"Skąd te kilkanaście złotych na rachunku? Nie przypominam sobie zamawiania takich usług". Nie powiem, że takie sytuacje zdarzają się często, ale niektórzy z Was na pewno zadali sobie kiedyś takie pytanie. Skąd biorą się subskrypcje usług, które widzimy pierwszy raz w życiu? Kto jest temu winien? Przyjrzyjmy się przykładowi z życia.
Gdy zastanawiałem się nad pomysłem na dzisiejszy tekst, temat przyszedł sam. Napisała do mnie zaniepokojona przyjaciółka, która po serii aktywności w sieci zorientowała się, że mogła zrobić coś, czego nie planowała.
Zadzwonił do mnie jakiś obcy numer. Zrzuciłam rozmowę. Spodziewając się, że może spróbować jeszcze raz, wyszukałam w sieci jeden z serwisów reputacyjnych, by sprawdzić, czy ktoś ostrzegał przed telefonami z tego numeru.
Niby nic takiego, prawda? Tego typu serwisy reputacyjne zyskały popularność wraz z rosnącą liczbą vishingów, sam regularnie z nich korzystam. Tu jednak pojawił się aspekt, który zaskoczył moją przyjaciółkę, a ja - akurat w przypadku takich serwisów - spotkałem się z nim pierwszy raz.
A bo mnie to wyskoczyło
Wybaczcie - nie mogłem się powstrzymać przed cytatem z mojej ukochanej Seksmisji. Co mają z nim wspólnego niechciane subskrypcje? Zacznijmy od... środka, czyli SMS-ów, które pokazała mi bohaterka tego materiału:

Dobra, ale żeby aktywować subskrypcje trzeba przecież podać PIN. Spytałem, czy go podała:
Tak, wpisałam! Myślałam, że to wymaganie z legitnej strony, żeby sprawdzić, kto do mnie dzwonił.
Ale skąd w ogóle wzięło się okienko? Po wejściu na stronę wyskoczyło okienko pop-up, z miejscem na wpisanie PIN-u. Jeśli taka sytuacja ma miejsce na ekranie telefonu, bardzo często taki niechciany gość wszystko nam zasłania, w efekcie czego klikamy gdziekolwiek, by po prostu się go pozbyć - czy też wpisujemy PIN, ufając, że to element procesu uzyskania informacji o podejrzanym numerze. No ale "przecież widziała w SMS-ach, że chodzi o subskrypcję, i że są koszty". Być może powiecie, że to efekt niefrasobliwości - ja fakt wpisania PIN-u na stronie zrzucę na karb tunelowania poznawczego/pamięci tunelowej.
Pamięć tunelowa (ang. tunnel memory) - zjawisko powstające w momencie przeżywania silnych emocji, np. bycie świadkiem morderstwa, przejawiające się zapamiętaniem jedynie określonego warunku danego zdarzenia przy całkowitym pominięciu pozostałych jego aspektów.
Właśnie dlatego łapiemy się phishingi, które z dystansu, z bezpiecznej perspektywy kanapy, wydają się wręcz prostackie. Jeśli jednak ofiara jest na nie wystawiona w trakcie przeżywania silnych emocji - w tym przypadku: sprawdzenia, czy ktoś, kolejny raz tego dnia nie próbuje jej oszukać - sytuacja nie jest już tak oczywista.
Jak nie zapisać się na niechciane subskrypcje
Ale najpierw odpowiedzmy, co zrobić, gdy odruchowo już to zrobiliśmy? Być może zauważyliście radę na poprzednim zrzucie ekranu. W przypadku zgodnej z procesem aktywacji takiej usługi dostajemy również informację o możliwości jej wyłączenia. W emocjonalnej sytuacji może się zdarzyć, że w takiej wiadomości widzimy kolejny element oszustwa! Tym bardziej, że proste pytanie do AI przyniesie odpowiedź, że pięciocyfrowe numery w formacie 8xxxx to numery premium!
Tak, co do zasady są to tzw. numery specjalne. Wysyłając SMS-a na numery specjalne możemy zapłacić nawet przeszło 40 zł za jeden. Ale akurat za wiadomości na 8xxxx wg. cennika zapłacimy poniżej złotówki. W opisywanym zaś przypadku wystarczyło poświęcić chwilę na zajrzenie na strony operatora, by upewnić się, że podany przezeń numer faktycznie przeznaczony jest do anulowania subskrypcji i faktycznie - nie jest taryfikowany.

Recepta zarówno jak ustrzec się przed rejestracją, jak i na to, jak po fakcie ograniczyć koszty jest taka sama. I taka sama jak przy phishingu.
Tylko spokój może nas uratować!
Warto wbić sobie w głowę, że klikanie czegokolwiek/gdziekolwiek, by tylko zamknąć wyskakujące okienko, jest złym pomysłem. Bardzo złym. I potencjalnie kosztownym. A jeśli już się zagapiliśmy to nic się nie stanie, jeśli poświęcimy chwilę, by zastanowić się:
- co właśnie nawywijaliśmy,
- ile to nas może kosztować,
- co zrobić, by wycofać to, co zrobiliśmy.
Gdyby to był phishing i zorientowalibyśmy się, że wpisaliśmy na podstawionej stronie hasło do banku - wtedy liczą się sekundy. A teraz? Teraz po prostu potencjalnie straciliśmy kilkanaście złotych, kwadrans spokojnej analizy niczego nie zmieni. Wysyłamy SMS-a, odwołujemy, wyciągamy nauczkę, zamykamy sprawę.
Kto jest winny
To pytanie musiało paść, ale jest najmniej istotne, więc zostawiłem je na koniec. Jestem świadom, że widząc, iż SMS z PIN-em przychodzi o operatora, znajdzie się grupa internautów, która to jego właśnie będzie winić. Gwoli wyjaśnienia - opisywany przypadek nie dotyczy Orange, ale dane pozwalające zidentyfikować operatora zakryłem, bo nie to jest istotą tematu.
Operator jest w tym przypadku jednak wyłącznie dostawcą usługi płatności, tak jak w naszym przypadku "Płać z Orange". SMS-y pojawiające się na zrzucie ekranu to po prostu elementy procesu wymagającego interakcji ze strony klienta. Tutaj kluczem jest jego uruchomienie przy użyciu wyskakującej na popularnej stronie reklamy z "nadzieją", że trafi się klient, który podobnie jak bohaterka tego materiału nie zwróci na to uwagi. A działający "na granicy etyki" dostawca, czy też broker płatnej usługi złowi kolejne 14,99 zł.
Mogę Was zapewnić, że każdy operator dba o swoje dobre imię i nie chce być kojarzony z tego typu nadużyciami. Jeśli zdarzy się Wam takie podstępne naciągnięcie na subskrypcję - piszcie do niego. A najlepiej - po prostu - nie dajcie się oszukać.

Michał Rosiak
Beata Giska
Bartosz Graczyk



