W czwartek rano Agnieszka ze Szczecina otworzyła e-mail od "banku". Wiadomość mówiła o problemach z jej kontem i prosiła o kliknięcie linku w celu weryfikacji danych. Wyglądało profesjonalnie, miało nawet logo banku. Kliknęła. Po trzech miesiącach odkryła, że z jej konta zniknęło 4500 złotych. Nie pamiętała, kiedy doszło do tego pierwszego kliknięcia.
Historia Agnieszki to jedna z wielu. Raport Instytutu Badań Policyjna Polska z 2025 roku pokazuje, że co czwarty użytkownik Internetu w Polsce doświadczył próby phishingu w ostatnim roku. To nie jest problem marginalny - to jest problem każdego, kto ma e-mail i konto bankowe online.
Phishing to technika oszustwa polegająca na wysyłaniu fałszywych wiadomości, które wyglądają jak pochodzące od zaufanych źródeł - banków, sklepów, usług pocztowych, mediów społecznościowych. Celem jest skłonienie cię do ujawnienia haseł, numerów kart, a nawet pesel-u. Działa, bo oszuści są coraz bardziej wyrafinowani.
Chociaż pracuję w branży cyberbezpieczeństwa od dekady, widzę, że ludzie mają wrażenie, iż phishing to coś abstrakcyjnego. "Ja bym na to nie wpadł" - słyszę to wciąż. Ale statystyki mówią inaczej. Sama Microsoft raportuje, że phishing odpowiada za 90 procent wszystkich naruszeń bezpieczeństwa. To nie jest kwestia inteligencji, ale edukacji i uwagi.
Sygnał 1: Nagły pośpiech i groźby
Pierwszy i najczęstszy trik to stworzenie paniki. E-mail mówi: "Twoje konto zostanie zablokowane za 24 godziny", "Wykryliśmy podejrzaną aktywność", "Natychmiast zweryfikuj swoje dane". Wszystko ma jeden cel - zmuszić cię do impulsywnego działania bez zastanowienia.
Poznałem to na własnej skórze. Kilka lat temu dostałem wiadomość od "PayPal", że moja płatność nie powiodła się i konto będzie zamknięte. Powiedzę szczerze - przez sekundę się przestraszyłem. Ale zaraz pomyślałem: czemu bank wysyła e-mail z takim tonem? Rzeczywiste instytucje są ostrożne w komunikacji. Oszuści nie są.
Obserwuj siebie, kiedy czytasz takie e-maile. Jeśli czujesz pośpiech, strach, potrzebę natychmiastowego działania - to pierwszy sygnał ostrzegawczy. Autentyczne banki i serwisy czekają. Mogą czekać godziny, dni. Phishingowe e-maile nie.
Konkretny przykład: otrzymujesz wiadomość, że "Twoja subskrypcja Spotify wkrótce wygaśnie". Tak naprawdę możesz zalogować się do Spotify bezpośrednio (wpisując adres w przeglądarce) i sprawdzić stan konta. Nigdy nie klikaj linku z e-maila w takich sytuacjach.
Sygnał 2: Adres e-maila wysyłającego - mały szczegół, duża różnica
Tu zaczyna się detektywistyka. Spójrz na adres e-maila, z którego przyszła wiadomość. Nie na nazwę wyświetlaną (bo tę można łatwo sfałszować), ale na faktyczny adres e-maila.
Jeśli otrzymujesz e-mail "od banku", ale adres to coś w stylu support.bankname.service@gmail.com, to oszustwo. Żaden profesjonalny bank nie wysyła e-maili z konta Gmail. Wszyscy mają własne domeny.
Przykłady, które widziałem w szkoleniach:
- Fałszywy: mbank-potwierdzenie@mbank.pl - prawie identyczny z prawdziwym, ale ostateczna część domeny to mbank.pl zamiast rzeczywistej
- Fałszywy: support@amazonn.com - jedna litera zbyt wiele (dwie "n")
- Fałszywy: verification-paypal@paypal-security.info - domena kończy się na .info zamiast .com
- Prawdziwy: noreply@mbank.pl - żaden linków do kliknięcia, tylko informacja
Jak to sprawdzić? W Gmailu klikni na strzałkę obok "Pokaż szczegóły" lub "Pokaż oryginalną wiadomość". W Outlooku to "Akcje" > "Wyświetl wiadomość". Zobaczysz dokładnie, skąd przyszła wiadomość.
Oszuści czasem zmieniają serwer pocztowy, ale domena zawsze coś zdradza. Jeśli wiadomość rzekomo od mBanku, ale serwer to mbank-update@o2.pl, to fałsz. mBank ma własne serwery.
Sygnał 3: Logi i linki - gdzie rzeczywiście Cię kierują
Nawet jeśli e-mail wygląda profesjonalnie i ma logo banku, logo można skopiować. Prawdziwą wskazówkę daje link.
