Oszuści wzięli na celownik klientów PKO BP. Wykorzystali zabezpieczenie banku - Bezprawnik
PKO BP ostrzega klientów przed nową kampanią phishingową, w której przestępcy podszywają się pod usługę iPKO i grożą zawieszeniem konta.
Bank ostrzega, że przestępcy wysyłają fałszywe wiadomości od iPKO, sugerując konieczność ponownej aktywacji klucza bezpieczeństwa i grożąc zawieszeniem dostępu do konta. Ofiary są kierowane na stronę logowania, gdzie podają login i hasło, które trafiają do oszustów.
Klucze bezpieczeństwa PKO BP to niewielkie urządzenia USB obsługiwane przez firmę Yubico, które mają chronić przed phishingiem. Zgodnie z zasadami banku, nie umieszcza on linków ani w e-mailach, ani w SMS-ach wysyłanych do klientów.
Wybór tematu fałszywej wiadomości nie wydaje się przypadkowy. Wiadomość o „ponownej aktywacji” brzmi wiarygodnie dla większości klientów, którzy kojarzą tę nazwę z komunikatami banku, a słowo „bezpieczeństwo” sprawia, że odbiorca mniej uważnie przygląda się reszcie treści.
Klucz dodaje się samodzielnie, po zalogowaniu do iPKO, w ustawieniach dostępu i bezpieczeństwa; żaden link z e-maila nie jest do tego potrzebny. Paradoksalnie najmniej powodów do obaw mają ci, którzy z klucza już korzystają — w ich przypadku sam login i hasło nie powinny wystarczyć do przejęcia konta.
Ponowna aktywacja klucza brzmi wiarygodnie dla większości klientów
Zmienia się tylko pretekst
Schemat z „aktywacją” i terminem nie jest nowy, a oszuści podszywają się pod PKO od lat. Klienci otrzymywali już wcześniej e-maile o rzekomej aktywacji potwierdzenia mobilnego czy SMS-y o wygasającej rejestracji w aplikacji; zmienia się jedynie pretekst, a scenariusz pozostaje niemal identyczny.
Podobnie wyglądało nowe oszustwo na klientów mBanku, w którym przestępcy również straszyli zawieszeniem konta. Ataki na klientów największego banku w kraju mają dla przestępców sporo sensu — przy kilkunastu milionach klientów nawet niewielki odsetek osób, które klikną w link, oznacza tysiące potencjalnych ofiar.
Skalę problemu dobrze pokazują dane CERT Polska. W 2025 r. zespół zarejestrował 260,8 tys. incydentów, podczas gdy rok wcześniej było ich 103,4 tys. — to wzrost o 152 proc. Zdecydowaną większość stanowiły oszustwa komputerowe, a wśród nich najczęściej pojawiały się właśnie próby wyłudzenia danych logowania; tylko w grudniu 2025 r. odnotowano 7,3 tys. takich przypadków.
Jak rozpoznać fałszywą wiadomość
Aby uniknąć oszustwa, należy pamiętać, że PKO BP nie wysyła linków w e-mailach ani SMS-ach. Sam odnośnik w wiadomości rzekomo pochodzącej z banku powinien wystarczyć, by ją usunąć. Każdy e-mail lub SMS wymagający podania danych logowania w zewnętrznym systemie jest podejrzany.
Powiązane
