„Kliknąłem. Wpisałem dane karty. A potem czekałem, co się stanie."
To zdanie najczęściej powtarza się w relacjach ofiar i jest dokładnie tym, czego robić nie wolno. W oszustwie SMS-owym kliknięcie prawie nigdy nie jest momentem decydującym. Decydujące są godziny, które następują po nim: te, w których pieniądze jeszcze krążą, ślady jeszcze istnieją, bank nie otrzymał jeszcze dyspozycji blokady, a zrzuty ekranu, które zrobią różnicę na komisariacie, wciąż są w telefonie.
Po trzech dniach wszystko staje się trudniejsze. Transakcja jest już zaksięgowana, oszukańczy adres URL wyłączony, numer nadawcy przetworzony ponownie, a ofiara musi udowodnić to, co czterdzieści osiem godzin wcześniej po prostu wyświetlało się na ekranie.
Oto realna chronologia 72 godzin następujących po oszukańczym SMS-ie, wraz z tym, co rozstrzyga się na każdym etapie.
Godzina 0 do 1: zakręcić kurek, zanim się zrozumie
Pierwszym odruchem nie powinno być zrozumienie, tylko zatrzymanie przepływu. Zrozumienie zajmuje godziny; oszukańczy przelew potrafi wyjść w mniej niż dziesięć minut.
Jeśli zostały wpisane dane karty płatniczej, trzeba natychmiast ją zastrzec — przez aplikację bankową (większość oferuje dziś blokadę karty w dwóch kliknięciach), a następnie telefonicznie, przez całodobową infolinię banku do zastrzegania kart. W ostateczności działa międzybankowy system zastrzegania kart, dostępny dla wszystkich banków.
Jeśli został podany kod otrzymany SMS-em, sytuacja jest poważniejsza niż zwykły wyciek numeru karty: kod jednorazowy jest właśnie tym, co autoryzuje transakcję wobec banku. Trzeba to wyraźnie zgłosić konsultantowi, bo zmienia to kwalifikację zdarzenia.
Jeśli zostały wpisane dane logowania do bankowości internetowej, należy zmienić hasło z innego urządzenia i poprosić o czasową blokadę dostępu online.
Jeśli nic nie zostało wpisane, a link jedynie otwarty, ryzyko istnieje, ale jest mniejsze: na zaktualizowanym smartfonie samo wejście na stronę nie wystarczy, by przejąć urządzenie. Niebezpieczeństwo pojawia się przy instalacji aplikacji spoza oficjalnego sklepu — jeśli instalacja została zaakceptowana, trzeba ją bezzwłocznie odinstalować i przejrzeć urządzenie.
Prosta zasada: najpierw blokujemy, potem myślimy. Żaden bank nie będzie miał pretensji o zastrzeżenie karty z nadmiaru ostrożności.
Godzina 1 do 3: zbudować materiał dowodowy, póki jeszcze istnieje
To etap, który pomija niemal każdy, a to właśnie on decyduje o zwrocie pieniędzy. Ofiara, która przychodzi na komisariat z jednym zdaniem („dostałem SMS-a od banku"), nie ma sprawy. Ofiara, która przychodzi z siedmioma zrzutami ekranu ze znacznikami czasu — ma.
Co należy uchwycić, w tej kolejności:
| Element | Dlaczego jest przydatny |
|---|---|
| Cały SMS wraz z wyświetlanym nadawcą | Dowodzi spoofingu lub wskazuje użyty numer |
| Pełny wątek konwersacji, przewinięty wstecz | Pokazuje, czy fałszywa wiadomość wkleiła się między prawdziwe |
| Dokładny adres URL linku (długie przytrzymanie → kopiuj) | Identyfikuje oszukańczą domenę przed jej wyłączeniem |
| Oszukańcza strona WWW, jeśli wciąż dostępna | Dowód podszywania się pod markę |
| Otrzymane powiadomienia bankowe | Nadaje znaczniki czasu kwestionowanym transakcjom |
| Wyciąg z konta pokazujący obciążenie | Podstawa wniosku o zwrot środków |
| Historia połączeń, jeśli dzwonił fałszywy konsultant | Odtwarza pełny scenariusz |
Dwie uwagi techniczne, które mają znaczenie.
Nie usuwaj SMS-a. To najczęstszy odruch emocjonalny — wymazać ślad własnego wstydu. Tymczasem oryginalna wiadomość, wciąż obecna w skrzynce, pozostaje najmocniejszym dowodem w sprawie. Robimy zrzut i zostawiamy ją na miejscu.
Zapisz kopię poza telefonem. Urządzenie, które się zepsuje, zgubi albo będzie wymagać przywrócenia ustawień fabrycznych, zabierze ze sobą cały materiał. Eksport zrzutów do osobnej przestrzeni dyskowej albo na zabezpieczony pendrive trzymany w domu chroni dokumentację. Doradcy Cybermalveillance.gouv.fr niezmiennie zalecają przechowywanie kopii poza urządzeniem, którego dotyczy sprawa.
