Przy prowadzeniu kilku fanpage z różnych branż, zdarza mi się otrzymać nawet kilkanaście wiadomości dziennie – a to o blokadzie konta, a to o podejrzanych operacjach na moim profilu społecznościowym, czy też zawieszeniu reklam. Praktycznie wszystkie sprowadzają się do jednej komendy – kliknij podany link, żeby się odwołać / zmienić hasło, a my ci pomożemy. Czasem trzeba też pobrać plik (fakturę / numer nadania przesyłki itp).
Niestety w 99% przypadków są to oszustwa służące wyłudzeniu danych do logowania. Oszuści próbują wymusić na tobie wpisanie swoich danych logowania na podróbce strony, a potem uzyskują dostęp do fanpage, profilu prywatnego i konta reklamowego, mogąc robić tak naprawdę, co chcą. Najczęściej są to reklamy dziwnych linków, treści pornograficzne lub nawet wyłudzanie pieniędzy od znajomych – prośba o blik, przelew czy dalsze kliknięcia i przejmowanie kont.
W tym artykule dokładnie opiszę, jak to wszystko wygląda, a także dam kilka przykładów oszustw i wskażę cechy charakterystyczne tych prób. Dzięki temu następnym razem bez problemu rozpoznasz próbę oszustwa.
Spis treści
Czym jest phishing?
Phishing to właśnie nic innego jak próba przejęcia, wyłudzenia Twoich danych do różnych serwisów. Przybierają wiele form, maile, smsy, przekierowania na prawdziwych stronach – jest tego naprawdę mnóstwo. W dobie AI oraz pomysłowych oszustów niestety zdarza się to coraz częściej i niełatwo jest odróżnić prawdę od kłamstwa. Właśnie dlatego zabezpieczanie swoich sprzętów, wymyślanie dobrych haseł na różnych platformach, podwójne zabezpieczenie (tzw. 2FA, o czym napiszę w kolejnych akapitach) są tak ważne.
Jak to przebiega? W 99% przypadków tak samo.
- Otrzymujesz wiadomość, oszuści często wykorzystują ,,straszenie” – już, teraz, zaraz klikaj, bo zablokujemy konto, bo policja, bo stracisz wszystko, bo przesyłka nie dojdzie.
- Po kliknięciu ofiara zostaje przekierowana na podróbkę strony – często bardzo przemyślnie zbudowaną, a różniącą się niewielkim szczegółem np. facebokk.com, zamiast facebook.com. W pośpiechu i chęci ratowania naszego konta nie zwracamy dokładnej uwagi na adres.
- Wpisujemy nasze dane do logowania, żeby się zalogować lub zweryfikować.
- Po chwili oszuści wchodzą na nasze konta, zmieniają hasła lub wykonują swoje działania jak kradzież środków i inne.
Oczywiście istnieje dużo więcej metod oszukiwania, ale w tym artykule skupimy się na zabezpieczeniu Facebooka, gdzie agenci ubezpieczeniowi często prowadzą konwersacje z klientami i miesiącami budują markę osobistą. Strata całej tej pracy byłaby nie tylko bolesna, ale też niebezpieczna z punktu widzenia RODO.
Najczęściej stosowane oszustwa i jak je rozpoznać
Tak jak zapowiedziałem, chciałbym w tym artykule skupić się na oszustwach związanych z Facebookiem. Pokażę na screenach prawdziwych wiadomości / maili jak to wygląda oraz zaznaczę charakterystyczne cechy, które łączą takie wiadomości. Przede wszystkim chcę dać Ci jedną radę: NIE KLIKAJ W ŻADNE WYSŁANE LINKI.
Na tym moglibyśmy w sumie zakończyć artykuł, ale jednak go rozwinę. Meta (Facebook) nigdy, przenigdy nie wyśle do Ciebie prywatnej wiadomości, nie oznaczy w dziwny sposób, nie wyśle maila zwracającego się do Ciebie per nazwa fanpage. Jeśli wystąpi u Ciebie jakikolwiek problem z kontem, otrzymasz:
a) maila z oficjalnego adresu Facebooka,
b) powiadomienie (nie jako oznaczenie, tylko jako powiadomienie systemowe!)
Przykłady opiszę w kolejnych akapitach.
