Jak rozpoznać phishing na Instagramie?

Poznaj najskuteczniejsze sposoby na ochronę przed cyberprzestępcami na Instagramie. Dowiedz się więcej o phishingu, weryfikacji dwuetapowej 2FA i VPN.

Instagram stał się jedną z najpopularniejszych platform społecznościowych na świecie. Podobnie jest również w Polsce. W naszym kraju według raportu Digital Poland na początku 2024 roku korzystało z niego około 11 mln użytkowników. Niestety, duża baza użytkowników to również woda na młyn dla cyberprzestępców, zwłaszcza tych wyłudzających dane.

W statystykach cyberzagrożeń dominuje socjotechnika znana jako phishing. Z raportu CERT wynika, że w samym 2023 roku zarejestrowano u nas ponad 80 tysięcy szkodliwych stron mających na celu wyłudzenie danych, a więc dwukrotnie więcej niż rok wcześniej. Jak więc rozpoznać próby wyłudzenia na Instagramie i chronić swoje konto? Sprawdziliśmy to.

Czym jest phishing i jak dotyka użytkowników Instagrama?

Sama idea phishingu jest prosta. Cyberprzestępcy podszywają się pod zaufane osoby lub instytucje w celu nakłonienia ofiary do ujawnienia wrażliwych danych, (np. loginów, haseł i numerów kart), albo do wykonania określonych działań. Na Instagramie oszustwo to może przybierać różne formy.

Przykładowo, atakujący mogą wysyłać fałszywe e-maile, podszywając się pod dział wsparcia Instagrama, w którym informuje o nieautoryzowanym logowaniu na nasze konto. Wiadomość zawiera link do rzekomej procedury resetu hasła. Po kliknięciu ofiara trafia na podrobioną stronę logowania Instagrama, gdzie wpisane dane trafiają prosto do oszustów.

Innym wariantem są wiadomości (e-mail lub prywatna) sugerujące, że naruszyliśmy czyjeś prawa autorskie i musimy natychmiast wypełnić formularz odwoławczy. Link do niego oczywiście prowadzi do fałszywej strony logowania. Nieświadomy użytkownik dzieli się swoimi danymi z oszustami, narażając się na straty.

Ważne jest więc, żeby korzystając z ulubionych mediów społecznościowych zachować czujność i nie ufać wszystkim linkom, tym bardziej że ze statystyk wynika, że phishing jest obecnie prawdziwą plagą. Według badań CERT Polska, to obecnie najczęstsze zagrożenie w polskim Internecie, które składa się na blisko 64% incydentów cyberbezpieczeństwa.

Przykłady najczęstszych oszustw na Instagramie

Na zagranicznym i polskim Instagramie można było w ostatnich latach zaobserwować liczne oszustwa wykorzystujące socjotechnikę. Oto kilka najpopularniejszych schematów, na które trzeba uważać:

Prośba o głos w konkursie od znajomego

Oszuści przejmują konto znajomej osoby i rozsyłają do jej obserwatorów prośby o pomoc. Często chodzi o oddanie głosu w konkursie. W tym celu proszą swoje ofiary o podanie numeru telefonu, na który przychodzi kod SMS. W rzeczywistości kod pochodzi z mechanizmu resetowania hasła, a przekazanie go przestępcom pozwala im przejąć konto ofiary. Ta sprytna, łańcuszkowa metoda cyberprzestępców pozwoliła przejąć tysiące profili w Polsce i Europie.

Fałszywe powiadomienie o naruszeniu zasad

Oszustwo, o którym już wspominaliśmy. Administratorzy stron i profili otrzymują prywatne wiadomości rzekomo od supportu Instagrama, informujące o naruszeniu standardów społeczności, np. poprzez publikację niewłaściwych treści lub naruszenie praw autorskich. W wiadomości oszuści grożą blokadą lub usunięciem konta w ciągu 24–48h, jeśli użytkownik nie kliknie podanego linku.

W rzeczywistości odnośnik prowadzi do podrobionej strony, często proszącej o ponowne logowanie lub pobranie pliku. Tak naprawdę umożliwia ona internetowym oszustom kradzież danych. Bądź uważny i pamiętaj, że Instagram nigdy nie wysyła takich wiadomości przez DM!

Podszywanie się pod sklepy i marki

Jest to metoda znana jako „angler phishing”. Cyberprzestępcy zakładają na Instagramie fałszywe profile znanych firm o nazwach łudząco podobnych do prawdziwych, różniące się np. kropkami lub podkreśleniami. Następnie ogłaszają gigantyczne promocje albo konkursy z nagrodami, które mają na celu zainteresowanie i skuszenie użytkowników.

