- Bezprawnik -
- Finanse -
- Oszuści wzięli na celownik klientów PKO BP. Wykorzystali zabezpieczenie banku
Oszuści wzięli na celownik klientów PKO BP. Wykorzystali zabezpieczenie banku
Do klientów PKO BP trafiają e-maile wzywające do „ponownej aktywacji klucza bezpieczeństwa”; z pozoru wysyła je serwis iPKO, w rzeczywistości — oszuści, którzy chcą przejąć dane logowania. Trudno przy tym nie zauważyć, że przestępcy wykorzystali nazwę zabezpieczenia, które bank wprowadził właśnie po to, by phishing przestał przynosić efekty.
Fałszywa wiadomość „od iPKO” i groźba blokady konta. Na czym polega oszustwo?
PKO BP ostrzega przed tą kampanią w komunikacie opublikowanym w serwisie internetowym banku 3 listopada. Mechanizm jest dość prosty, choć dopracowany pod kątem wiarygodności: w polu nadawcy widnieje nazwa iPKO, ale same e-maile wychodzą z różnych adresów — a tych wielu odbiorców po prostu nie sprawdza. W treści pojawia się informacja o rzekomej konieczności ponownego aktywowania klucza oraz sugestia, że zignorowanie prośby może skończyć się czasowym zawieszeniem dostępu do konta. Odnośnik z wiadomości przenosi z kolei na witrynę przypominającą stronę logowania iPKO; tam ofiara ma podać login i hasło, które trafiają prosto do przestępców.
PKO BP nie wysyła linków w e-mailach ani SMS-ach
Bank jednoznacznie odciął się od tej korespondencji i przypomniał zasadę, która pozwala zdemaskować większość podobnych kampanii — PKO BP nie umieszcza linków ani w e-mailach, ani w SMS-ach wysyłanych do klientów. Sam odnośnik w wiadomości rzekomo pochodzącej z banku powinien więc wystarczyć, by ją usunąć.
Klucz bezpieczeństwa PKO BP miał chronić przed phishingiem. Teraz stał się dobrą wymówką dla oszustów
Klucze bezpieczeństwa PKO BP udostępnił klientom jesienią 2024 r. To niewielkie urządzenie podłączane do portu USB, wyglądem przypominające pendrive’a; bank obsługuje klucze firmy Yubico działające w standardzie FIDO. Ich największa zaleta polega na tym, że nawet jeśli przestępca pozna login i hasło użytkownika, to bez fizycznego klucza nie zaloguje się do serwisu iPKO. PKO BP dość mocno promował zresztą to rozwiązanie — pod koniec 2024 r. oferował nawet do 50 zł zniżki na zakup klucza. Nie jest to jedyny sygnał, że PKO BP chce nas mocniej chronić przed oszustami.
„Ponowna aktywacja klucza” brzmi wiarygodnie dla większości klientów
Wybór tematu fałszywej wiadomości nie wydaje się zatem przypadkowy. Korzystanie z klucza jest dobrowolne, a można się domyślać, że robi to jedynie niewielka część klientów; większość kojarzy tę nazwę najwyżej z komunikatów banku. Dla takich osób wiadomość o „ponownej aktywacji” brzmi wiarygodnie, bo odnosi się do usługi, która faktycznie istnieje — a słowo „bezpieczeństwo” sprawia, że odbiorca mniej uważnie przygląda się reszcie treści. Klucz dodaje się tymczasem samodzielnie, po zalogowaniu do iPKO, w ustawieniach dostępu i bezpieczeństwa; żaden link z e-maila nie jest do tego potrzebny. Paradoksalnie najmniej powodów do obaw mają ci, którzy z klucza już korzystają — w ich przypadku sam login i hasło nie powinny wystarczyć do przejęcia konta.
Ten sam scenariusz, nowy pretekst
Schemat z „aktywacją” i terminem nie jest przy tym nowy, a oszuści podszywają się pod PKO od lat. Klienci PKO BP dostawali już wcześniej e-maile o rzekomej aktywacji potwierdzenia mobilnego czy SMS-y o wygasającej rejestracji w aplikacji; zmienia się jedynie pretekst, a scenariusz pozostaje niemal identyczny. Podobnie wyglądało zresztą nowe oszustwo na klientów mBanku, w którym przestępcy również straszyli zawieszeniem konta.
Phishingu przybywa z roku na rok. Liczba incydentów według CERT Polska wzrosła ponad dwukrotnie
Skalę problemu dobrze pokazują dane CERT Polska. W 2025 r. zespół zarejestrował 260,8 tys. incydentów, podczas gdy rok wcześniej było ich 103,4 tys. — to wzrost o 152 proc. Zdecydowaną większość stanowiły oszustwa komputerowe, a wśród nich najczęściej pojawiały się właśnie próby wyłudzenia danych logowania; tylko w grudniu 2025 r. odnotowano 7,3 tys. takich przypadków. Nie da się też ukryć, że ataki na klientów największego banku w kraju mają dla przestępców sporo sensu. Przy kilkunastu milionach klientów nawet niewielki odsetek osób, które klikną w link, oznacza tysiące potencjalnych ofiar.
Jak zgłosić fałszywy e-mail lub SMS od „PKO BP”?
W razie wątpliwości najprościej zadzwonić na infolinię banku pod numer 800 302 302 — z polskich numerów rozmowa nic nie kosztuje, z zagranicy płaci się według cennika operatora. Podejrzane e-maile można zgłaszać do CERT Polska przez formularz na stronie incydent.cert.pl, a SMS-y — bezpłatnie na numer 8080.
Przed każdym logowaniem dobrze jest też sprawdzić adres witryny w pasku przeglądarki; zdarza się bowiem, że po przechwyceniu danych złodzieje podszywają się pod bank także telefonicznie — do ofiary dzwoni osoba podająca się za pracownika banku i prosi o zatwierdzenie operacji w aplikacji. Ostatecznie najpewniejszą ochroną pozostaje jednak prosta zasada — bank nie wysyła linków, więc każda wiadomość z odnośnikiem „od PKO BP” pochodzi od kogoś innego.
zobacz więcej:
