To nie mBank, to phishing!

Po pierwsze, warto zajrzeć na oficjalną stronę banku (www.mbank.pl) i sprawdzić, czy rzeczywiście wprowadzane są nowe zabezpieczenia. Tymczasem na stronie banku czytamy coś wręcz przeciwnego. Bank ostrzega, że: „Klienci mBanku powinni uważać na fałszywą korespondencję, w której odbiorca proszony jest o "potwierdzenie swojej tożsamości". Jednocześnie przypomina, że w oryginalnych e-mailach od banku nigdy nie są podawane linki do strony logowania serwisu transakcyjnego. Nigdy też bank nie prosił i nie będzie prosił o przesyłanie lub potwierdzanie haseł dostępu, haseł jednorazowych lub numerów klienta.
Osoby, które otrzymały fałszywy e-mail powinny niezwłocznie skontaktować się mLinią: 0 801 300 800.

Niewykluczone, że podobna korespondencja może do nas napłynąć także z innych banków lub instytucji, do których żywimy przynajmniej minimalne zaufanie. Jak zatem sprawdzić, czy mamy do czynienia z prawdziwym komunikatem czy z pishingiem.
Po otrzymaniu niespodziewanego maila od takiej zaufanej instytucji przede wszystkim warto od razu sprawdzić – jeżeli posługujemy się kilkoma adresami poczty internetowej – czy na pewno otrzymaliśmy mail od banku na ten adres, którego używamy do korespondencji z nim. Jeżeli nie – sprawa jest ewidentna, najlepiej zgłosić incydent do infolinii banku, a mail usunąć.

Jeżeli jednak adres się zgadza, adres nadawcy też (a i to warto sprawdzić we właściwościach – czy np. jest nadany z domeny danej instytucji, a nie tylko z domeny podobnej), czeka nas zabawa umysłowa z rodzaju „Wytęż wzrok i znajdź 5 szczegółów…”. W przypadku mBanku fałszywa strona różni się ona od prawdziwej kilkoma drobnymi, ale ważnymi elementami: jej adres rozpoczyna się od nieszyfrowanego protokołu http, podczas kiedy prawdziwa strona mBanku stosuje szyfrowaną wersję protokołu https, adres fałszywej strony jest długi i jego pierwsza część nie ma nic wspólnego z mBankiem, a dodatkowo z prawej strony adresu fałszywej strony widoczna jest favikonka z logo mBanku. Na oryginalnej stronie favikonki nie ma.

Te i inne sposoby odróżniania pishingu od prawdziwych komunikatów opisywaliśmy niespełna miesiąc temu w artykule poświeconym phishingowi i polecając ku rozrywce i nauce quiz opracowany przez firmę McAfee (http://www.siteadvisor.com/).