Krótka odpowiedź
Kod weryfikacyjny to klucz, a nie przypomnienie hasła. Istnieje po to, by osoba logująca się mogła udowodnić, że jest właścicielem konta. Gdy ktoś, z kim się nie kontaktowałeś, prosi o udostępnienie tego kodu, prośba ma na celu wejście na Twoje konto – niezależnie od tego, jak przyjaźnie czy oficjalnie brzmi dzwoniący.
Kody weryfikacyjne konta są przeznaczone dla procesu uwierzytelniania właściciela konta. Źródło
Ten jeden fakt rozstrzyga większość decyzji. Nigdy nie musisz przekazywać kodu logowania dzwoniącemu, ponieważ kod nie jest dla dzwoniącego. Jest dla ekranu logowania, który masz przed sobą.
Trzy sytuacje, które wyglądają podobnie, ale takie nie są
Zamieszanie zwykle wynika z pomieszania trzech różnych momentów: logowania, które sam rozpocząłeś, kodu, którego chce ktoś inny, oraz sprawdzenia, kto naprawdę dzwoni. Wymagają one różnych działań.
| Sytuacja | Co się dzieje | Co zrobić |
|---|---|---|
| Otworzyłeś logowanie lub aplikację i przychodzi kod, by je dokończyć | To Ty się logujesz, a kod kończy Twoją własną czynność | Wpisz kod na ekranie, który otworzyłeś. Nie przekazuj go nikomu innemu |
| Nieznajomy dzwoniący prosi o odczytanie lub przesłanie kodu | Ktoś inny próbuje dokończyć logowanie jako Ty | Nie udostępniaj go. Zakończ kontakt |
| Chcesz potwierdzić, że dzwoniący jest prawdziwy | Potrzebujesz kanału, któremu już ufasz, a nie numeru dzwoniącego | Rozłącz się i skontaktuj z organizacją znanym kanałem |
Najważniejszy jest środkowy wiersz. Kod jest użyteczny tylko dla kogoś, kto próbuje się zalogować, więc prośba o niego to prośba o dostęp.
Oszuści mogą podszywać się pod zaufaną organizację i prosić o kod, by uzyskać dostęp do konta. Źródło
Dlaczego numer dzwoniącego niczego nie rozstrzyga
Dzwoniący może twierdzić, że jest z banku, zespołu wsparcia platformy lub dowolnej organizacji, z którą masz do czynienia. Identyfikacja dzwoniącego, numer referencyjny czy spokojny ton nie dowodzą, kto jest po drugiej stronie. Bezpiecznym krokiem jest zaprzestanie korzystania z kanału kontrolowanego przez dzwoniącego i przejście na kanał, który sam wybrałeś.
FTC zaleca zakończenie niechcianego kontaktu i samodzielny telefon do organizacji z użyciem zaufanego wyciągu lub kontaktu w aplikacji, a nie numeru podanego przez dzwoniącego. Źródło
To jest część, którą ludzie pomijają. Rozłączenie się nie wystarczy, jeśli potem zadzwonisz pod numer podany przez dzwoniącego, ponieważ wrócisz do tej samej osoby. Użyj drogi kontaktu, którą już miałeś: wyciągu, aplikacji, zapisanego kontaktu lub oficjalnej strony, do której sam przejdziesz.
Lista kontrolna do zastosowania w danej chwili
- Zatrzymaj rozmowę. Nie potwierdzaj, nie zaprzeczaj ani nie odczytuj niczego, dopóki dzwoniący jeszcze mówi.
- Zapytaj siebie, kto rozpoczął logowanie. Jeśli nie otwierałeś logowania, żaden kod nie powinien do nikogo trafiać.
- Zakończ niechciany kontakt. Nie jesteś winien nieznajomemu wyjaśnień.
- Nie używaj numeru dzwoniącego. Sprawdź organizację kanałem, któremu już ufasz.
- Skontaktuj się z organizacją samodzielnie i zapytaj, czy z Twoim kontem jest realny problem.
- Jeśli przyszedł kod, którego nie zamawiałeś, potraktuj to jako sygnał, że ktoś próbował się zalogować, i zgłoś to zaufanym kanałem.
Krok 6 warto oddzielić od pozostałych. Kod, o który nie prosiłeś, nie jest dowodem naruszenia, ale jest powodem, by sprawdzić sprawę drogą, którą kontrolujesz, a nie przez dzwoniącego.
Ścieżki błędów, których należy unikać
- „Potwierdzę tylko pierwsze cyfry”. Częściowy kod to nadal część klucza. Nie udostępniaj żadnej jego części.
- „Zadzwoniłem pod numer, który podali, i potwierdzili, że to prawda”. Ten numer prowadzi z powrotem do tego samego dzwoniącego. To niczego nie dowodzi.
- „Dzwoniący znał moje imię, więc musi być prawdziwy”. Znajomość szczegółów na Twój temat nie jest dowodem tożsamości i nie jest powodem, by udostępniać kod.
- „Udostępnię teraz, a hasło zmienię później”. Gdy ktoś inny dokończy logowanie, sytuacja już się zmieniła. Zatrzymaj się przed udostępnieniem, a nie po.
Żadna z tych ścieżek nie wymaga wiedzy, jak działają menu konkretnej platformy. Decyzja zapada, zanim jakiekolwiek menu ma znaczenie: kod jest dla właściciela konta, a nieznajomy dzwoniący nie jest właścicielem konta.
Czego ten poradnik nie obejmuje
Niektóre organizacje stosują własne procesy potwierdzania, gdy to Ty kontaktujesz się pierwszy. Nie są one tym samym co kod logowania przychodzący do logowania, którego nie rozpocząłeś, i ten poradnik nie traktuje każdego kroku potwierdzenia przez wsparcie jako kodu logowania. Zasada jest tu celowo wąska: kod do logowania zostaje u osoby, która się loguje.
Ta strona nie obejmuje też porządkowania konta po strachu, zmiany ustawień ani sprawdzania, czy profil jest prawdziwy. To osobne zadania.
Przydatny następny krok
Telefon często wiąże się z historią: wiadomością, profilem w mediach społecznościowych lub kontem wsparcia, które twierdzi, że jest oficjalne. Jeśli chcesz zbadać to twierdzenie, a nie samą rozmowę telefoniczną, następnym zadaniem jest sprawdzenie, czy konto wsparcia jest autentyczne. Nasz poradnik sprawdzanie fałszywych kont wsparcia w mediach społecznościowych omawia to osobne zagadnienie.
Wyszukiwanie nazwy użytkownika może być punktem wyjścia, gdy patrzysz na profil, który się z Tobą skontaktował, ale publiczne dopasowanie to trop, a nie dowód, kto za nim stoi. Traktuj je jako coś do zweryfikowania, a nie jako potwierdzenie.