Phishing nie zawsze wygląda jak wiadomość pełna błędów i podejrzanych linków. Współczesne próby wyłudzenia mogą wykorzystywać prawdziwe dane odbiorcy, przejęte konta znajomych, kody QR, fałszywe reklamy, rozmowy telefoniczne, a nawet głos wygenerowany przez AI.
Po lekturze dowiesz się, jak rozpoznać najważniejsze rodzaje phishingu, ocenić podejrzaną wiadomość, bezpiecznie zweryfikować jej nadawcę oraz ograniczyć szkody, jeśli dane lub pieniądze zostały już przekazane oszustom.
Co to jest phishing?
Phishing to forma socjotechniki, której celem jest nakłonienie człowieka do wykonania działania korzystnego dla przestępcy. Najczęściej chodzi o:
- podanie loginu i hasła,
- ujawnienie danych karty płatniczej,
- przekazanie kodu BLIK,
- zatwierdzenie logowania lub płatności w aplikacji bankowej,
- zainstalowanie złośliwego oprogramowania,
- otwarcie niebezpiecznego załącznika,
- udostępnienie danych osobowych,
- zmianę numeru rachunku na fakturze,
- przyznanie aplikacji dostępu do poczty lub plików,
- wykonanie przelewu pod presją czasu.
Phishing nie jest nazwą konkretnego wirusa ani jednego rodzaju wiadomości. To metoda manipulacji, która może wykorzystywać e-mail, SMS, telefon, komunikator, serwis społecznościowy, reklamę internetową, kod QR albo podrobioną stronę.
Na czym polega skuteczność phishingu?
Atakujący próbuje stworzyć wiarygodny pretekst i wywołać emocję ograniczającą ostrożność. Najczęściej wykorzystuje:
- strach przed utratą pieniędzy lub dostępu do konta,
- pośpiech,
- ciekawość,
- obietnicę nagrody,
- autorytet banku, urzędu lub przełożonego,
- chęć pomocy bliskiej osobie,
- rutynę związaną z fakturami, przesyłkami i logowaniem,
- zmęczenie lub nadmiar obowiązków.
Najważniejszym sygnałem ostrzegawczym nie jest więc sam błąd językowy. Jest nim próba wymuszenia określonego działania bez zapewnienia czasu i bezpiecznego sposobu weryfikacji.
Phishing, spam, spoofing i malware – czym się różnią?
Pojęcia te często występują razem, ale nie oznaczają tego samego.
| Pojęcie | Co oznacza? | Przykład |
|---|---|---|
| Phishing | Manipulację prowadzącą do wyłudzenia danych, pieniędzy lub dostępu | Fałszywa wiadomość banku z linkiem do logowania |
| Spam | Niechciane wiadomości wysyłane masowo | Reklama przesłana bez zgody |
| Spoofing | Podszywanie się pod adres, numer telefonu, domenę lub tożsamość | Połączenie wyświetlające numer podobny do infolinii banku |
| Malware | Złośliwe oprogramowanie | Program przejmujący hasła lub zdalną kontrolę nad urządzeniem |
| Scam | Ogólna nazwa oszustwa | Fałszywa inwestycja lub nieistniejący sklep |
| BEC | Oszustwo biznesowe polegające na podszywaniu się pod firmę albo pracownika | E-mail od „prezesa” z poleceniem pilnego przelewu |
Phishing może wykorzystywać spoofing i prowadzić do instalacji malware, ale nie każda niechciana wiadomość jest phishingiem. Jednocześnie wiadomość może być niebezpieczna nawet wtedy, gdy nie zawiera żadnego linku ani załącznika.
Najczęstsze rodzaje phishingu
Phishing e-mailowy
Oszust przesyła wiadomość przypominającą komunikat banku, sklepu, platformy streamingowej, firmy kurierskiej, urzędu lub pracodawcy. Link prowadzi do podrobionej strony, na której ofiara ma się zalogować, zapłacić albo potwierdzić dane.
Wiadomość może również zawierać załącznik udający fakturę, dokument, wezwanie do zapłaty lub potwierdzenie zamówienia.
Spear phishing
Spear phishing jest atakiem przygotowanym pod konkretną osobę lub organizację. Przestępca może znać imię odbiorcy, jego stanowisko, nazwę kontrahenta, aktualny projekt albo dane przełożonego.