Nie klikaj od razu. Zamiast tego przesunąć kursor myszy nad linkiem (bez klikania) i spójrz, gdzie rzeczywiście Cię kieruje. W większości programów pocztowych pojawi się podgląd adresu docelowego. Może to wyglądać tak:
Wyświetlony tekst: "Kliknij tutaj aby zweryfikować dane"
Rzeczywisty URL: htp://verify-your-bank-now.xyz/update?id=5f8d9c
Widać? Tekst mówi o banku, ale link kieruje na podejrzaną stronę z dziwnym adresem. To klasyczna taktyka phishingowa.
Dodatkowo zwróć uwagę na:
- Czy adres zaczyna się od https:// (bezpieczny) czy http:// (niezabezpieczony) - banki zawsze używają https
- Czy w URL-u jest dziwne kodowanie, np. %2F zamiast /
- Czy domena rzeczywiście należy do instytucji, która twierdzi, że wysyła e-mail
Moja rada: jeśli masz wątpliwości, nigdy nie klikaj linku z e-maila. Zamiast tego wpisz adres strony bezpośrednio w przeglądarce. Jeśli chodzi o bank, otwórz aplikację mobilną lub wejdź na stronę przez zakładki, które masz zapisane. To zajmie 30 sekund więcej, ale będzie bezpieczniej.
Sygnał 4: Błędy ortograficzne i dziwna gramatyka
Oszuści często pracują szybko i z dala od Polski. Efekt? E-maile pełne błędów.
Rzeczywiste banki mają zespoły redakcyjne. Jeśli otrzymasz e-mail od "PKO BP" z napisem "Potwierdzić Twoje dane w ciągu 2 godzin", to już dziwnie brzmi. PKO BP by napisał "Potwierdź swoje dane". Błędy gramatyczne to czerwona flaga.
Szukaj:
- Błędów ortograficznych - "Twoje konto zostal zablokowany"
- Dziwnych czasów gramatycznych - "Bank wysyła Ci wiadomość"
- Zbyt oficjalnego lub zbyt swobodnego tonu - banki są neutralne, phishingowe e-maile oscylują między tymi ekstremami
- Zmieszanych języków - np. polski słowo w angielskim zdaniu
Kiedy prowadziłem szkolenia dla pracowników biura rachunkowego, pokazałem im kilka autentycznych e-maili od banku i kilka phishingowych. Wszyscy od razu wychwycili te drugie. Nie dlatego, że byli geniuszami, ale dlatego, że błędy były oczywiste, gdy się ich szukało.
Sygnał 5: Prośby o dane, które żadna instytucja nie pyta
To może być najważniejszy sygnał. Zapamiętaj sobie prostą regułę: żaden bank, żaden serwis, żadna instytucja nie prosi Cię o hasło, PIN czy PESEL przez e-mail.
Nigdy.
Jeśli e-mail prosi o:
- Hasło do konta bankowego
- Numer karty kredytowej
- Kod CVV (trzy cyfry z tyłu karty)
- PESEL
- Dane logowania do portalu
To jest phishing. Punkt.
Autentyczne instytucje wiedzą, że ty posiadasz te dane. Oni nigdy cię nie będą prosić o ich ujawnienie. To podstawowa zasada bezpieczeństwa. Jeśli nawet strona wygląda identycznie jak serwis banku, ale prosi o hasło - to oszustwo.
Trafiłem na przypadek, gdzie oszuści stworzyli stronę, która była praktycznie klona mBanku. Wszystko wyglądało profesjonalnie. Ale kiedy użytkownik wpisał login i hasło, pojawił się komunikat o błędzie, a następnie prośba o wpisanie kodów z karty graficznej. To była wskazówka, że coś jest nie tak - mBank nigdy nie prosi o wszystkie kody naraz.
Sygnał 6: Załączniki, które powinny cię zaniepokoić
Załączniki to paliwo phishingu. Oszuści wysyłają pliki z nazwami takimi jak "Potwierdzenie_transakcji.pdf" czy "Rachunek_2026.zip".
Nie otwieraj załączników z e-maili, których się nie spodziewasz. Nawet jeśli wydają się pochodzić od znanej osoby. Nawet jeśli wiadomość wygląda profesjonalnie.
Dlaczego? Załącznik może zawierać oprogramowanie złośliwe (malware). Kiedy go otworzysz, malware zainstaluje się na twoim komputerze lub telefonie. Od tego momentu, oszuści mogą mieć dostęp do twoich danych.
Jak to wygląda praktycznie? Otrzymujesz e-mail "od Paczkomatu InPost" z informacją, że masz paczkę do odebrania. W załączniku plik PDF. Klikasz, otwiera się, ale zaraz pojawia się komunikat o błędzie. Nic się nie stało, myślisz. Ale w tle, malware już pracuje. Po kilku dniach odkrywasz, że twoje hasła zostały zmienione.
