Podszywają się pod NFZ i wyłudzają dane. Fałszywa wiadomość obiega sieć

Tak funkcjonuje Narodowy Fundusz Zdrowia

Aby zrozumieć, dlaczego ta konkretna wiadomość jest oszustwem, kluczowe jest uświadomienie sobie, jak w ogóle działa system finansowania opieki zdrowotnej w Polsce. Narodowy Fundusz Zdrowia jest państwową osobą prawną, swego rodzaju centralnym menedżerem i dysponentem środków pochodzących z naszych obowiązkowych składek zdrowotnych. Jego podstawowym i najważniejszym zadaniem jest finansowanie świadczeń opieki zdrowotnej, to on płaci szpitalom za operacje, przychodniom za porady lekarskie czy laboratoriom za badania.

NFZ nie jest instytucją, która bezpośrednio kontaktuje się z milionami pacjentów. To błędne przekonanie jest furtką, którą wykorzystują przestępcy. Kwestia, o której mowa w wiadomościach, jest szczególnie podchwytliwa. W Polsce funkcjonuje mechanizm refundacji leków, ale odbywa się on w konkretny sposób. Pacjent, posiadający ubezpieczenie i e-receptę, płaci w aptece cenę detaliczną pomniejszoną o kwotę refundacji. Mówiąc prościej, zniżka jest już uwzględniona w cenie, którą płacimy przy okienku. Następnie apteka rozlicza się z Funduszem.

Oficjalnym i jedynym bezpiecznym kanałem cyfrowej komunikacji w sprawach dotyczących naszego leczenia jest Internetowe Konto Pacjenta (IKP). Jest to specjalny, zabezpieczony portal rządowy, na który logujemy się za pomocą Profilu Zaufanego, e-dowodu lub bankowości elektronicznej. To tam znajdziemy historię naszych e-recept, e-skierowań czy informacje o wystawionych zwolnieniach. Nawet jeśli NFZ chciałby nas o czymś poinformować, stosowny komunikat pojawiłby się najprawdopodobniej właśnie tam, w bezpiecznym, zamkniętym systemie. Duża część Polaków wciąż nie ma tej świadomości, stąd nowy sposób oszustów może natrafić na żyzny grunt.

Oszuści wykorzystują te metody

Oszustwo "na NFZ” nie jest niestety odosobnionym przypadkiem. To element znacznie szerszego i niezwykle niebezpiecznego trendu, który od lat przybiera na sile w polskiej sieci. Cyberbezpieczeństwo w Polsce jest wystawiane na ciężką próbę każdego dnia. Zespół CERT Polska, działający w strukturach państwowego instytutu badawczego NASK, w swoich raportach rocznych niezmiennie wskazuje phishing jako dominujące zagrożenie.

Ten typ ataku odpowiada za zdecydowaną większość wszystkich obsłużonych incydentów bezpieczeństwa. Na czym polega? Phishing to metoda oszustwa, w której przestępca podszywa się pod inną osobę lub instytucję w celu wyłudzenia poufnych informacji, takich jak dane logowania, numery kart kredytowych, czy dane osobowe jak PESEL. Oszuści ewoluowali, czasy niegramotnych e-maili od "nigeryjskich książąt” minęły. 

Dziś mamy do czynienia z profesjonalnie przygotowanymi kampaniami, które doskonale imitują komunikację znanych marek i instytucji. Polacy są masowo atakowani fałszywymi SMS-ami (tzw. smishingiem) od firm kurierskich (InPost, DPD, DHL) z żądaniem drobnej dopłaty do paczki, od dostawców energii (PGE, Tauron) z groźbą odcięcia prądu, czy od popularnych portali (Allegro, OLX) z informacją o rzekomym zablokowaniu konta.

Wspólnym mianownikiem tych ataków jest socjotechnika, jaką jest wywołanie silnej emocji, która uśpi racjonalne myślenie. Najczęściej jest to strach (odłączenie prądu) lub presja czasu (ostatnia szansa na odbiór paczki). Atak na NFZ jest jednak bardziej wyrafinowany, gdyż wykorzystuje emocję pozytywną, a więc chęć zysku i otrzymania "darmowych” pieniędzy. Równie groźny jest rosnący trend podszywania się pod instytucje zaufania publicznego. Widzieliśmy już kampanie wykorzystujące wizerunek ZUS, Ministerstwa Finansów, a nawet Policji. Przestępcy wiedzą, że komunikat od organu państwowego jest traktowany poważniej i budzi większe zaufanie lub respekt.

Złotą i niezmienną zasadą jest, że żaden urząd nigdy nie poprosi nas o podanie hasła do banku, pełnego numeru karty z kodem CVV czy numeru PESEL w niezweryfikowanym e-mailu lub SMS-ie.

Zobacz: Ryanair nie ma tego w ofercie. Wizz Air uruchamia nową klasę, którą najpierw wypróbują Polacy

Oszustwo "na NFZ" może zebrać żniwa

Oszuści rozsyłają wiadomości e-mail, których treść jest krótka i pozornie wiarygodna. W tytule lub treści wiadomości pojawia się informacja o zwrocie kosztów zakupu leków. Sam e-mail jest często pozbawiony szczegółów, co ma wzbudzić ciekawość i skłonić do dalszego działania. Kluczowym elementem jest oczywiście link, ukryty pod przyciskiem lub tekstem wzywającym do działania o treści „Przejdź do weryfikacji". To pułapka. Po kliknięciu ofiara jest przekierowywana na fałszywą stronę internetową. Strona ta jest starannie przygotowaną kopią, która na pierwszy rzut oka wygląda identycznie jak oficjalny portal NFZ lub strona logowania do banku, czy popularna bramka płatności (np. Przelewy24, Dotpay).

Tam przestępcy implementują formularz, prosząc o podanie danych. Scenariusze są dwa. Pierwszy, częstszy, to wyłudzenie danych dostępowych do bankowości. Ofiara jest proszona o “zalogowanie się” do swojego banku w celu ”autoryzacji zwrotu”. W rzeczywistości podaje swój login i hasło na fałszywej stronie, a przestępcy w czasie rzeczywistym przejmują jej konto. Scenariusz drugi to wyłudzenie danych karty kredytowej (pełen numer, data ważności, kod CVV) pod pretekstem “weryfikacji” lub ”przekazania środków”.

Jak się przed tym bronić? Przede wszystkim pomoże sceptycyzm i zasada ograniczonego zaufania. Po pierwsze, należy sprawdzić adres nadawcy. Po drugie, należy najechać kursorem myszy na link (bez klikania!), aby zobaczyć, jaki adres URL się pod nim kryje. Jeśli nie prowadzi do znanej i bezpiecznej domeny gov.pl, należy go zignorować. Po trzecie, pamiętajmy o żelaznej regule wspominanej powyżej, według której instytucje nie wysyłają linków do płatności ani zwrotów w ten sposób.

Co jednak zrobić, jeśli w pośpiechu kliknęliśmy i podaliśmy dane? Jeśli podaliśmy dane logowania do banku lub dane karty, należy natychmiast zadzwonić na całodobową infolinię swojego banku i zastrzec kartę oraz zablokować dostęp do bankowości internetowej. Następnie, jeśli podaliśmy hasło, którego użyliśmy też w innych serwisach (co jest fatalnym błędem), należy je natychmiast zmienić we wszystkich tych miejscach, zaczynając od poczty e-mail. Jeśli w grę wchodziły dane osobowe, a zwłaszcza numer PESEL, od niedawna w aplikacji mObywatel istnieje usługa "Zastrzeż PESEL”.