Personalizacja zwiększa wiarygodność wiadomości, ale nie potwierdza jej autentyczności. Dane wykorzystane w ataku mogą pochodzić z mediów społecznościowych, wycieków, publicznych rejestrów lub przejętej skrzynki e-mail.
Smishing, czyli phishing przez SMS
Smishing wykorzystuje wiadomości tekstowe. Popularne preteksty to:
- dopłata do przesyłki,
- zaległa faktura,
- blokada konta,
- zwrot podatku,
- mandat,
- niedopłata za energię,
- konieczność potwierdzenia danych,
- pilna informacja od banku.
SMS może pojawić się w tym samym wątku co autentyczne wiadomości. Nazwa nadawcy lub numer telefonu nie są wystarczającym dowodem wiarygodności.
Vishing, czyli phishing telefoniczny
Przestępca dzwoni i podaje się za pracownika banku, policjanta, konsultanta technicznego, urzędnika lub członka rodziny. Może znać część danych ofiary i poinformować o rzekomej próbie kradzieży pieniędzy.
Celem rozmowy bywa nakłonienie odbiorcy do:
- podania kodu BLIK,
- zatwierdzenia operacji w aplikacji,
- wykonania „przelewu zabezpieczającego”,
- instalacji programu do zdalnej obsługi urządzenia,
- przekazania danych karty,
- wypłaty gotówki,
- zignorowania ostrzeżeń wyświetlanych przez bank.
Numer widoczny na ekranie może zostać podrobiony. Sam fakt, że telefon pokazuje nazwę banku, nie potwierdza tożsamości rozmówcy.
Quishing, czyli phishing z kodem QR
Kod QR może kierować do fałszywego panelu logowania, formularza płatności lub strony instalującej niebezpieczną aplikację. Bywa umieszczany w e-mailu, na plakacie, parkomacie, przesyłce albo naklejce zasłaniającej prawidłowy kod.
Kod QR ukrywa adres strony przed użytkownikiem, dlatego przed jej otwarciem należy sprawdzić podgląd domeny.
Phishing w mediach społecznościowych i komunikatorach
Przejęte konto znajomego może zostać użyte do wysłania prośby o kod BLIK, głos w konkursie, szybką pożyczkę lub kliknięcie filmu. Wiadomość może wyglądać naturalnie, ponieważ pochodzi z prawdziwego profilu.
Tożsamość rozmówcy należy potwierdzić innym kanałem, najlepiej przez samodzielnie wykonane połączenie na znany numer.
Pharming i fałszywe wyniki wyszukiwania
Pharming polega na przekierowaniu użytkownika na fałszywą stronę mimo pozornie prawidłowej czynności. Podobny efekt może dać złośliwa reklama w wyszukiwarce. Użytkownik wpisuje nazwę banku lub usługi, klika pierwszy wynik i trafia do podrobionego serwisu.
Do bankowości najlepiej przechodzić przez oficjalną aplikację albo samodzielnie zapisany adres, a nie przez reklamę lub link z wiadomości.
Business Email Compromise
Business Email Compromise, w skrócie BEC, dotyczy organizacji i osób realizujących płatności. Oszust podszywa się pod prezesa, księgowego, pracownika lub kontrahenta i prosi o:
- pilny przelew,
- zmianę rachunku na fakturze,
- zakup kart podarunkowych,
- poufne przekazanie dokumentów,
- pominięcie standardowej procedury akceptacji.
BEC nie musi zawierać złośliwego linku. Wiadomość może być wysłana z podobnej domeny albo z autentycznej, przejętej skrzynki.
Consent phishing i fałszywe logowanie przez OAuth
Niektóre ataki nie wyłudzają hasła. Użytkownik jest proszony o nadanie aplikacji uprawnień do poczty, kontaktów, kalendarza lub plików. Jeśli zaakceptuje żądanie, przestępca może uzyskać dostęp bez poznania hasła.
Zmiana hasła nie zawsze odbiera takie uprawnienia. Należy dodatkowo usunąć podejrzaną aplikację z listy integracji i aktywnych sesji.
Jak rozpoznać próbę phishingu?
Nie istnieje jeden test wykrywający każdy atak. Wiarygodność należy oceniać na podstawie zestawu sygnałów.
