Operacja WallHack: jak działały grupy oszustów i rozpoznać fałszywą stronę
Spis treści

Strona phishingowa nie zawsze wygląda podejrzanie. Może kopiować witrynę banku, urzędu, marketplace’u albo organizacji międzynarodowej, a link trafia do użytkownika w komunikatorze pod pretekstem wypłaty, dostawy, głosowania lub pilnego potwierdzenia konta. Celem zazwyczaj nie jest „zhakowanie internetu”, lecz nakłonienie człowieka do samodzielnego wpisania danych płatniczych, hasła albo kodu potwierdzającego.

18 września 2026 roku Departament Cyberpolicji Ukrainy poinformował o operacji WallHack. Według oficjalnego komunikatu w lipcu i sierpniu służby ujawniły członków kilku grup oszustów w Kijowie i 19 obwodach Ukrainy. Śledczy przekazali, że podejrzani koordynowali działalność w komunikatorach i rozpowszechniali linki do fałszywych zasobów podszywających się pod platformy handlowe, usługi bankowe i rządowe oraz strony organizacji międzynarodowych.

Cyberpolicja podała, że zablokowano tysiące linków phishingowych i zakończono działalność 300 kanałów Telegram o łącznym zasięgu ponad 5 tys. uczestników. 23 osobom przedstawiono zarzuty, osiem zatrzymano, a pięć postępowań skierowano do sądu wraz z aktami oskarżenia. Są to statusy procesowe, a nie prawomocne wyroki wobec wszystkich osób. Pełnej liczby poszkodowanych i kwoty strat nie ustalono w chwili publikacji komunikatu. Szczegóły znajdują się w oficjalnym komunikacie Cyberpolicji.

Jak działa oszustwo z fałszywą stroną

Schemat zwykle składa się z kilku kroków:

  1. Użytkownik dostaje wiadomość z emocjonalnym pretekstem: odbiór pieniędzy, potwierdzenie zamówienia, uniknięcie blokady lub pilna aktualizacja danych.
  2. Link prowadzi do strony wizualnie kopiującej znany serwis. Czasem adres różni się tylko kilkoma znakami, zawiera dodatkowe słowo albo inną końcówkę domeny.
  3. Formularz prosi o numer karty, hasło, telefon, jednorazowy kod lub dane logowania do banku albo usługi publicznej.
  4. Dane mogą zostać wykorzystane do zalogowania, potwierdzenia płatności lub kolejnego ataku socjotechnicznego.

W komunikacie o WallHack Cyberpolicja opisała strony podszywające się pod różne usługi oraz wyłudzanie danych płatniczych i dostępu do zdalnej bankowości. To istotne: nie każda kampania phishingowa instaluje złośliwe oprogramowanie. Często to użytkownik sam wpisuje sekrety na fałszywej stronie, więc antywirus może niczego nie zablokować.

Co sprawdzić przed podaniem danych

Sprawdź domenę znak po znaku. Nie otwieraj formularza płatności z nieoczekiwanej wiadomości. Wejdź na stronę samodzielnie przez zapisaną zakładkę lub wpisz adres ręcznie. Zwróć uwagę na dodatkowe myślniki, przestawione litery, cyfry zamiast liter, poddomeny i nietypową końcówkę domeny. Kłódka HTTPS oznacza szyfrowane połączenie, ale nie potwierdza, że strona należy do banku.

Zastanów się, czy prośba ma sens. Bank ani urząd nie powinny prosić o przesłanie hasła lub jednorazowego kodu na czacie. Żądanie pełnego numeru karty wraz z CVV, PIN-em lub kodem z SMS-a jest powodem, by przerwać. W razie wątpliwości zamknij stronę i skontaktuj się z instytucją pod numerem z jej oficjalnej witryny albo z karty, a nie z wiadomości.

Nie uznawaj pośpiechu za dowód autentyczności. Komunikaty „konto zostanie zablokowane za 10 minut”, „wypłata przepadnie dziś” czy „przesyłka wróci” mają skłonić do szybkiego działania. Zrób przerwę. Operację można sprawdzić w oficjalnej aplikacji lub na stronie otwartej samodzielnie.

Sprawdź nadawcę. Nawet znany kontakt może być przejęty, a oszust na czacie grupowym może podszywać się pod administratora. Nie przekazuj linku dalej, dopóki go nie zweryfikujesz. O sprawdzaniu linków i wiadomości phishingowych przeczytasz też w artykule o niewidocznych znakach w wiadomościach phishingowych.

