Mail o takiej treści mógł trafić w ostatnich dniach do dziesiątków tysięcy odbiorców, nie tylko klientów mBanku. O ile jednak nie-klienci wiedzą, że nie mają konta w mBanku i niczego nie muszą weryfikować, o tyle klientom banku powinna się zapalić lampka alarmowa.

Po pierwsze, warto zajrzeć na oficjalną stronę banku (www.mbank.pl) i sprawdzić, czy rzeczywiście wprowadzane są nowe zabezpieczenia. Tymczasem na stronie banku czytamy coś wręcz przeciwnego. Bank ostrzega, że: Klienci mBanku powinni uważać na fałszywą korespondencję, w której odbiorca proszony jest o "potwierdzenie swojej tożsamości". Jednocześnie przypomina, że w oryginalnych e-mailach od banku nigdy nie są podawane linki do strony logowania serwisu transakcyjnego. Nigdy też bank nie prosił i nie będzie prosił o przesyłanie lub potwierdzanie haseł dostępu, haseł jednorazowych lub numerów klienta.

Osoby, które otrzymały fałszywy e-mail powinny niezwłocznie skontaktować się mLinią: 0 801 300 800.

Niewykluczone, że podobna korespondencja może do nas napłynąć także z innych banków lub instytucji, do których żywimy przynajmniej minimalne zaufanie. Jak zatem sprawdzić, czy mamy do czynienia z prawdziwym komunikatem czy z pishingiem.

Po otrzymaniu niespodziewanego maila od takiej zaufanej instytucji przede wszystkim warto od razu sprawdzić - jeżeli posługujemy się kilkoma adresami poczty internetowej - czy na pewno otrzymaliśmy mail od banku na ten adres, którego używamy do korespondencji z nim. Jeżeli nie - sprawa jest ewidentna, najlepiej zgłosić incydent do infolinii banku, a mail usunąć.

Jeżeli jednak adres się zgadza, adres nadawcy też (a i to warto sprawdzić we właściwościach - czy np. jest nadany z domeny danej instytucji, a nie tylko z domeny podobnej), czeka nas zabawa umysłowa z rodzaju "Wytęż wzrok i znajdź 5 szczegółów...". W przypadku mBanku fałszywa strona różni się ona od prawdziwej kilkoma drobnymi, ale ważnymi elementami: jej adres rozpoczyna się od nieszyfrowanego protokołu http, podczas kiedy prawdziwa strona mBanku stosuje szyfrowaną wersję protokołu https, adres fałszywej strony jest długi i jego pierwsza część nie ma nic wspólnego z mBankiem, a dodatkowo z prawej strony adresu fałszywej strony widoczna jest favikonka z logo mBanku. Na oryginalnej stronie favikonki nie ma.

Te i inne sposoby odróżniania pishingu od prawdziwych komunikatów opisywaliśmy niespełna miesiąc temu w artykule poświeconym pishingowi i polecając ku rozrywce i nauce quiz opracowany przez firmę McAee (http://www.siteadvisor.com/).

Anna Pawłowska-Pojawa