Fałszywa wiadomość na fanpage
Praktycznie najczęściej używany typ oszustwa – otrzymujemy wiadomość o rzekomym naruszeniu zasad społeczności oraz konieczności usunięcia konta. Możemy oczywiście się odwołać, a tym samym stracić dostępy do konta. Przede wszystkim należy pamiętać, że nie ma nigdy możliwości, że Facebook wyśle jakąkolwiek wiadomość. Jedyny sposób kontaktu z FB przez messenger to czat otwierany jako support. Wtedy dokładnie jest opisane, że wiadomość to czat stworzony przez FB i mamy informację o dołączeniu konsultanta.
Przykład nr. 1
- Nazwa nadawcy w żaden sposób niezwiązana z Meta – widać tylko informację ,,support” co może zmylić, ale nawet sam język jest niefortunnie dobrany do polskiego użytkownika.
- Zamiast naszej nazwy mamy tzw. ,,zmienną”. Zazwyczaj cokolwiek oznaczane dolarami w programach do kodowania traktujemy jako zmienną dopasowywaną do programu. Na prosty język – oznacza to, że wiadomości wysyła jakiś program i w tym przypadku trochę mu nie wyszło.
- Adres w ogóle niezwiązany z adresami www facebooka. Mamy tylko nawiązanie ,,meta”, ale w głównym adresie brak powiązania z Facebook / Meta. Dla przykładu poprawny link supportu wygląda tak: https://www.facebook.com/business/help
- Błąd w nazwie – Pltform zamiast Platform, Mata zamiast Meta.
Co zrobić z wiadomością? Po prostu zignorować.
Przykład nr. 2
- Pisze do nas osoba prywatna lub profil wyglądający na taką – na 100% jest to oczywiście fałszywy profil.
- Błędy w gramatyce / pisowni.
- Link niezwiązany w żaden sposób z Facebookiem – support przed .com ma zawsze samo Facebook (nic więcej, dlatego, jeśli będzie dziwne facebook-support.com to również prawdopodobnie jest oszustwo).
Podsumowując cechy wspólne:
- Wiadomość od FB – samo to kwalifikuje się jako oszustwo,
- Dziwne linki bez facebook.com,
- Błędy gramatyczne.
Gwarantuję, że jeśli zwrócisz uwagę na te trzy punkty – nie nabierzesz się na tego typu oszustwo, a Twoje dane osobowe będą bezpieczne.
Oznaczenie na rzekomym profilu Meta
Kolejny typ, bardziej pomysłowy, ale rzadziej wykorzystywany to naśladowanie ,,powiadomienia” systemowego. Zamiast wiadomości otrzymujemy ,,dzwoneczek”.
Imituje to powiadomienie systemowe, chociaż nieudolnie – bo Facebook nigdy nie będzie WSPOMINAŁ ani OZNACZAŁ na prywatnym, a nawet podobnym do firmowego profilu. Wyobraź sobie, że pracownicy mieliby oznaczać kilka milionów fanpage naruszających zasady…. Ten rodzaj oszustwa jest dość nieudolny zwłaszcza pod kątem gramatyki.
- Dziwny profil prywatny.
- Co to jest ogłoszenie końcowe? Ktoś nie przemyślał wiadomości.
- Tragiczna gramatyka – frustrująca jest wiadomość?
- Oczywiście fałszywy link.
- Ponaglenie, żeby wywołać panikę i dalsze błędy gramatyczne.
Kolejny wyróżnik takiej wiadomości to bardzo długi biały ekran i oznaczenia X fanpage na samym dole, żeby je ukryć (bo kto będzie scrollował na sam dół, jak tu taka ważna wiadomość).
Co zrobić? Oczywiście ignorować, można również zgłosić próbę wyłudzenia, chociaż zbyt wiele to nie da.
E-mail od supportu
Kolejny sposób, który może spowodować większy problem w identyfikacji, zwłaszcza, gdy mamy skrzynkę pocztową pokazującą wyłącznie nazwę. Jeśli masz rozwinięty swój portal społecznościowy, to warto wyrobić sobie nawyk sprawdzania maila nadawcy, zanim klikniesz w link, bo maile do złudzenia przypominają te od Mety. Nadal jednak można je zweryfikować jak pokazuję na kolejnym przykładzie:
- Adres e-mail chyba nie może bardziej odbiegać od rzeczywistych – Meta raczej nie posiada skrzynek na outlooku.
- Błędy w zwrotach, widać, że było to tłumaczone translatorami.
- Co oznacza: poproś o recenzję?
- Kolejne błędy.
