Phishing to oszustwo internetowe, w którym przestępca podszywa się pod bank, urząd, sklep lub serwis internetowy, aby wyłudzić dane logowania, informacje płatnicze albo nakłonić do instalacji złośliwego oprogramowania. Atak wykorzystuje przede wszystkim emocje – strach, ciekawość i presję czasu – a nie zaawansowane włamanie do urządzenia.
Na czym polega atak phishingowy?
Phishing jest formą socjotechniki. Przestępca nie musi przełamywać zabezpieczeń banku czy poczty elektronicznej. Zamiast tego przygotowuje wiarygodnie wyglądającą wiadomość i skłania odbiorcę do samodzielnego wykonania działania, na przykład kliknięcia w link, wpisania hasła lub podania numeru karty.
Wiadomość może informować o rzekomej blokadzie konta, nieudanej płatności, konieczności dopłaty do przesyłki albo nowym logowaniu. Jej treść ma wywołać reakcję bez spokojnego sprawdzenia nadawcy. Po kliknięciu użytkownik trafia na fałszywą stronę przypominającą prawdziwy serwis. Wprowadzone tam dane trafiają do oszusta.
Celem może być przejęcie konta, kradzież pieniędzy lub zainstalowanie złośliwego programu. Zwykły phishing jest zazwyczaj wysyłany do dużej liczby osób. Bardziej celowana odmiana, spear-phishing, wykorzystuje dane o konkretnej osobie lub firmie, dzięki czemu wiadomość może wyglądać znacznie bardziej wiarygodnie.
Jak przebiega typowy atak?
Najczęściej cały schemat składa się z czterech etapów:
- Przygotowanie – oszust wybiera temat wiadomości, tworzy fałszywą stronę i podszywa się pod znaną instytucję.
- Dostarczenie – komunikat trafia do odbiorcy e-mailem, SMS-em, przez komunikator lub media społecznościowe.
- Wywołanie działania – treść nakłania do kliknięcia, zalogowania się, pobrania pliku albo przekazania danych.
- Skutek – przestępca przejmuje informacje, uzyskuje dostęp do konta, inicjuje płatność lub instaluje złośliwe oprogramowanie.
Jak odróżnić prawdziwą wiadomość od phishingu?
Najpierw sprawdź adres nadawcy, a nie tylko nazwę wyświetlaną obok wiadomości. Oszust może użyć nazwy banku lub sklepu, ale właściwy adres będzie zawierał literówkę, nietypową domenę albo dodatkowe znaki. Nie ufaj też samemu wyglądowi strony. Kopia logo i kolorystyki nie potwierdza jej autentyczności.
| Cecha | Prawdziwa wiadomość | Phishing |
|---|---|---|
| Adres nadawcy | Pochodzi z oficjalnej domeny organizacji i nie zawiera podejrzanych literówek. | Ma nietypową domenę, błędy w nazwie lub adres, który nie pasuje do deklarowanego nadawcy. |
| Link | Prowadzi do oczekiwanej strony, a jego adres można potwierdzić na oficjalnej witrynie. | Ukrywa inny adres, używa skróconego linku lub prowadzi do domeny podobnej do prawdziwej. |
| Ton wiadomości | Przekazuje informację bez wymuszania natychmiastowej reakcji. | Wywołuje strach, pośpiech albo obietnicę korzyści i grozi konsekwencjami za zwłokę. |
| Prośba o dane | Nie wymaga przesyłania hasła, kodu jednorazowego ani pełnych danych karty w odpowiedzi na wiadomość. | Żąda danych logowania, kodu SMS, numeru karty lub przejścia przez podejrzany formularz. |
Przed kliknięciem najedź kursorem na link, bez otwierania go. W komputerze adres docelowy powinien pojawić się w dolnej części okna przeglądarki. Na telefonie możesz przytrzymać odnośnik, aby wyświetlić jego adres, ale nie wybieraj opcji otwierania. Jeśli wiadomość dotyczy banku lub płatności, wejdź na stronę samodzielnie, wpisując znany adres albo korzystając z oficjalnej aplikacji.
Jak sprawdzić wiadomość przed kliknięciem?
Krótka checklista pomaga zatrzymać automatyczną reakcję i zweryfikować komunikat:
- Sprawdź pełny adres nadawcy, a nie tylko jego nazwę.
- Najedź kursorem na link i porównaj adres z oficjalną domeną.
- Oceń, czy wiadomość wywołuje silny strach, pośpiech lub presję.
- Nie podawaj haseł, kodów 2FA ani danych karty przez link otrzymany w nieoczekiwanej wiadomości.
- Skontaktuj się z instytucją niezależnym kanałem, na przykład przez numer z oficjalnej strony.
- Używaj różnych haseł i włącz uwierzytelnianie dwuskładnikowe tam, gdzie jest dostępne.
Co zrobić po kliknięciu w podejrzany link?
Jeśli tylko otworzyłeś stronę, zamknij ją i nie wpisuj żadnych danych. Jeżeli podałeś hasło, dane płatnicze lub kod autoryzacyjny, działaj od razu:
- Zmień hasło w zagrożonym serwisie, a także w każdym miejscu, gdzie używałeś tego samego hasła.
- Włącz 2FA i sprawdź aktywne sesje oraz urządzenia zalogowane na konto.
- Skontaktuj się z bankiem przez oficjalny numer, jeśli przekazałeś dane karty, logowania lub zatwierdziłeś podejrzaną operację.
- Zastrzeż kartę lub zablokuj dostęp do bankowości, gdy istnieje ryzyko nieuprawnionych transakcji.
- Przeskanuj urządzenie programem zabezpieczającym, jeśli pobrałeś plik albo zainstalowałeś aplikację z wiadomości.
- Zgłoś podejrzany komunikat do CERT Polska i zachowaj jego treść, adres strony oraz potwierdzenia transakcji.
Phishing traci skuteczność, gdy oddzielisz emocjonalną treść od technicznej weryfikacji. Sprawdzenie adresu nadawcy, linku i rodzaju żądanych danych często wystarcza, by rozpoznać próbę oszustwa przed wykonaniem ryzykownego działania.
Artykuł nie stanowi porady finansowej. W przypadku podejrzenia wyłudzenia danych płatniczych lub przejęcia konta skontaktuj się bezpośrednio z bankiem.
