SMS o problemie z publikacją na OLX? Zweryfikuj sprawę poza wiadomością

W ostrzeżeniu z 1 października CERT Orange opisuje podszywanie się pod OLX w SMS-ach o problemie z publikacją lub weryfikacji konta. Schemat prowadzi od danych osobowych do wyboru banku i wyłudzania drugiego składnika logowania. Ostrzeżenie nie informuje o włamaniu do OLX.

Dla sprzedającego komunikat może pasować do niedawno wykonanej czynności. Zamiast oczekiwać od odbiorcy zapamiętania wszystkich możliwych fałszywych adresów, proponujemy prostą procedurę: sprawdź sprawę przez samodzielnie otwartą aplikację lub zaufany adres serwisu.

Kogo dotyczy ten scenariusz

Bezpośrednio dotyczy osób korzystających z ogłoszeń OLX. Na szkoleniu organizacyjnym warto uwzględnić także pracowników, którzy obsługują sprzedaż firmowego wyposażenia albo korzystają z prywatnego telefonu w czasie pracy. Taki kontekst jest naszym przykładem zastosowania ostrzeżenia, nie opisem incydentu w konkretnej firmie.

Nie należy przy tym uczyć reguły „każdy SMS weryfikacyjny jest fałszywy”. Odbiorca potrzebuje sposobu potwierdzenia sprawy, nie listy wyjątków. Wiadomość sama nie powinna ustalać adresu, numeru wsparcia i kolejnych kroków, którym bez sprawdzenia zaufamy.

Procedura: zatrzymaj, otwórz, potwierdź

1. Zatrzymaj działanie rozpoczęte przez SMS. Nie wprowadzaj kolejnych danych ani kodów na stronie otwartej z wiadomości. Nie kontynuuj rozmowy z osobą, która powołuje się wyłącznie na tę wiadomość.
2. Otwórz serwis niezależnie. Użyj znanej aplikacji, zapisanej zakładki lub samodzielnie wpisanego właściwego adresu. Sprawdź stan konta i ogłoszenia.
3. Potwierdź prośbę. Jeżeli potrzebujesz pomocy, znajdź kanał wsparcia w samodzielnie otwartym serwisie. Nie korzystaj z numeru podanego na podejrzanej stronie.
4. Czytaj treść zatwierdzenia. Ustal, czego dotyczy kod lub powiadomienie w aplikacji bankowej. Nie przekazuj kodów osobie prowadzącej rzekomą weryfikację i nie zatwierdzaj czynności, której nie rozumiesz.
5. Zgłoś próbę. W kontekście pracy skorzystaj ze znanego kanału bezpieczeństwa. Podaj czas, treść prośby i etap, na którym przerwano działanie, bez dołączania haseł i kodów.

To procedura proponowana przez Breachroad. Jej celem jest odzyskanie kontroli nad kanałem kontaktu. Sam profesjonalny wygląd strony lub zgodność wiadomości z niedawną publikacją nie zastępuje tego sprawdzenia.

Przykład szkoleniowy: sprzedaż monitora

W naszym fikcyjnym scenariuszu pracownik wystawia używany monitor. Kilka minut później dostaje SMS o problemie z ogłoszeniem. Strona prosi o bank, aby „potwierdzić konto”. Pracownik ma zdecydować, gdzie sprawdzić rzeczywisty stan publikacji i komu zgłosić nietypową prośbę.

Dobra odpowiedź zawiera konkretny krok: zamknięcie podejrzanej ścieżki i niezależne otwarcie serwisu. Nie wystarczy ogólne „będę ostrożny”. Prowadzący może następnie zmienić temat wiadomości na wygasające konto lub błąd rozliczenia i sprawdzić, czy uczestnik zastosuje tę samą procedurę.

Ćwiczenie nie potrzebuje działającej fałszywej strony ani prawdziwych danych bankowych. Wystarczy opis sytuacji oraz pytanie o decyzję. Po ćwiczeniu pracownik powinien znać kanał zgłoszenia i wiedzieć, że szybkie poinformowanie o pomyłce jest pożądane.

Jeśli dane zostały już wpisane

CERT Orange zaleca pilny kontakt z bankiem po podaniu hasła na fałszywej stronie. Skorzystaj z zaufanej aplikacji lub wcześniej znanego kanału banku, opisz wykonane czynności i postępuj według jego procedury. Nie czekaj na kolejną wiadomość od rzekomego konsultanta.

Nasze dodatkowe zalecenie dla środowiska pracy: jeżeli podano także firmowe poświadczenia lub sytuacja dotyczyła urządzenia służbowego, szybko poinformuj właściwy zespół. Oddziel kliknięcie od podania danych i zatwierdzenia operacji; ta informacja pomoże dobrać reakcję. Dalsze kroki omawiamy w planie pierwszej godziny po phishingu.

Szkolenia z cyberbezpieczeństwa i phishingu dla organizacji pozwalają przećwiczyć tę procedurę na sytuacjach bliskich pracownikom. Zobacz też poradnik o fałszywych płatnościach na OLX i Vinted.

Źródło i wnioski Breachroad

Opis kampanii pochodzi z CERT Orange. Procedura niezależnej weryfikacji, fikcyjny przykład i zastosowanie w szkoleniu są rekomendacjami Breachroad. Nie wyciągamy z ostrzeżenia wniosków o liczbie ofiar ani o skuteczności wszystkich podobnych SMS-ów. Źródło sprawdziliśmy 5 października 2026 roku.