Godzina 3 do 12: trzy zgłoszenia, które służą do czegoś innego
Często myli się „zgłoszenie" ze „złożeniem zawiadomienia o przestępstwie". To trzy odrębne kroki, dające różne efekty. Wykonanie wszystkich zajmuje mniej niż trzydzieści minut.
33700: zdjąć całą kampanię
33700 to oficjalna platforma zgłaszania spamu i oszustw SMS-owych, prowadzona przez Association Française du Multimédia Mobile w imieniu francuskich operatorów. Zasada jest prosta: przesyła się oszukańczy SMS na numer 33700, a następnie odpowiada na automatyczną wiadomość, podając numer nadawcy.
To zgłoszenie nie uruchamia żadnego dochodzenia w Twojej indywidualnej sprawie. Zasila natomiast zbiorową detekcję: po przekroczeniu pewnej liczby zgłoszeń operator może zablokować numer nadawcy i doprowadzić do usunięcia domeny użytej w linku. To gest na rzecz innych, a zajmuje trzydzieści sekund.
Perceval: zakwestionować oszukańcze użycie karty
Perceval to serwis internetowy francuskiej żandarmerii dedykowany oszustwom kartowym, dostępny przez FranceConnect. Skierowany jest do ofiar, które wciąż mają swoją kartę przy sobie — a więc do zdecydowanej większości przypadków smishingu, gdzie skradziono wyłącznie dane.
Zgłoszenie w Perceval generuje potwierdzenie. Ten dokument ma konkretną wartość: wspiera wniosek o zwrot środków w banku i zasila krajowe statystyki nadużyć. Nie zastępuje zawiadomienia o przestępstwie, ale też go nie wymaga.
Cybermalveillance.gouv.fr: uzyskać kierunek i dokumentację
Krajowy system pomocy ofiarom cyberprzestępczości oferuje ścieżkę online, która zadaje właściwe pytania i wydaje karty postępowania. Przydatny zwłaszcza wtedy, gdy sytuacja jest niejasna: dotkniętych kilka kont, wątpliwości co do tego, co zostało przejęte, sprawa dotyczy urządzenia służbowego.
Godzina 12 do 48: złożyć zawiadomienie, i to poprawnie
Zawiadomienie o przestępstwie nie jest opcjonalne, gdy z konta zeszły pieniądze: bank poprosi o nie niemal zawsze.
Gdzie. W dowolnym komisariacie policji lub posterunku żandarmerii, bez względu na miejsce zamieszkania. Odmowa przyjęcia zawiadomienia jest niezgodna z prawem. W razie problemów zawiadomienie można skierować bezpośrednio do prokuratora właściwego sądu, listem poleconym za potwierdzeniem odbioru.
Wstępne zgłoszenie online. Usługa wstępnego zgłoszenia online pozwala wypełnić formularz z wyprzedzeniem i ograniczyć wizytę w okienku do złożenia podpisu. Wygodne, ale uwaga: nie stanowi zawiadomienia, dopóki nie zostanie podpisane.
Co zabrać ze sobą. Dokument tożsamości, wyciąg bankowy z kwestionowanymi transakcjami, wydruki zrzutów ekranu, potwierdzenie z Perceval, jeśli już je masz, oraz spisaną chronologię zdarzeń — wystarczy jedna strona, z datami i godzinami. Funkcjonariusze codziennie obsługują tego typu sprawy; uporządkowany komplet dokumentów zostaje zarejestrowany szybciej i pełniej. Zwykła teczka z rozszerzanymi przegródkami pozwala uniknąć przyjścia z luźnymi kartkami i pogniecionymi wyciągami.
O kwalifikacji prawnej. Smishing to oszustwo (art. 313-1 francuskiego kodeksu karnego), często połączone z bezprawnym pozyskaniem danych osobowych i kradzieżą tożsamości (art. 226-4-1). Kwalifikacja czynu nie należy do ofiary, ale wspomnienie, że wiadomość podszywała się pod konkretną instytucję (bank, kasę chorych, fundusz emerytalny, firmę kurierską), pomaga powiązać sprawę z już zidentyfikowanymi kampaniami.
Godzina 48 do 72: wniosek o zwrot środków i prawo, które za nim stoi
To punkt, który ofiary znają najsłabiej, a który finansowo waży najwięcej.
Francuski kodeks monetarny i finansowy jest jednoznaczny: w przypadku nieautoryzowanej transakcji płatniczej zgłoszonej przez użytkownika bank musi dokonać zwrotu niezwłocznie, najpóźniej do końca pierwszego dnia roboczego po zgłoszeniu (art. L133-18). Może odmówić wyłącznie wtedy, gdy wykaże rażące niedbalstwo klienta — i to bank musi to udowodnić, a nie klient swoją niewinność.
Ten punkt wzmocniło orzecznictwo Cour de cassation, który wielokrotnie orzekał, że samo przekazanie kodu otrzymanego SMS-em nie wystarcza do wykazania rażącego niedbalstwa, zwłaszcza gdy ofiara została wprowadzona w błąd wiadomością lub telefonem przekonująco naśladującym jej bank.