Dodatkowo po najechaniu myszką na przycisk (NIE KLIKAJ – tylko najedź) widzimy zazwyczaj podejrzany link, który prowadzi do wyłudzającej strony.
Prawdziwe wiadomości od Mety – adresy mailowe i powiadomienia
Jak rozpoznać prawdziwą wiadomość od Facebooka? Musi posiadać jedną z tych składowych w adresie nadawcy:
- notification@facebookmail.com
- noreply@facebookmail.com
- @business.fb.com
- @support.facebook.com
- @fb.com
- @meta.com
- @email.metamail.com
- @go.metamail.com
- advertise-noreply@facebookmail.com
- update@em.facebookmail.com
- @mediapartnerships.fb.com
To oficjalne maile potwierdzone przez support Facebooka i jeśli wiadomość odbiega choćby jedną literą – jest to oszustwo.
W przypadku powiadomień wystarczy zauważyć, że nikt nas tu nie wspomina, nie oznacza, nie wywołuje – po prostu dostajemy powiadomienie.
Nie ma żadnej mowy ,,Facebook Support wspomina o Tobie w poście” itp. I takowego nie będzie. Innym przykładem jest:
Na to powiadomienie warto zwracać uwagę, bo jeśli to nie ty się logowałaś/-eś z innego urządzenia – ktoś inny mógł uzyskać dostęp do konta. Co wtedy robić? O tym w kolejnym akapicie.
Co zrobić, gdy już podamy oszustom dane logowania?
W przypadku gdy jednak cyberprzestępcy uda się wykorzystać naszą nieuwagę, mamy kilka ,,faz”, gdzie możemy różnie zareagować.
- Podaliśmy dane logowania, ale oszust nie zdążył jeszcze przejąć konta (zorientowaliśmy się po przesłaniu danych logowania, że to fałsz).
- Straciliśmy dostęp do konta.
- Mamy dostęp do konta, ale straciliśmy dostęp do konta reklamowego / fanpage / konta firmowego.
W pierwszym przypadku sprawa jest dość łatwa. Jeśli nadal mamy dostęp do konta, to należy natychmiast zmienić hasło i wylogować się ze wszystkich urządzeń. Należy wejść w Ustawienia i prywatność:
Następnie otwieramy hasło i zabezpieczenia, gdzie możemy Zmienić Hasło i zobaczyć Miejsce logowania – oraz wylogować w razie potrzeby.
Dla pewności możemy zmienić jeszcze hasło do naszego maila połączonego z Facebookiem i powinniśmy być bezpieczni.
Sytuacja druga jest nieco bardziej problematyczna. Możemy próbować tu na kilka sposobów:
- Przy próbie logowania próbujemy zmienić hasło. Być może oszust nie zdążył lub nie mógł zmienić maila powiązanego z kontem, więc po zmianie hasła postępujemy jak w przypadku wyżej.
- Jeśli brak jest możliwości zmiany hasła (oszust zmienił nasz e-mail) możemy wejść z konta znajomego na nasz profil, kliknąć trzy kropki -> Zgłoś materiały -> Inny powód i otrzymamy możliwość odzyskiwania konta. W zależności od sytuacji będziemy przechodzić kilka kroków, ale niestety nie jest pewne, że odzyskamy konto.
3. Jeśli żadna z powyższych metod nie zadziałała, musimy skontaktować się z supportem. Niestety muszę cię ostrzec – kontakt potrafi być naprawdę kiepski. Zanim trafiamy do człowieka, otrzymujemy kilka wiadomości automatycznych, a często nawet konsultant potrafi rozłożyć ręce lub nas zwyczajnie… olać. Trzeba atakować do skutku. Możemy zgłosić naszą sprawę przez https://www.facebook.com/help, przechodząc przez odpowiednie kroki – na jednym z etapów pojawi się formularz.
4. Możemy skorzystać również z chata, do którego dostaniemy się z konta znajomego lub członka rodziny – w tym celu należy wejść na https://www.facebook.com/business-support-home/?source=business_help_center_support i odszukać kontakt z działem pomocy. Przygotuj wszystkie niezbędne dane do konta, które zostało przejęte przez oszustów.
