano login, hasło lub kod autoryzacyjny?
• Czy przekazano dane osobowe albo kontaktowe?
• Czy podano dane karty płatniczej lub dane logowania do bankowości?
• Czy przeglądarka pobrała plik, aplikację albo archiwum?
• Czy pobrany plik został otwarty lub zainstalowany?

Taki podział pozwala dobrać reakcję do sytuacji. Samo otwarcie strony zwykle wiąże się z mniejszym ryzykiem niż wysłanie danych lub uruchomienie pliku, ale nie warto wracać na tę stronę ani wykonywać na niej kolejnych poleceń.

Jeżeli wpisano dane logowania, potraktuj je jako potencjalnie ujawnione. Gdy podano dane karty lub dostęp do bankowości, priorytetem staje się kontakt z bankiem. Natomiast pobrany lub uruchomiony plik zmienia punkt ciężkości: trzeba zadbać nie tylko o konto, lecz także o urządzenie.

Jeśli nie masz pewności, co dokładnie stało się po kliknięciu, przyjmij ostrożniejszy wariant. Nie oznacza to wykonywania wszystkich możliwych działań naraz, lecz zabezpieczenie tych kont i usług, których dane mogły trafić na fałszywą stronę.

Ta ocena prowadzi do pierwszego celu: zatrzymania kontaktu z podejrzaną stroną i ograniczenia dalszego ryzyka.

Czynności, które warto wykonać od razu

Zamknij fałszywą stronę lub kartę przeglądarki. Nie wpisuj tam danych, nie przepisuj kodów z SMS-a lub aplikacji, nie potwierdzaj operacji i nie pobieraj dodatkowych elementów, do których zachęca komunikat.

Jeśli tylko otwarto stronę i nie wykonano na niej dodatkowych czynności, nie ma potrzeby traktować każdego urządzenia jak zainfekowanego. W tej sytuacji rozsądne jest zakończenie interakcji oraz późniejsze sprawdzenie najważniejszych kont.

Inaczej wygląda sytuacja, gdy po kliknięciu pobrano plik, zainstalowano aplikację albo urządzenie zaczęło działać podejrzanie. Wtedy odłącz urządzenie od Wi‑Fi lub kabla sieciowego. Jeśli to możliwe, dalsze działania – zwłaszcza zmianę haseł i logowanie do bankowości – wykonuj z innego, zaufanego urządzenia.

Nie kontynuuj na podejrzanym sprzęcie logowania do poczty, kont społecznościowych, sklepów ani banku. W ten sposób ograniczasz ryzyko przekazania kolejnych danych w sytuacji, gdy urządzenie mogło zostać naruszone.

W pierwszych minutach nie musisz rozstrzygać technicznych szczegółów incydentu. Wystarczy ustalić, czy problem dotyczy przede wszystkim strony, konta, pieniędzy czy urządzenia. Od tego zależą kolejne kroki.

Jeśli podano login, hasło lub inne dane konta

Jeśli na stronie phishingowej wpisano login i hasło, zmień hasło do tego konta z bezpiecznego urządzenia. Gdy to samo hasło było używane w innych usługach, zmień je również tam – przede wszystkim w poczcie elektronicznej i kontach, które pozwalają odzyskiwać dostęp do pozostałych usług.

Po zmianie hasła wykonaj trzy działania:

1. Wyloguj aktywne sesje na koncie.
2. Włącz uwierzytelnianie dwuskładnikowe, jeśli usługa je oferuje.
3. Sprawdź, czy do konta nie dodano nieznanych urządzeń lub aplikacji.

Szczególną uwagę poświęć skrzynce e-mail. Jeżeli podejrzewasz problem z kontem Google, sprawdź ostatnie zdarzenia bezpieczeństwa, listę urządzeń, dane odzyskiwania, aplikacje mające dostęp do konta oraz ustawienia Gmaila. Warto zweryfikować zwłaszcza przekazywanie wiadomości i nietypową aktywność wysyłki.

Nie zakładaj, że włączenie uwierzytelniania dwuskładnikowego samo rozwiązuje problem z wcześniej aktywną sesją. Dlatego zakończenie sesji i kontrola podpiętych aplikacji są równie ważne jak zmiana hasła.