Konkretnie:
- Pisemna reklamacja, skierowana do banku listem poleconym za potwierdzeniem odbioru, zawierająca chronologię, numery referencyjne transakcji i załączniki. Ustawowy termin na zgłoszenie zastrzeżenia wynosi trzynaście miesięcy.
- W razie odmowy — wniosek do rzecznika bankowego, usługa bezpłatna, której dane kontaktowe znajdują się na wyciągach z konta i na stronie banku.
- W razie fiaska mediacji — skierowanie sprawy do sądu, ewentualnie ze wsparciem organizacji konsumenckiej. Sprawy publikowane przez Que Choisir pokazują, że znaczna część pierwotnych odmów zostaje na tym etapie odwrócona.
Praktyczna rada, często pomijana: zachowuj papierową kopię każdego wysłanego pisma wraz z potwierdzeniem odbioru. Pudełko archiwizacyjne z klapą w zupełności wystarczy, by utrzymać kompletną dokumentację przez miesiące, jakie potrafi trwać procedura.
Błędy, przez które przegrywa się mocną sprawę
Kilka zachowań — wszystkie zrozumiałe — regularnie rujnuje sprawy, które powinny były zakończyć się sukcesem.
Oddzwanianie na numer, z którego przyszedł SMS. W najlepszym razie nic to nie da. W najgorszym uruchamia scenariusz na nowo: oszust przedstawia się wtedy jako „dział antyfraudowy" i uzyskuje to, czego jeszcze nie miał.
Czekanie, czy pieniądze same wrócą. Nie wrócą. A każdy stracony dzień osłabia argument o szybkiej reakcji.
Przywracanie ustawień fabrycznych telefonu w panice. Bywa przydatne po podejrzanej instalacji, ale jest katastrofalne, jeśli zrobi się to przed zabezpieczeniem dowodów.
Płacenie za „odzyskanie" straconych pieniędzy. Listy ofiar krążą w obiegu, a druga fala zaczepek przychodzi często kilka tygodni później, pod pozorem windykacji lub pomocy prawnej. Żadna legalna instytucja nie żąda przedpłaty za zwrot skradzionych środków.
Milczenie wobec bliskich. Wstyd jest najlepszym sojusznikiem oszusta. Zgłoszenia do Banque de France wskazują na stały wzrost liczby oszustw tzw. „manipulacyjnych" — właśnie dlatego, że żerują na izolacji ofiary.
Potem: zamknąć otwarte drzwi
Gdy najpilniejsza część jest już załatwiona, zostaje sprzątanie. Zajmuje jeden wieczór.
- Zmiana haseł do kont powiązanych z użytym adresem e-mail, zaczynając od samej skrzynki pocztowej. Menedżer haseł pozwala nie powtórzyć błędu jednego hasła do wszystkiego; a dla tych, którzy wolą papier, notes na hasła schowany poza zasięgiem wzroku wciąż jest nieskończenie bezpieczniejszy niż to samo hasło wszędzie.
- Włączenie uwierzytelniania dwuskładnikowego wszędzie tam, gdzie to możliwe, najlepiej przez dedykowaną aplikację, a nie przez SMS. Przy wrażliwych kontach fizyczny klucz bezpieczeństwa FIDO2 eliminuje całą kategorię ataków opartych na przechwyconym kodzie.
- Sprawdzenie cyklicznych obciążeń na trzech ostatnich wyciągach: część oszustw zagnieżdża się w postaci dyskretnych abonamentów na kilka euro.
- Monitorowanie swojej sytuacji bankowej: w razie szerszej kradzieży tożsamości prawo dostępu do centralnego rejestru czeków i do FICP realizuje się bezpośrednio w Banque de France.
- Opowiedzenie bliskim, co się stało. To najskuteczniejszy znany środek zapobiegawczy i zarazem najtańszy. Popularne książki o cyberbezpieczeństwie w domu pomagają przekazać komunikat tym bliskim, którzy nie przeczytają urzędowej ulotki.
Co warto zapamiętać
Oszustwo SMS-owe nie jest finansowym wyrokiem. Prawo chroni ofiary nieautoryzowanych transakcji, systemy zgłoszeń istnieją i są darmowe, a banki często ustępują w obliczu udokumentowanej sprawy. Ale wszystko opiera się na towarze szybko psującym się: na śladzie.
Zablokować w ciągu godziny, zebrać dowody w ciągu trzech godzin, zgłosić tego samego dnia, złożyć zawiadomienie w ciągu dwóch dni, zakwestionować pisemnie w ciągu trzech. Ta sekwencja, zachowana w kolejności, zamienia ofiarę w sprawę. A sprawa, w przeciwieństwie do opowieści, dostaje odpowiedzi.
Przydatne numery i serwisy: 33700 (zgłaszanie oszukańczych SMS-ów), 0 892 705 705 (międzybankowe zastrzeganie kart), 17 (policja, numer alarmowy), Perceval przez FranceConnect, Cybermalveillance.gouv.fr, serwis wstępnego zgłoszenia online francuskiego Ministerstwa Spraw Wewnętrznych.
