Audyt starego konta bez zgadywania i ryzykownego logowania
Audyt ma odpowiedzieć na trzy pytania: co to za usługa, z kim łączyła Cię umowa i co z tej relacji może być nadal aktywne. Nie wymaga uruchamiania starej aplikacji. Najpierw pracujesz na śladach, które już masz, i oznaczasz poziom pewności każdego wniosku. Gdy dwa dokumenty wskazują różne podmioty, nie wybierasz bardziej znajomej nazwy — zapisujesz rozbieżność do wyjaśnienia.
Etap 1 — zrób inwentarz na urządzeniu
Zacznij w ustawieniach systemu, nie w ekranie logowania aplikacji. Zapisz nazwę programu, wersję, nazwę pakietu lub wydawcy widoczną w systemie, źródło instalacji, datę ostatniej aktywności oraz zakres uprawnień. W Androidzie można sprawdzić i odebrać dostęp między innymi do kontaktów, mikrofonu, rejestru połączeń, telefonu i plików. Nazwy ustawień zależą od wersji systemu, dlatego korzystaj z bieżącej instrukcji producenta urządzenia lub systemu.
Jeśli aplikacja jest nieużywana, ograniczenie jej zbędnych uprawnień jest rozsądnym zabezpieczeniem. Nie czyść jednak jeszcze danych aplikacji i jej nie odinstalowuj. Lokalny identyfikator, zapis daty albo ekran ustawień może pomóc powiązać ją z dokumentami. Nie kopiuj tokenów sesji, baz aplikacji ani cudzych danych i nie instaluj zmodyfikowanego klienta, aby ominąć brak dostępu.
Etap 2 — odtwórz oś czasu z dokumentów
Przeszukaj własną skrzynkę według przybliżonego okresu korzystania, domen nadawców oraz słów występujących w opisie transakcji. Zbierz potwierdzenie rejestracji, zakupów i doładowań, faktury, informacje o zmianie warunków, korespondencję reklamacyjną i wiadomość o zamknięciu, jeśli istnieje. Przy każdym materiale zanotuj datę, pełną nazwę podmiotu, adres źródłowy i to, czego dokument rzeczywiście dowodzi.
Nie łącz automatycznie różnych ról
W osobnych polach zapisz: nazwę aplikacji, wydawcę, stronę umowy, dostawcę funkcji komunikacyjnej, administratora danych i odbiorcę płatności. Pośrednik płatniczy może widnieć na wyciągu, choć nie obsługuje konta. Administrator danych z aktualnej polityki prywatności nie musi odpowiadać za dawną fakturę. Z kolei podobna domena albo logo nie dowodzą następstwa prawnego.
Etap 3 — sprawdź podmiot i status dwoma źródłami
Najpierw znajdź aktualne dane prawne i kanał kontaktu na stronie podmiotu ustalonego z dokumentu, bez korzystania z odnośnika w niespodziewanej wiadomości. Potem porównaj nazwę i numer rejestrowy z właściwym urzędowym rejestrem. BRIS pobiera na bieżąco dane z rejestrów spółek w UE, Islandii, Liechtensteinie i Norwegii; polskie CEIDG i KRS można przeszukiwać łącznie na Biznes.gov.pl. Wynik rejestru potwierdza status podmiotu, ale nie rozstrzyga sam, czy przejął konkretną umowę lub saldo.
Status usługi zapisz jako jeden z czterech wyników: „działa i potwierdzone”, „konto istnieje, funkcja nieustalona”, „zakończenie potwierdzone przez właściwy podmiot” albo „brak wystarczających dowodów”. Sama niedostępność aplikacji, strony lub odpowiedzi nie uzasadnia wpisania „usługa zamknięta”. Datuj każdy wynik, bo aktywność konta i dane kontaktowe mogą się zmieniać.
Etap 4 — odzyskuj dostęp tylko oficjalnym kanałem
Jeżeli musisz wejść na konto, użyj aktualnego adresu ustalonego niezależnie i oficjalnej procedury odzyskiwania. Nie podawaj pełnych danych karty, hasła do poczty ani kodu 2FA konsultantowi. Gdy stary adres e-mail lub numer już do Ciebie nie należy, opisz problem i zapytaj o akceptowany sposób weryfikacji. Nie próbuj zgadywać odpowiedzi, przejmować dawnego numeru tylko dla kodu ani obchodzić blokady przez zmieniony program.
Jeśli otrzymasz niespodziewaną wiadomość o „reaktywacji”, „zwrocie salda” albo pilnej weryfikacji, nie loguj się z zawartego w niej linku. Podejrzaną stronę można zgłosić formularzem CERT Polska, a SMS z linkiem przekazać na numer 8080.
Etap 5 — zamknij audyt kartą decyzji
Karta decyzji powinna zawierać identyfikator konta, podmiot i źródło jego ustalenia, status dostępu, rodzaj usługi, saldo według kategorii, możliwe odnowienia, potrzebny eksport, zależne numery lub kontakty oraz brakujące dowody. Nie wpisuj w niej hasła, kodów odzyskiwania ani pełnych danych płatniczych. Przy każdym kolejnym kroku wskaż oczekiwane potwierdzenie.
Jeżeli adresat i status są ustalone, przejdź do strony Eksport i zamknięcie. Gdy nadal nie wiadomo, co oznacza znaleziona nazwa, skorzystaj z dokładnego poradnika Jak rozpoznać dawną usługę.
Źródła:
- CERT Polska, phishing na panele logowania i weryfikacja adresu.
- CERT Polska, zgłaszanie podejrzanych stron i SMS-ów.
- Portal e-Sprawiedliwość UE, BRIS.
- Biznes.gov.pl, wyszukiwarka CEIDG i KRS.
- Pomoc Android, kontrola uprawnień aplikacji.