Dlaczego portfel elektroniczny jest celem #1 dla oszustów
W zeszłym roku znajomy zadzwonił do mnie o drugiej w nocy z pytaniem, dlaczego z jego Jetona zniknęło 4 200 zł. Odpowiedź zajęła mi trzy minuty: dwa tygodnie wcześniej kliknął link z SMS-a, który wyglądał jak powiadomienie z Jeton, a w rzeczywistości prowadził do panelu phishingowego. Atakujący przechwycił hasło i nie miał już żadnej przeszkody – bo 2FA nigdy nie zostało włączone.
Portfele elektroniczne są atrakcyjne dla oszustów z trzech powodów. Po pierwsze – środki da się wyprowadzić w kilka minut, bez czekania trzech dni na rozliczenie międzybankowe. Po drugie – limit refundacji w razie bankructwa wynosi raptem 1 000 funtów na klienta, więc liczyć na automatyczny zwrot z gwarancji nie ma co. Po trzecie – w odróżnieniu od banku, który wstrzyma podejrzaną transakcję na 24 godziny, Jeton wykonuje przelewy P2P natychmiastowo.
Wniosek: portfela elektronicznego nie wolno traktować jak konta bankowego. Konto bankowe wybacza Ci brak czujności kosztem nerwów i papierologii. Portfel elektroniczny – pieniędzmi.
Typy 2FA dostępne w Jeton
Mit, który ciągle się powtarza: „mam 2FA, jestem bezpieczny”. Nie tak szybko – to, jaki rodzaj 2FA wybierzesz, ma większe znaczenie niż sam fakt jego włączenia.
Jeton oferuje cztery warianty drugiego czynnika i każdy ma inny poziom odporności na atak. SMS to wariant najsłabszy, bo polskie sieci komórkowe są podatne na SIM-swap, a międzynarodowe kody A2P bywają filtrowane do tego stopnia, że gubią się w drodze. Email z kodem jednorazowym jest niewiele lepszy – jeśli atakujący ma już Twój login, prawdopodobnie ma też hasło do skrzynki z tej samej wycieku z bazy danych.
Trzeci wariant – TOTP (Time-based One-Time Password) – to dziś standard. Kod generuje aplikacja typu Google Authenticator, Authy, Aegis lub 2FAS, niezależna od sieci komórkowej i email. Atakujący musi mieć fizyczny dostęp do Twojego telefonu albo do kopii zapasowej kluczy TOTP, żeby cokolwiek zdziałać.
Czwarty wariant – klucz sprzętowy U2F/FIDO2 – to obecnie najmocniejsza linia obrony. Przy logowaniu wkładasz Yubikey w port USB albo dotykasz NFC do telefonu, a klucz kryptograficznie potwierdza Twoją tożsamość. Tego się phishingiem nie obejdzie – fałszywa strona nie ma poprawnej domeny, więc klucz odmówi współpracy.
Moja konfiguracja na poważnym portfelu wygląda tak: TOTP jako podstawa, klucz sprzętowy jako wzmocnienie przy logowaniu z nowego urządzenia, SMS wyłączony całkowicie. Email z kodem jednorazowym zostawiam tylko jako kanał awaryjny, do którego dostęp też ma 2FA.
Klucz U2F/FIDO2 – kiedy ma sens
Klucz sprzętowy do portfela kupowałem przez kilka lat z myślą „zaraz, zaraz, czy on mi się naprawdę przyda?”. Przyda się – jeśli spełnisz dwa warunki: trzymasz na portfelu kwoty istotne z punktu widzenia Twojego budżetu, i logujesz się z więcej niż jednego urządzenia.
Yubikey 5C NFC kosztuje obecnie około 250 zł. To jednorazowa inwestycja, bo klucz nie ma baterii, nie traci ważności i działa w obu portach (USB-C i NFC). Konfiguracja w Jeton zajmuje dosłownie minutę i odbywa się przez panel webowy – w aplikacji mobilnej tej opcji nie znajdziesz.
Sens kupowania klucza zaczyna się od salda kilku tysięcy złotych, ale nie chodzi tylko o pieniądze w portfelu. Klucz blokuje też najbardziej kosztowny scenariusz: oszust przejmuje konto, włącza w nim swoje 2FA, blokuje Twój dostęp i zaczyna prosić support Jeton o „odzyskanie konta” w swojej tożsamości. Z kluczem sprzętowym ten scenariusz jest zamknięty, bo to klucz, nie hasło, decyduje o autoryzacji zmian.
Dwa praktyczne ostrzeżenia. Pierwsze: kupuj zawsze co najmniej dwa klucze i parę zapasową przechowuj fizycznie poza domem (najlepiej u rodzica, partnerki, w szafce w pracy). Klucz utracony bez kopii to potencjalna utrata dostępu do konta. Drugie: nie zostawiaj klucza wpiętego w port komputera. Sens fizycznego klucza polega właśnie na tym, że jest fizyczny – czyli musi być wyjmowany.
Lista zaufanych urządzeń i sesji
W panelu webowym Jeton znajdziesz sekcję „Urządzenia” lub „Aktywne sesje” – w zależności od wersji interfejsu. To miejsce, gdzie warto zaglądać raz na miesiąc niezależnie od tego, czy wszystko działa poprawnie.
Lista pokazuje każde urządzenie, z którego logowano się na konto, datę ostatniej aktywności, lokalizację (przybliżoną, na bazie IP) i typ sesji. Standardowo widać tam: Twój telefon, Twój laptop, ewentualnie tablet i ewentualnie sesję webową z hotelu, w którym byłeś trzy miesiące temu.