Presja czasu i wywoływanie emocji
Zachowaj szczególną ostrożność, gdy wiadomość zawiera komunikaty typu:
- „Twoje konto zostanie zablokowane”,
- „Masz ostatnią szansę”,
- „Nie rozłączaj się”,
- „Nie informuj innych pracowników”,
- „Musisz działać natychmiast”,
- „Środki są zagrożone”,
- „Brakuje niewielkiej dopłaty”.
Prawdziwy problem może być pilny, ale uczciwa instytucja powinna pozwolić zweryfikować komunikat przez oficjalny kanał.
Prośba o dane, których nie należy przekazywać
Podejrzana jest każda prośba o:
- pełne hasło,
- kod jednorazowy,
- kod BLIK,
- PIN do karty,
- numer CVV lub CVC bez uzasadnionej płatności,
- treść powiadomienia autoryzacyjnego,
- zatwierdzenie operacji, której sam nie zainicjowałeś,
- instalację programu do zdalnego pulpitu,
- przelanie pieniędzy na „bezpieczne konto”.
Pracownik banku nie potrzebuje kodu BLIK ani zatwierdzenia przelewu, żeby anulować rzekomy atak.
Nietypowy adres nadawcy
Sprawdź pełny adres e-mail, a nie tylko nazwę wyświetlaną. Różnica może obejmować:
- dodatkową literę,
- zamianę kolejności znaków,
- inną końcówkę domeny,
- użycie subdomeny sugerującej znaną markę,
- zastąpienie litery podobnym znakiem,
- bezpłatną skrzynkę zamiast domeny firmowej.
Adres podobny do prawdziwego nadal może należeć do oszusta. Z kolei poprawny adres nie daje całkowitej pewności, ponieważ konto mogło zostać przejęte.
Podejrzany link
Przed kliknięciem sprawdź docelowy adres. Na komputerze można najechać kursorem na link, a na telefonie przytrzymać go bez otwierania.
Najważniejsza jest właściwa domena, czyli część adresu należąca do właściciela strony. W adresie:
bank.example-oszust.pl/logowanie
właściwą domeną jest example-oszust.pl, a słowo „bank” jest tylko subdomeną.
Uważaj również na:
- skrócone adresy,
- literówki,
- nietypowe końcówki,
- bardzo długie ciągi znaków,
- nazwę marki umieszczoną jedynie w ścieżce adresu,
- adres IP zamiast nazwy domeny.
Kłódka i HTTPS nie potwierdzają uczciwości strony
HTTPS oznacza, że połączenie ze stroną jest szyfrowane. Nie potwierdza jednak, że właściciel strony jest bankiem, sklepem lub urzędem. Oszuści również mogą uzyskać certyfikat i wyświetlać symbol kłódki.
Nietypowa prośba od znanej osoby
Jeśli znajomy, przełożony lub kontrahent prosi o pieniądze, kod albo zmianę danych płatniczych, zweryfikuj prośbę przez drugi kanał. Nie odpowiadaj wyłącznie w tym samym wątku, ponieważ skrzynka nadawcy mogła zostać przejęta.
Język i wygląd wiadomości
Błędy językowe, niewłaściwa odmiana imienia, nienaturalne tłumaczenie i niespójna grafika są sygnałami ostrzegawczymi. Nie należy jednak na nich polegać. Narzędzia generatywnej AI pozwalają tworzyć poprawne, spersonalizowane i przekonujące wiadomości.
Jak bezpiecznie sprawdzić podejrzaną wiadomość?
Zatrzymaj działanie
Nie klikaj linku, nie otwieraj załącznika i nie odpowiadaj pod wpływem presji. Kilkadziesiąt sekund przerwy może wystarczyć, by zauważyć manipulację.
Otwórz usługę niezależnym kanałem
Jeżeli wiadomość dotyczy banku, przesyłki lub konta:
- zamknij wiadomość,
- uruchom oficjalną aplikację albo wpisz znany adres ręcznie,
- sprawdź powiadomienia i historię operacji,
- skontaktuj się z instytucją przez numer podany na karcie, stronie lub w aplikacji.
Nie używaj numeru telefonu ani linku przesłanego w podejrzanej wiadomości.
Potwierdź prośbę innym kanałem
W sprawach służbowych zadzwoń do kontrahenta lub pracownika na wcześniej znany numer. Zmiana rachunku bankowego powinna być potwierdzona zgodnie z ustaloną procedurą, najlepiej przez co najmniej dwie osoby.