Gdy konto jest zabezpieczone, kolejną decyzją jest ocena, czy fałszywa strona mogła przejąć również dane finansowe.

Jeśli ujawniono dane karty lub dane finansowe

Zgłoś sytuację i poproś o zablokowanie karty lub dostępu do bankowości – zależnie od tego, jakie informacje zostały ujawnione.

Podczas rozmowy opisz konkretnie, co zostało przekazane. Inaczej wygląda sytuacja po wpisaniu danych karty, a inaczej po podaniu danych logowania do bankowości. Bank może wskazać dalsze działania odpowiednie dla danego przypadku.

Po zgłoszeniu obserwuj rachunek oraz powiadomienia dotyczące transakcji i logowania. Nie czekaj na zauważenie problemu, jeśli już wiesz, że dane finansowe trafiły na podejrzaną stronę.

Jeżeli dane finansowe wpisano na urządzeniu, na którym mógł zostać uruchomiony podejrzany plik, nie korzystaj na nim dalej z bankowości ani nie wprowadzaj kolejnych haseł. Priorytetem staje się wtedy zabezpieczenie sprzętu.

Jeśli pobrano plik albo podejrzewasz złośliwe oprogramowanie

Pobranie pliku nie musi oznaczać infekcji, ale jego otwarcie, uruchomienie lub instalacja są sygnałem, by ostrożniej potraktować urządzenie. Odłącz je od internetu, jeśli działa podejrzanie lub istnieje uzasadnione podejrzenie, że uruchomiono niebezpieczny plik.

Na takim urządzeniu nie loguj się już do kont, nie wpisuj haseł i nie używaj bankowości. Zaufane urządzenie wykorzystaj do zmiany danych dostępowych, jeśli mogły zostać wpisane po incydencie.

Następnie zaktualizuj używane oprogramowanie ochronne i uruchom skanowanie bezpieczeństwa. Nie traktuj pojedynczego wyniku jako pełnej odpowiedzi na wszystkie pytania o stan urządzenia, ale wykorzystaj go jako podstawowy krok w ocenie sytuacji.

Jeśli po incydencie nie masz pewności, czy plik został uruchomiony, nie próbuj odtwarzać tej czynności ani ponownie otwierać podejrzanej wiadomości tylko po to, by sprawdzić jej zawartość. Skup się na zabezpieczeniu kont i ograniczeniu dalszego używania urządzenia do czasu wyjaśnienia sytuacji.

Po opanowaniu bezpośredniego ryzyka pozostaje jeszcze kontrola tego, czy ktoś nie wykorzystał już przekazanych danych.

Co sprawdzić później i kiedy zgłosić incydent

Po pierwszych działaniach wróć do kont, które mogły być związane z incydentem. Przejrzyj historię logowania, aktywne sesje, podłączone urządzenia i aplikacje mające dostęp do konta. Przy poczcie sprawdź również ustawienia odzyskiwania oraz konfigurację skrzynki.

Jeżeli phishing dotyczył banku lub karty, obserwuj historię rachunku i komunikaty z banku. Jeśli dotyczył poczty, zweryfikuj wysłane wiadomości oraz ustawienia, które mogły zmienić sposób odbierania lub przekazywania korespondencji.

Incydent możesz zgłosić do CERT Polska przez formularz na stronie incydent.cert.pl. Przekaż informacje, które masz w chwili zgłoszenia – nie muszą być kompletne. Przydatny będzie adres podejrzanej strony, treść wiadomości lub inne dane pozwalające opisać zdarzenie.

Zgłoszenie nie zastępuje kontaktu z bankiem ani zabezpieczenia kont. Jest osobnym krokiem, który pomaga przekazać informację o podejrzanym incydencie właściwemu zespołowi.

Najważniejsze jest dopasowanie reakcji do tego, co wydarzyło się po kliknięciu: zamknięcie strony przy samym otwarciu, zabezpieczenie kont po podaniu danych, kontakt z bankiem po ujawnieniu danych finansowych oraz ograniczenie użycia urządzenia po pobraniu lub uruchomieniu pliku.

FAQ