Jeśli podano już dane karty lub kod

Działaj szybko, ale korzystaj wyłącznie z oficjalnych kanałów:

  1. Zadzwoń do banku pod numer z karty lub oficjalnej strony.Poproś o zablokowanie karty albo podejrzanych operacji, jeśli wpisano jej dane lub potwierdzono płatność.
  2. Nie podawaj nikomu kolejnych kodów.Pracownik banku nie powinien prosić o przesłanie kodu z SMS-a, powiadomienia push ani aplikacji.
  3. Zmień hasło do przejętego kontaprzez oficjalną stronę lub aplikację. Jeśli to samo hasło było używane gdzie indziej, zmień je również tam; zacznij od poczty i bankowości.
  4. Sprawdź aktywne sesje i połączone urządzenia.Zakończ nieznane sesje i włącz uwierzytelnianie wieloskładnikowe, jeśli jest dostępne. Instrukcja sprawdzania połączonych urządzeń w WhatsApp i Telegramie pomoże zweryfikować komunikatory.
  5. Zachowaj dowody:adres strony, zrzuty rozmowy, czas, kwotę i powiadomienia bankowe. Nie otwieraj linku ponownie, aby „sprawdzić jeszcze raz”.
  6. Zgłoś incydent.Cyberpolicja przyjmuje zgłoszenia dotyczące phishingu i złośliwych treści przez oficjalne formularze. Jeśli utracono pieniądze, jak najszybciej powiadom bank i organy ścigania.

Jeśli tylko otworzyłeś stronę, ale niczego nie wpisałeś, nie pobrałeś ani nie zaakceptowałeś, sytuacja różni się od przekazania hasła czy kodu. Zamknij kartę, nie zezwalaj stronie na powiadomienia i sprawdź, czy nie rozpoczęło się pobieranie pliku. Jeśli plik został pobrany, nie uruchamiaj go; usuń go i wykonaj skanowanie wbudowanym narzędziem ochrony lub programem z oficjalnego źródła.

Jeśli po odwiedzeniu strony pojawiły się nieznane aplikacje, przekierowania reklamowe lub ostrzeżenia systemu, nie instaluj „czyściciela” z przypadkowej witryny. Zabezpiecz ważne dane, uruchom kontrolę Windows Security albo innego oficjalnego narzędzia i w razie potrzeby skorzystaj z diagnostyki urządzenia. Samo otwarcie linku nie dowodzi, że komputer jest zainfekowany.

Dlaczego blokowanie kanałów nie usuwa zagrożenia

Zamknięcie konkretnego kanału Telegram lub domeny phishingowej ogranicza dostępność tej infrastruktury, ale oszuści mogą tworzyć nowe strony i grupy. Dlatego bezpieczniej nie polegać na liście znanych domen, która szybko się dezaktualizuje, lecz niezależnie weryfikować każdą niespodziewaną prośbę.

Nie obwiniaj się, jeśli fałszywa strona wyglądała wiarygodnie. Ważniejsze jest ograniczenie skutków: szybki kontakt z bankiem, wylogowanie aktywnych sesji, zmiana hasła i zachowanie dowodów. Nie płać „pośrednikom”, którzy za zaliczkę obiecują gwarantowany zwrot pieniędzy. Po pierwszym oszustwie ofiara może zostać ponownie zaatakowana przez osoby podszywające się pod usługę odzyskiwania środków.

Lista kontrolna przed płatnością lub logowaniem

  • Otwórz usługę przez oficjalną aplikację, zakładkę lub adres wpisany ręcznie.
  • Sprawdź cały adres domeny, nie tylko logo i nazwę strony.
  • Nie podawaj PIN-u, hasła ani jednorazowego kodu w formularzu z wiadomości.
  • Zadzwoń do instytucji pod numerem z niezależnego, oficjalnego źródła.
  • Włącz powiadomienia o transakcjach i uwierzytelnianie wieloskładnikowe.
  • Jeśli dane już przekazano, najpierw skontaktuj się z bankiem, potem zmień hasła i zgłoś incydent.

Operacja WallHack pokazuje, że phishing może być zorganizowaną działalnością z kanałami przyciągającymi odbiorców i wieloma kopiami stron. Najbardziej praktyczny wniosek jest jednak prosty: sprawdzaj nie obrazek ani tekst w komunikatorze, lecz adres i żądanie formularza. Jeśli ktoś naciska, by pilnie podać dane bankowe lub kod, przerwij i zweryfikuj sprawę bezpośrednio przez oficjalny kanał.

Źródła