Przeczytaj komunikat autoryzacyjny
Nie zatwierdzaj automatycznie powiadomienia w aplikacji. Sprawdź:
- kwotę,
- odbiorcę,
- typ operacji,
- numer rachunku,
- informację o dodaniu urządzenia,
- informację o zmianie limitu,
- zakres przyznawanych uprawnień.
Kod autoryzacyjny nie potwierdza tożsamości konsultanta. Zwykle zatwierdza konkretną operację wykonaną na rachunku.
Sprawdź załącznik bez jego otwierania
Niebezpieczne mogą być pliki wykonywalne, archiwa, dokumenty z makrami, obrazy dysków oraz dokumenty kierujące do logowania. Samo rozszerzenie nie zawsze odpowiada prawdziwemu typowi pliku.
Jeżeli dokument był oczekiwany, potwierdź jego wysłanie z nadawcą. W organizacji przekaż wiadomość zespołowi bezpieczeństwa lub IT zgodnie z procedurą.
Tabela decyzyjna: co zrobić z podejrzaną wiadomością?
| Sytuacja | Poziom ryzyka | Co zrobić? | Czego nie robić? |
|---|---|---|---|
| Wiadomość informacyjna bez linku i prośby o działanie | Niski | Sprawdź nadawcę i treść | Nie zakładaj automatycznie, że jest prawdziwa |
| Link do logowania lub płatności | Wysoki | Otwórz usługę przez aplikację lub ręcznie wpisany adres | Nie loguj się z linku |
| Prośba o kod BLIK, PIN lub kod SMS | Krytyczny | Przerwij kontakt i samodzielnie zadzwoń do instytucji lub osoby | Nie przekazuj kodu |
| Telefon z banku z prośbą o przelew zabezpieczający | Krytyczny | Rozłącz się i zadzwoń na oficjalną infolinię | Nie wykonuj przelewu |
| Prośba o instalację programu do zdalnej obsługi | Krytyczny | Odmów i zakończ rozmowę | Nie udostępniaj ekranu ani urządzenia |
| Zmiana rachunku na fakturze | Wysoki | Potwierdź ją na znany numer i zastosuj podwójną akceptację | Nie potwierdzaj przez odpowiedź na ten sam e-mail |
| Wiadomość od znajomego z prośbą o pieniądze | Wysoki | Zadzwoń do tej osoby lub zadaj pytanie kontrolne | Nie ufaj wyłącznie profilowi |
| Nieoczekiwany kod QR | Wysoki | Sprawdź adres przed otwarciem | Nie skanuj automatycznie |
| Powiadomienie o logowaniu, którego nie inicjowałeś | Krytyczny | Odrzuć je, zmień hasło i sprawdź sesje | Nie zatwierdzaj dla „anulowania” |
| Kliknięty link bez podania danych | Średni | Zamknij stronę, sprawdź pobrane pliki i urządzenie | Nie wracaj na stronę |
| Podane hasło na fałszywej stronie | Krytyczny | Natychmiast zmień hasło i wyloguj sesje | Nie czekaj na rozwój sytuacji |
| Wykonany przelew lub przekazany BLIK | Krytyczny | Pilnie skontaktuj się z bankiem i zgłoś oszustwo | Nie prowadź dalszych negocjacji z oszustem |
Jak chronić się przed phishingiem?
Używaj unikalnych haseł i menedżera haseł
To samo hasło używane w kilku serwisach sprawia, że wyciek z jednego miejsca może doprowadzić do przejęcia kolejnych kont.
Menedżer haseł:
- generuje długie, losowe hasła,
- przechowuje je w zaszyfrowanym sejfie,
- ogranicza konieczność zapamiętywania,
- może nie uzupełnić hasła na domenie innej niż zapisana.
Menedżer nie zastępuje ostrożności, ale zmniejsza ryzyko ponownego użycia hasła i wpisania go na źle rozpoznanej stronie.
Włącz uwierzytelnianie wieloskładnikowe
MFA utrudnia przejęcie konta po kradzieży hasła. Najsilniejszą ochronę przed klasycznym phishingiem zapewniają klucze sprzętowe i passkeys powiązane z prawidłową domeną.
Kody SMS są lepsze niż samo hasło, lecz mogą zostać wyłudzone. Aplikacja generująca kody również nie chroni, jeśli użytkownik sam przepisze kod na fałszywej stronie.