Jeśli utracisz dostęp tylko do konta reklamowego lub fanpage, to ponownie należy skorzystać z Centrum Pomocy dla Firm. W przypadku przejętego konta firmowego może być niezbędne więcej dokumentów, a nawet takie jak wpisy KRS, dowody osobiste i więcej. Pamiętaj również, że należy być nieustępliwym. Jeśli jeden konsultant zamknie sprawę bez wsparcia – otwieramy kolejny raz, aż do skutku.
W razie posiadania podpiętej pod reklamy karty bankowej najlepiej ją zablokować, żeby oszust nie uruchomił reklam na nasz koszt.
Istnieje jeszcze jedna specjalna strona, która oczywiście zadziała tylko, gdy mamy dostęp do konta – https://www.facebook.com/hacked. Możemy na niej zgłosić różne nietypowe zjawiska i zabezpieczyć konto.
Jak widzisz najlepsza opcja to tak naprawdę walić drzwiami i oknami, ale oczywiście możemy po prostu uniknąć oszustwa – uważając na wspomniane przeze mnie fałszywe strony, zachowując ostrożność i dodając dodatkowe zabezpieczenia konta.
Jak zabezpieczyć się przed utratą dostępów?
Najbardziej popularna metoda zabezpieczenia konta na Facebooku to tzw. 2FA, czyli two factor authorization (podwójna autoryzacja lub uwierzytelnianie dwuskładnikowe). Zakłada ona konieczność podania dodatkowego kodu przy logowaniu – czy to wysyłanego na telefon, czy mailowo – co sprawia, że nawet jeśli oszust ma nasze hasło, nie będzie w stanie się zalogować.
Najpopularniejsze są właśnie dwie metody – telefon oraz zewnętrzna aplikacja autoryzująca. Skrzynka pocztowa również może do tego służyć, chociaż nie jestem tego fanem, bo haker może się do niej dostać lub zmienić skrzynkę przypisaną do konta, jeśli podamy zbyt dużo danych.
Po wejściu na Facebooka i wybraniu Ustawienia -> Hasła i zabezpieczenia (podobnie jak w przypadku zmiany hasła) klikamy na uwierzytelnianie dwuskładnikowe. Nawet sam Facebook zaleca wykorzystanie zewnętrznej aplikacji. Osobiście używam Google Authenticator, chociaż niektórzy krytykują ją za połączenie z kontem gmail, przez co jest podatna na włamania.
Pamiętaj, że jak ustawisz swoją aplikację i utracisz całkiem do niej dostęp – zalogowanie się na konto Facebooka może być praktycznie niemożliwe. Możesz sprawdzić wszystkie metody i wybrać najlepszą dla siebie.
Najbardziej zaawansowana opcja, to widoczne na obrazku Klucze zabezpieczeń. Są to małe urządzenia podobne do pendrive, które musimy podłączyć do urządzenia (komputera lub telefonu), gdy się logujemy. Nieważne ile danych podasz oszustowi – jeśli nie ma tego urządzenia, nie zaloguje się na twój profil. Możesz wyszukać je w Internecie jako tzw. klucze U2F.
Na co jeszcze uważać? Ogólne porady dotyczące bezpieczeństwa
Na koniec mam dla ciebie małe podsumowanie, jak dobrze podchodzić do tematu cyberbezpieczeństwa.
- Stosuj zasadę ograniczonego zaufania – nie wchodź na podejrzane linki, dopytuj, zachowaj ostrożność. Jeśli widzisz wiadomość np. od banku i nie masz pewności, czy jest prawdziwa – zadzwoń na infolinię. NIGDY nie podawaj haseł i loginów w smsie, mailu czy nawet rozmowie telefonicznej.
- Dbaj o dobre hasła – Haslo123 nie będzie zbyt dobrym zabezpieczeniem. Najlepiej, jeśli hasła różnią się między różnymi portalami.
- Stosuj AdBlock – program, który dodaje się do przeglądarki internetowej i jest w stanie blokować większość szkodliwych treści.
- Dbaj o włączonego antywirusa – tutaj jest wiele dyskusji, czy antywirus jest nam potrzebny. Windows Defender oferowany przez system w połączeniu z AdBlockami często radzi sobie lepiej niż popularne antywirusy i nie atakuje nas powiadomieniami.
- Tam gdzie możesz, stosuj dwuskładnikową autoryzację.
- Sprawdzaj adresy witryn internetowych, a także najeżdżaj na przycisk przed kliknięciem linku.
Te kilka prostych zasad pozwoli ci bezpieczniej podróżować w sieci i uchroni przed oszustwami i wyłudzeniami.