Zasada bezpieczności: jeśli spodziewasz się załącznika (np. zamówiłeś coś i czekasz na fakturę), sprawdź najpierw, czy e-mail jest autentyczny. Zrób to metodą z punktu drugiego - sprawdź adres nadawcy. Jeśli wciąż masz wątpliwości, zaloguj się do konta na stronie i pobierz dokument bezpośrednio stamtąd.
Sygnał 7: Brak personalizacji - ogólne pozdrowienia i adresy
Ostatni sygnał to brak personalizacji. Autentyczne wiadomości od banku zawierają twoje imię, numer konta, ostatnie cztery cyfry karty. Phishingowe e-maile mówią "Szanowny Panie/Pani" lub "Drogi Kliencie".
Dlaczego? Oszuści wysyłają masowo tysiące e-maili. Nie mają czasu na personalizację. Banki mają dostęp do twoich danych i je używają.
Porównaj:
| Fałszywy e-mail | Autentyczny e-mail |
|---|---|
| "Szanowny Kliencie" | "Pani/Panie [Twoje imię]" |
| Ogólna wiadomość o zagrożeniu | Konkretne informacje o twoim koncie |
| Brak numerów konta | Ostatnie 4 cyfry karty lub numer konta |
| Generyczne logo | Logo z wysoką rozdzielczością |
Pamiętaj: personalizacja to koszt. Oszuści oszczędzają na wszystkim. Jeśli e-mail traktuje cię generycznie, to prawdopodobnie nie pochodzi od instytucji, w której masz konto.
Co zrobić, jeśli już kliknąłeś podejrzany link?
Nie panikuj. Kliknięcie linku to jeszcze nie koniec świata. Gorzej jest, jeśli wpisałeś dane.
Wykonaj następujące kroki:
- Zamknij przeglądarkę - jeśli link otworzył się w nowej karcie, zamknij ją. Nie klikaj nic więcej na tej stronie
- Odłącz się od Internetu - jeśli chcesz być ostrożny, odłącz WiFi na kilka minut. To uniemożliwi złośliwemu oprogramowaniu wysłanie danych
- Sprawdź, czy wpisałeś dane - jeśli nie wpisałeś hasła ani żadnych danych osobowych, jesteś bezpieczny. Kliknięcie linku samo w sobie zwykle nie stanowi zagrożenia
- Jeśli wpisałeś hasło - zmień je natychmiast. Zaloguj się bezpośrednio na stronie (nie przez link z e-maila) i zmień hasło na nowe, silne
- Jeśli wpisałeś dane karty - skontaktuj się z bankiem. Powiedz, kiedy podejrzewasz, że dane mogły być skompromitowane. Bank może zablokować kartę i wydać nową
- Uruchom skaner antywirusowy - jeśli obawiasz się, że kliknął coś niebezpiecznego, uruchom pełny skans komputera programem takim jak Windows Defender (wbudowany) lub Avast (darmowy)
Rzeczywisty scenariusz z mojej praktyki: ktoś kliknął link, ale zaraz zdał sobie sprawę, że to phishing. Strona nie załadowała się prawidłowo. Osoba natychmiast zamknęła przeglądarkę, nic nie wpisała. Wynik? Nic się nie stało. Kliknięcie linku bez wpisania danych to naprawdę minimalne ryzyko.
Inny scenariusz: osoba wpisała login i hasło. Zaraz potem pojawił się komunikat o błędzie. Natychmiast zmieniła hasło. Bank nie zaraportował żadnych podejrzanych transakcji. Szybka reakcja uratowała jej konto.
Jak się bronić - proaktywne kroki
Oprócz uczenia się rozpoznawać phishing, możesz podjąć konkretne kroki, aby zredukować ryzyko.
Najpierw: włącz uwierzytelnianie dwuetapowe (2FA) na wszystkich ważnych kontach. Nawet jeśli oszust zdobędzie twoje hasło, nie będzie mógł zalogować się bez drugiego kodu (z aplikacji jak Google Authenticator lub SMS-u). To zmienia całą grę.
Drugie: zainstaluj rozszerzenie przeglądarki, które ostrzega przed phishingowymi stronami. Wiele przeglądarek (Chrome, Firefox, Edge) ma to wbudowane. Mogą one zablokować dostęp do znanych złośliwych stron przed tym, zanim się zalogują.
Trzecie: regularnie aktualizuj oprogramowanie. Oszuści szukają luk w starych wersjach przeglądarek i systemów operacyjnych. Aktualizacje je zamykają.
Czwarte: nigdy nie używaj tego samego hasła na wielu stronach. Jeśli jedno hasło wycieknie, wszystkie konta są zagrożone. Użyj menadżera haseł (np. Bitwarden, które są darmowe) do przechowywania różnych haseł.
Te kroki zajmą ci godzinę, ale zaoszczędzą wiele bólu głowy później.
Komentarze (1 komentarz)