Korzystaj z passkeys
Passkeys pozwalają logować się przy użyciu mechanizmu kryptograficznego, często potwierdzanego biometrią lub kodem urządzenia. Dane potrzebne do logowania nie są wpisywane na stronie, a poświadczenie jest związane z konkretną domeną.
Nie każda usługa obsługuje passkeys, dlatego nadal potrzebne są unikalne hasła i MFA.
Aktualizuj urządzenia i aplikacje
Aktualizacje nie zatrzymają każdej manipulacji, ale usuwają luki wykorzystywane przez złośliwe strony, dokumenty i aplikacje. Aktualne powinny być przede wszystkim:
- system operacyjny,
- przeglądarka,
- aplikacja pocztowa,
- program antywirusowy,
- aplikacja bankowa,
- pakiet biurowy.
Ograniczaj publiczne informacje
Im więcej informacji o stanowisku, przełożonych, dostawcach, podróżach i projektach znajduje się publicznie, tym łatwiej przygotować spear phishing.
W organizacji warto ograniczyć publikowanie pełnych struktur zespołów, bezpośrednich adresów e-mail i szczegółów procesów finansowych.
Ustaw limity i powiadomienia bankowe
Praktyczną warstwą ochrony są:
- niskie limity przelewów i płatności,
- powiadomienia o każdej transakcji,
- osobna karta do zakupów internetowych,
- czasowe wyłączanie płatności zagranicznych,
- blokowanie funkcji, z których się nie korzysta,
- regularna kontrola historii rachunku.
Limity nie zapobiegają phishingowi, ale mogą zmniejszyć jego skutki.
Co zrobić po kliknięciu podejrzanego linku?
Samo kliknięcie nie zawsze oznacza utratę konta. Ryzyko zależy od tego, co wydarzyło się później.
Jeśli tylko otworzyłeś stronę
- zamknij kartę,
- nie pobieraj żadnych plików,
- sprawdź historię pobierania,
- zaktualizuj przeglądarkę i system,
- uruchom skanowanie bezpieczeństwa,
- usuń zgodę na powiadomienia, jeśli została nadana,
- obserwuj konta pod kątem nietypowej aktywności.
Jeśli strona wykorzystała lukę w nieaktualnym oprogramowaniu, samo jej otwarcie mogło być niebezpieczne. W środowisku firmowym zgłoś zdarzenie zespołowi IT.
Jeśli podałeś login i hasło
- Wejdź na prawdziwą stronę usługi.
- Zmień hasło z zaufanego urządzenia.
- Wyloguj wszystkie aktywne sesje.
- Włącz lub skonfiguruj ponownie MFA.
- Sprawdź dane odzyskiwania konta.
- Usuń obce urządzenia i aplikacje.
- Zmień hasło również w innych miejscach, jeśli było używane ponownie.
W przypadku poczty sprawdź reguły przekazywania wiadomości, filtry, delegacje, hasła aplikacji i historię logowań. Przestępcy często ustawiają ukryte przekierowanie poczty, aby zachować dostęp do korespondencji.
Jeśli zatwierdziłeś logowanie lub operację
Natychmiast skontaktuj się z bankiem lub administratorem usługi. Odrzuć kolejne powiadomienia i nie zakładaj, że zmiana hasła automatycznie unieważni wszystkie sesje, tokeny oraz uprawnienia aplikacji.
Jeśli zainstalowałeś program do zdalnej obsługi
- odłącz urządzenie od internetu,
- nie loguj się z niego do banku ani poczty,
- skontaktuj się z bankiem z innego urządzenia,
- usuń program i sprawdź ustawienia zdalnego dostępu,
- przeprowadź pełną analizę bezpieczeństwa,
- w razie wątpliwości przywróć urządzenie do stanu fabrycznego,
- zmień hasła z czystego, zaufanego urządzenia.
Samo zamknięcie aplikacji może nie wystarczyć, jeżeli została skonfigurowana do automatycznego uruchamiania.
Co zrobić po utracie pieniędzy lub danych?
Skontaktuj się z bankiem
Działaj natychmiast. Poproś o:
- zablokowanie dostępu lub instrumentu płatniczego,
- próbę zatrzymania albo odwołania przelewu,
- zabezpieczenie rachunku,
- zastrzeżenie karty,
- sprawdzenie dodanych odbiorców i urządzeń,
- przyjęcie reklamacji.