Po kliknięciu linku z takiej oferty ofiara jest na ogół przekierowywana do fałszywej strony sklepu, gdzie ma podać dane logowania lub szczegóły płatnicze myśląc, że kupuje produkt po wyjątkowo okazyjnej cenie. W rzeczywistości nigdy nie zobaczy ani produktu, ani pieniędzy, a jej wrażliwe informacje trafią wprost do oszustów.

Oszustwo na niebieską odznakę – weryfikacja konta

Marzeniem wielu użytkowników jest niebieski znaczek potwierdzający weryfikację profilu. Przestępcy bardzo chętnie to wykorzystują, kontaktując się poprzez DM i oferując „zweryfikowanie konta” za opłatą. W ten sposób kuszą ofiary obietnicami, że za określoną sumę dostaną upragniony status. Jest to oczywiście kłamstwo, ponieważ Instagram nigdy nie pobiera opłat za weryfikację – tak naprawdę odbywa się ona wyłącznie oficjalną drogą poprzez aplikację. Jeśli ktoś zapłaci oszustowi, straci pieniądze i oczywiście żadnej odznaki nie otrzyma.

Jak rozpoznać próbę wyłudzenia danych?

Technika social engineering typu phishing stale ewoluuje i staje się coraz groźniejszą. Wiele ataków zdradza jednak pewne typowe cechy. Na co zwracać uwagę, by nie dać się oszukać:

• Sprawdź nadawcę i adres strony – jeśli dostajesz e–mail, upewnij się, że pochodzi z domeny @instagram.com (lub innej oficjalnej domeny social mediów). Instagram nigdy nie wysyła wiadomości z Gmaila, Outlooka czy Yahoo. Wiadomość z adresów tego typu to czerwona flaga. Podobnie, klikając link, zawsze patrz na adres URL w przeglądarce. Fałszywe strony często mają dziwne domeny z dopiskami. Jeśli masz wątpliwości, nie loguj się do nich!
• Korzystaj z VPN – narzędzia takie jak VPN zwiększają bezpieczeństwo w sieci. W sieci znaleźć można programy VPN do pobrania za darmo na telefon, które pozwalają zaszyfrować ruch internetowy w smartfonie i ukryć adres IP. Dzięki nim nawet korzystając z publicznego Wi–Fi, podczas przeglądania Instagrama w kawiarni czy na uczelni, utrudniasz cyberprzestępcom podejrzenie lub przechwycenie Twoich danych.
• Uważaj na presję czasu i straszenie – oszuści często próbują wywołać panikę i szybką reakcję, każąc coś zrobić natychmiast. W tym celu wysyłają do potencjalnych ofiar takie komunikaty, jak np. „Twoje konto zostanie zaraz usunięte!”, czy „Została godzina na reakcję!”. Instagram prawie nigdy nie stawia takich ultimatum. Zachowaj zdrowy rozsądek i zweryfikuj sprawę oficjalnymi kanałami.
• Nigdy nie podawaj kodów SMS ani haseł innym osobom – żaden prawdziwy pracownik Instagrama nigdy nie poprosi Cię o przekazanie kodu do logowania albo do resetu hasła. Takie prośby pojawiają się wyłącznie od oszustów próbujących przejąć Twoje konto. Kodów autoryzacyjnych nie udostępniaj nikomu, nawet znajomemu – zwłaszcza jeśli prosi o to przez wiadomość tekstową, a nie osobiście. Może to być sygnał, że jego konto jest już pod kontrolą przestępców.
• Aktywuj dwuskładnikowe uwierzytelnianie (2FA) – ta funkcja znacząco zwiększa bezpieczeństwo konta użytkowników social mediów. Nawet jeśli ktoś pozna Twoje hasło, nie zaloguje się bez dodatkowego kodu SMS lub z aplikacji uwierzytelniającej. Włączenie 2FA na Instagramie, a także w innych serwisach i usługach, zagwarantuje Ci dodatkową warstwę ochrony.

Zabezpieczenie konta – o czym jeszcze pamiętać?

Podsumowując, phishing na Instagramie da się skutecznie rozpoznać, jeśli zachowamy zdrowy rozsądek i zwrócimy uwagę na szczegóły. Cyberoszuści liczą na nasz pośpiech i nieuwagę. Ważne jest, żeby nie dać im tej przewagi. W dobie rosnącej świadomości użytkowników oraz ciągłych kampanii informacyjnych coraz więcej osób skutecznie unika stania się ofiarą.

Pamiętajmy więc o edukacji, dbajmy o silne hasła oraz narzędzia typu VPN i 2FA. Dzięki temu zawsze będziemy o krok przed internetowymi oszustami!