Każdą sesję, która Ci się nie zgadza, należy natychmiast zamknąć. To nie zabija od razu intruza – bo jeśli ma Twoje hasło, zaloguje się ponownie – ale daje Ci sygnał, że hasło zostało skompromitowane. W takiej sytuacji procedura wygląda tak: najpierw zmień hasło, potem przegeneruj klucze TOTP, dopiero na końcu zamknij wszystkie sesje. Kolejność ma znaczenie, bo zamknięcie sesji bez zmiany hasła to złe wieści dla Ciebie i dobre dla atakującego – ten ma 30 sekund na zalogowanie ponownie.
Druga rzecz, którą daje lista urządzeń, to wczesne ostrzeganie o SIM-swap. Jeśli widzisz nową sesję z nieznanego telefonu w Twoim mieście, której nie autoryzowałeś – to nie żart kolegi, tylko sygnał, że ktoś przejął Twój numer. Wtedy najpilniejszy ruch nie dotyczy Jeton, tylko polskiego operatora telefonii – i tej sytuacji nie rozwiążesz aplikacją.
Phishing, SIM-swap i scenariusze ataku
„Spełniamy wymogi AML, prowadzimy mechanizmy odpowiedzialnej gry, dbamy o to, żeby nie dopuścić do gry nieletnich – i jednocześnie konkurujemy z podmiotami, które nie robią żadnej z tych rzeczy” – tak prezes Stowarzyszenia Bukmacherzy Razem podsumował niedawno asymetrię w branży. Identyczna asymetria istnieje między Tobą a oszustem: Ty masz limity czasu, on ma cierpliwość.
Pierwszy scenariusz to klasyczny phishing przez SMS. Wiadomość przychodzi pod nazwą „Jeton” lub podobną, treść – coś w stylu „Twoje konto zostało zablokowane, kliknij link, aby je odblokować”. Link prowadzi na stronę identyczną z prawdziwą, ale o jednej literze różnicy w domenie. Wpisujesz dane, atakujący ma logowanie. Obrona: nie klikaj nigdy linków z SMS-ów dotyczących finansów. Otwórz aplikację albo wpisz adres ręcznie.
Drugi scenariusz – SIM-swap – to atak, który rozwinął się ostatnio do skali przemysłowej. Oszust podszywa się pod Ciebie u operatora telefonii, twierdzi, że zgubił telefon, prosi o przeniesienie numeru na nową kartę SIM. Polscy operatorzy zaostrzyli weryfikację po 2023 r., ale ataki nadal się zdarzają – szczególnie u osób, które publicznie pokazują dokumenty (np. selfie z dowodem na zdjęciu profilowym). Obrona: 2FA przez SMS wyłączone, drugi czynnik na TOTP albo klucz sprzętowy.
Trzeci scenariusz – atak na email. Oszust dostaje wyciek z bazy danych jakiegoś forum, w której Twoje hasło do skrzynki jest takie samo jak hasło do tego forum. Loguje się na maila, znajduje w skrzynce historyczne wiadomości od Jeton, próbuje hasła wariantami. Jeśli używałeś tego samego hasła w kilku miejscach – wchodzi na konto Jeton bez 2FA. Obrona: managery haseł, każdy serwis swoje unikalne hasło, hasło do skrzynki absolutnie unikalne.
Co zrobić po przejęciu konta – checklista
Jeśli już doszło do najgorszego, kolejność działań decyduje o tym, czy odzyskasz pieniądze, czy będziesz pisał do supportu w nieskończoność. Z doświadczenia: pierwsze trzydzieści minut po przejęciu jest najważniejsze.
Krok pierwszy – zablokuj konto przez infolinię lub czat aplikacji. Powiedz wyraźnie: „wnoszę o zamrożenie konta z powodu nieuprawnionego dostępu”. Jeton ma procedurę natychmiastowego zamrożenia, która działa szybciej niż zmiana hasła. Drugie: zgłoś zdarzenie organom ścigania w Polsce – wystarczy Komenda Powiatowa lub komisariat online. Numer zgłoszenia będzie potrzebny przy reklamacji.
Krok trzeci – zmień hasło do skrzynki email powiązanej z Jeton i włącz 2FA na skrzynce, jeśli go tam jeszcze nie ma. Krok czwarty – wystąp w aplikacji o pełen wyciąg historii transakcji za ostatnie 30 dni. Krok piąty – złóż reklamację z prośbą o zwrot środków, dołączając numer zgłoszenia z policji i wyciąg.
Realna szansa na zwrot z Jeton zależy od tego, czy potrafisz wykazać, że nie podjąłeś działań rażąco zaniedbujących bezpieczeństwo. Jeśli używałeś 2FA, miałeś silne unikalne hasło i klikałeś tylko legitymowane linki – szansa rośnie. Jeśli 2FA było wyłączone, hasło „12345” i kliknąłeś link z SMS-a – szansa spada do zera.
Drugi tor odzyskania to ścieżka cywilna przeciwko sprawcy, jeśli zostanie zidentyfikowany. Tu liczą się logi po stronie operatora i dlatego dobry support Jeton wystawi Ci dokumenty pomocne w postępowaniu – ale dokumenty trzeba poprosić w pierwszych dniach, nie po pół roku. Jeśli interesuje Cię kontekst, dlaczego portfel elektroniczny w ogóle wymaga tak rygorystycznej higieny KYC, opisałem to w tekście o karcie Jeton VISA i jej realnych kosztach.