Nie ma gwarancji odzyskania pieniędzy, ale szybkość zgłoszenia może zwiększyć szansę zatrzymania środków.
Zabezpiecz dokumenty i tożsamość
Jeżeli ujawniłeś dane dokumentu tożsamości lub pełny zestaw danych osobowych:
- zastrzeż numer PESEL,
- rozważ zastrzeżenie dokumentu,
- monitoruj rachunki i korespondencję,
- zachowaj informacje o ujawnionych danych,
- sprawdzaj próby zakładania usług lub zaciągania zobowiązań.
Zastrzeżenie PESEL nie zastępuje zgłoszenia utraty dokumentu ani zabezpieczenia kont.
Zachowaj dowody
Nie usuwaj od razu wiadomości. Zapisz:
- numer telefonu i adres nadawcy,
- treść SMS-a lub e-maila,
- adres fałszywej strony,
- potwierdzenie przelewu,
- datę i godzinę zdarzenia,
- numery rachunków,
- historię rozmowy,
- nazwy zainstalowanych aplikacji,
- zrzuty ekranu.
Dowody mogą pomóc bankowi, policji, administratorowi usługi i zespołom reagowania na incydenty.
Zgłoś próbę oszustwa
Podejrzaną wiadomość lub stronę można zgłosić do CERT Polska. Podejrzane SMS-y można przekazywać na numer 8080. Jeśli doszło do kradzieży pieniędzy, przejęcia konta, użycia dokumentów lub innej szkody, zgłoś sprawę również bankowi i policji.
Phishing w firmie – jak ograniczyć ryzyko?
Ochrona organizacji nie powinna polegać wyłącznie na szkoleniu pracowników. Potrzebne są zabezpieczenia techniczne i procesowe.
Procedury finansowe
Najważniejsze zasady to:
- podwójna akceptacja przelewów,
- niezależne potwierdzanie zmiany rachunku,
- limity kwotowe,
- rozdzielenie przygotowania i zatwierdzenia płatności,
- zakaz obchodzenia procedury na polecenie przesłane e-mailem,
- procedura pilnych płatności poza standardowymi godzinami.
Zabezpieczenie poczty i domeny
Organizacja powinna stosować mechanizmy uwierzytelniania poczty, filtrowanie wiadomości, ochronę przed podobnymi domenami i monitoring nietypowych logowań. Ważne są także:
- MFA odporne na phishing,
- wyłączenie przestarzałych metod logowania,
- ograniczenie automatycznego przekazywania poczty,
- kontrola aplikacji OAuth,
- alerty dotyczące nowych reguł skrzynki,
- ochrona kont uprzywilejowanych.
Szkolenia i symulacje
Szkolenia powinny obejmować realne scenariusze dla danego stanowiska. Innych wiadomości może spodziewać się księgowość, innych dział HR, a jeszcze innych administrator systemów.
Pracownik powinien wiedzieć nie tylko, czego nie robić, lecz także:
- gdzie zgłosić wiadomość,
- jak szybko zgłosić pomyłkę,
- jakie informacje zachować,
- kto podejmuje decyzję o blokadzie konta,
- jak wygląda procedura po ujawnieniu danych.
Kultura karania za szybkie zgłoszenie błędu zwiększa ryzyko, ponieważ pracownicy mogą ukrywać incydenty.
Najczęstsze mity o phishingu
„Phishing zawsze zawiera błędy językowe”
Nie. Wiadomość może być poprawna, spersonalizowana i zgodna z identyfikacją wizualną marki.
„Jeśli widzę kłódkę, strona jest bezpieczna”
Kłódka potwierdza szyfrowanie połączenia, a nie uczciwość właściciela strony.
„Bank zadzwonił z prawidłowego numeru, więc rozmowa jest prawdziwa”
Numer może zostać podrobiony. Rozłącz się i samodzielnie wybierz oficjalny numer.
„MFA całkowicie rozwiązuje problem”
MFA znacząco zwiększa bezpieczeństwo, ale kod lub powiadomienie mogą zostać wyłudzone. Najskuteczniejsze są metody odporne na phishing, takie jak passkeys i klucze bezpieczeństwa.
„Na telefonie nie można złapać złośliwego oprogramowania”
Telefony również mogą zostać zaatakowane. Dodatkowo mały ekran utrudnia sprawdzenie pełnego adresu strony i nadawcy.
„Jeżeli nie podałem hasła, nic się nie stało”
Możliwe jest wyłudzenie zgody OAuth, danych karty, kodu BLIK, instalacji aplikacji lub zatwierdzenia sesji bez ujawniania hasła.
„Przelew na bezpieczne konto ochroni pieniądze”
Banki ani policja nie zabezpieczają środków w ten sposób. Polecenie takiego przelewu jest typowym elementem oszustwa.
Najczęstsze błędy użytkowników
Do najczęstszych błędów należą:
- reagowanie bez przerwy na ocenę sytuacji,
- klikanie linku zamiast otwarcia oficjalnej aplikacji,
- ufanie nazwie nadawcy lub numerowi telefonu,
- automatyczne zatwierdzanie powiadomień,
- podawanie kodu BLIK bez sprawdzenia kwoty i odbiorcy,
- instalowanie programu na polecenie telefonicznego konsultanta,
- używanie jednego hasła w wielu serwisach,
- ignorowanie informacji o nowym logowaniu,
- potwierdzanie zmiany rachunku w tym samym wątku e-mail,
- zbyt późne zgłoszenie incydentu ze wstydu lub strachu.
Błąd nie powinien być powodem do zwlekania. Po phishingu liczy się przede wszystkim szybkie ograniczenie dostępu przestępcy i zatrzymanie przepływu pieniędzy.
Phishing a sztuczna inteligencja
Generatywna AI obniża koszt przygotowania przekonujących wiadomości. Może pomagać oszustom w:
- poprawianiu języka,
- personalizacji treści,
- tłumaczeniu wiadomości,
- imitowaniu stylu konkretnej osoby,
- tworzeniu fałszywych nagrań głosu,
- budowaniu stron przypominających oryginalne serwisy.
Nagranie głosowe lub rozmowa wideo nie powinny być jedynym potwierdzeniem tożsamości. W rodzinie i firmie warto ustalić dodatkowe zasady weryfikacji, na przykład pytanie kontrolne albo obowiązek oddzwonienia na znany numer.
Phishing w liczbach
Statystyki phishingu należy interpretować ostrożnie. Poszczególne raporty mogą liczyć wiadomości, zgłoszenia, kampanie, strony, incydenty albo osoby poszkodowane. Te wartości nie są ze sobą bezpośrednio porównywalne.
- W 2023 roku globalnie zarejestrowano blisko 5 milionów obserwowanych ataków phishingowych. Jedna kampania mogła jednak dotrzeć do wielu odbiorców.
- W amerykańskim systemie zgłoszeń za 2023 rok phishing i podszywanie się odpowiadały za około 299 tysięcy skarg.
- W analizach naruszeń opublikowanych w 2024 roku czynnik ludzki występował w około 68% badanych naruszeń. Kategoria ta obejmuje nie tylko phishing, lecz także błędy i niewłaściwe użycie uprawnień.
- W badaniach symulowanych kampanii mediana czasu do kliknięcia złośliwego linku wynosiła około 21 sekund, a do podania danych kolejne około 28 sekund.
- Oszustwa typu BEC powodują nieproporcjonalnie wysokie straty. W 2023 roku zgłoszone w Stanach Zjednoczonych szkody związane z tym modelem przekroczyły 2,9 miliarda dolarów.
Liczby pokazują dwie rzeczy: phishing jest zjawiskiem masowym, a decyzja prowadząca do szkody może zostać podjęta w mniej niż minutę. Dlatego skuteczna ochrona powinna ograniczać presję czasu oraz wymuszać niezależną weryfikację ważnych operacji.
Krótka lista kontrolna przed kliknięciem
Przed otwarciem linku, wykonaniem przelewu lub zatwierdzeniem logowania odpowiedz na pięć pytań:
- Czy spodziewałem się tej wiadomości?
- Czy nadawca wywiera presję lub wywołuje strach?
- Czy prosi o dane, kod, instalację programu albo pieniądze?
- Czy mogę sprawdzić sprawę przez oficjalną aplikację lub znany numer?
- Czy komunikat autoryzacyjny dokładnie odpowiada operacji, którą sam rozpocząłem?
Jeżeli choć jedna odpowiedź budzi wątpliwość, przerwij działanie i zweryfikuj wiadomość innym kanałem.
FAQ – najczęstsze pytania o phishing
Czy samo kliknięcie linku oznacza kradzież danych?
Nie zawsze. Często potrzebne jest jeszcze podanie danych, pobranie pliku lub przyznanie uprawnień. Sama wizyta może jednak być ryzykowna na nieaktualnym urządzeniu. Po kliknięciu sprawdź pobrane pliki, zaktualizuj system i obserwuj konta.
Czy można bezpiecznie odpowiedzieć na podejrzany e-mail?
Lepiej tego nie robić. Odpowiedź może potwierdzić, że skrzynka jest aktywna, lub rozpocząć dalszą manipulację. Skontaktuj się z nadawcą niezależnym kanałem.
Czy pracownik banku może poprosić o kod BLIK?
Nie powinien prosić o kod BLIK w celu zabezpieczenia konta, anulowania ataku ani potwierdzenia tożsamości. Kod służy do autoryzacji określonej operacji.
Czy bank może poprosić o instalację programu do zdalnej obsługi?
Nie instaluj takiego programu na polecenie osoby dzwoniącej. Dostęp do ekranu może umożliwić przejęcie konta i obserwowanie kodów autoryzacyjnych.
Jak sprawdzić, czy adres strony jest prawdziwy?
Sprawdź właściwą domenę, zwracając uwagę na znaki bezpośrednio przed końcówką, taką jak .pl lub .com. Najbezpieczniej otworzyć usługę przez oficjalną aplikację, zakładkę albo ręcznie wpisany adres.
Czy kod QR może być niebezpieczny?
Tak. Kod QR może prowadzić do fałszywej strony lub pobrania aplikacji. Przed otwarciem sprawdź podgląd adresu i nie loguj się, jeśli domena budzi wątpliwości.
Co zrobić, jeśli podałem hasło, ale mam włączone MFA?
Natychmiast zmień hasło, wyloguj wszystkie sesje i sprawdź urządzenia oraz aplikacje z dostępem do konta. Nie zatwierdzaj nieoczekiwanych powiadomień. MFA ogranicza ryzyko, ale go nie eliminuje.
Co zrobić, jeśli przekazałem kod BLIK?
Natychmiast skontaktuj się z bankiem, sprawdź historię rachunku i zgłoś oszustwo. Zachowaj rozmowę, numer telefonu oraz potwierdzenie operacji.
Czy przelew po phishingu można cofnąć?
Czasami bank może podjąć próbę zatrzymania lub odzyskania środków, ale nie ma gwarancji powodzenia. Najważniejsze jest natychmiastowe zgłoszenie.
Jak rozpoznać przejęte konto znajomego?
Sygnałem może być nietypowy styl wypowiedzi, pilna prośba o pieniądze, odmowa rozmowy telefonicznej lub wysłanie podejrzanego linku. Potwierdź tożsamość na znany numer.
Gdzie zgłosić podejrzany SMS?
Podejrzany SMS można przekazać do CERT Polska na numer 8080. Jeśli doszło do utraty pieniędzy lub danych, skontaktuj się również z bankiem i policją.
Czy antywirus chroni przed phishingiem?
Może blokować część stron i złośliwych plików, ale nie zatrzyma każdej manipulacji. Nie ochroni przed dobrowolnym wykonaniem przelewu, podaniem kodu BLIK lub zatwierdzeniem logowania.
Jaka jest najważniejsza zasada ochrony?
Nie wykonuj ważnej operacji kanałem wskazanym przez osobę wywierającą presję. Przerwij kontakt i samodzielnie otwórz oficjalną aplikację albo zadzwoń na wcześniej znany numer.
Podsumowanie
Phishing wykorzystuje przede wszystkim zaufanie, emocje i pośpiech. Może przybrać formę e-maila, SMS-a, rozmowy telefonicznej, kodu QR, wiadomości od znajomego, fałszywej reklamy lub polecenia służbowego.
Najskuteczniejszą reakcją jest zatrzymanie działania i niezależna weryfikacja. Nie loguj się przez otrzymany link, nie przekazuj kodów, nie zatwierdzaj operacji, których sam nie rozpocząłeś, i nie instaluj programów na polecenie telefonicznego konsultanta.
Jeżeli popełnisz błąd, działaj natychmiast: zabezpiecz konto, skontaktuj się z bankiem, wyloguj sesje, zmień hasła, zachowaj dowody i zgłoś incydent. Szybka reakcja może zdecydować o tym, czy próba oszustwa zakończy się stratą pieniędzy.
8 comments