Phishing to metoda inżynierii społecznej, w której przestępca podszywa się pod zaufaną osobę lub instytucję, aby skłonić Cię do ujawnienia danych, kliknięcia złośliwego linku albo otwarcia niebezpiecznego załącznika. Działa jak wędkarstwo: wiadomość jest przynętą, link lub plik haczykiem, a wyłudzone informacje – zdobyczą.
Jak przebiega atak phishingowy?
Phishing nie musi wykorzystywać skomplikowanej luki technicznej. Jego fundamentem jest manipulacja emocjami odbiorcy. Oszust chce wywołać strach, ciekawość, chęć zysku albo presję czasu, ponieważ osoba działająca automatycznie rzadziej sprawdza, kto naprawdę wysłał wiadomość.
Atak zwykle zaczyna się od rozpoznania. Przestępca może zebrać informacje z publicznych profili, firmowej strony internetowej lub wcześniejszych wycieków danych. Im więcej wie o odbiorcy, tym łatwiej przygotować wiadomość przypominającą prawdziwą korespondencję od banku, kuriera, pracodawcy, urzędu albo znajomego.
Następnie powstaje przynęta – e-mail, SMS, wiadomość w komunikatorze, telefon lub fałszywa reklama. Komunikat może informować o niedopłacie, blokadzie konta, konieczności potwierdzenia tożsamości albo pilnej płatności. Presja czasu ma ograniczyć spokojną analizę sytuacji.
Ostatnim etapem jest działanie odbiorcy. Kliknięcie linku może prowadzić do strony wyłudzającej login, hasło, numer karty lub kod autoryzacyjny. Załącznik może zawierać złośliwe oprogramowanie, a rozmowa telefoniczna może nakłonić do podania danych albo zatwierdzenia operacji w aplikacji bankowej. Bez takiej reakcji phishing często nie osiąga celu.
Rodzaje phishingu
Różne odmiany phishingu wykorzystują ten sam schemat, ale różnią się kanałem komunikacji, stopniem personalizacji i profilem ofiary:
| Typ ataku | Cel | Charakterystyka |
|---|---|---|
| Spear phishing | Konkretna osoba lub organizacja | Spersonalizowana wiadomość oparta na informacjach o ofierze, często zebranych w mediach społecznościowych. |
| Whaling | Kadra zarządzająca i osoby mające dostęp do ważnych danych | Odmiana celowanego ataku wymierzona w prezesów, dyrektorów lub menedżerów. |
| Smishing | Użytkownicy telefonów | Phishing za pomocą SMS-a, często podszywający się pod kuriera, operatora lub dostawcę energii. |
| Vishing | Osoby odbierające połączenia telefoniczne | Wyłudzanie informacji podczas rozmowy, na przykład pod pozorem kontaktu z bankiem. |
| BITB | Osoby logujące się do usług internetowych | Browser In The Browser tworzy fałszywe okno logowania wewnątrz strony phishingowej. |
Współczesne kampanie mogą też wykorzystywać sztuczną inteligencję do tworzenia naturalniej brzmiących wiadomości, klonowania głosu lub przygotowania deepfake’u. Nie zmienia to podstawowego mechanizmu: odbiorca ma zaufać komunikatowi i wykonać czynność korzystną dla oszusta.
Jak rozpoznać próbę oszustwa?
Nie ufaj samej nazwie nadawcy ani wyglądowi wiadomości. Nazwę wyświetlaną w skrzynce można podrobić, a grafiki i stopki skopiować. Zwróć uwagę na kilka sygnałów ostrzegawczych:
- Presja czasu – wiadomość wymaga natychmiastowej płatności, kliknięcia lub przesłania danych.
- Prośba o poufne informacje – bank, urząd lub wiarygodna firma nie powinny żądać hasła, kodu SMS ani pełnych danych karty w odpowiedzi na wiadomość.
- Niepasujący adres nadawcy – podpis może wskazywać znaną firmę, ale adres domeny prowadzi do przypadkowej lub podobnej nazwy.
- Błędy językowe i nietypowy styl – literówki, brak polskich znaków, dziwne tłumaczenia lub nieprofesjonalna grafika mogą świadczyć o oszustwie.
- Podejrzany adres URL – literówka, dodatkowe słowo, nietypowa domena albo skrócony link mogą prowadzić do fałszywej strony.
- Niespodziewany załącznik – szczególnie gdy wiadomość nie pasuje do Twojej sytuacji lub nadawca nie zapowiadał wysłania pliku.
Przed kliknięciem najedź kursorem na link, ale go nie otwieraj. W dolnej części okna przeglądarki powinien pojawić się rzeczywisty adres. Na telefonie sprawdź link przez jego przytrzymanie lub wybierz bezpośrednio oficjalną aplikację i stronę usługodawcy. Nie wpisuj adresu banku przez odnośnik z SMS-a.
Przykładowo adres przypominający nazwę znanego serwisu może zawierać dodatkowe słowo lub inną domenę, taką jak allegrosklep.online zamiast oficjalnego adresu. To przykład typosquattingu, czyli rejestrowania domen podobnych do prawdziwych i różniących się drobną zmianą.
Silne emocje i polecenie „zrób to natychmiast” są powodem, by przerwać działanie, a nie by działać szybciej.
Lista kontrolna przed kliknięciem
Zanim otworzysz link, odpowiesz na wiadomość lub zatwierdzisz operację, przejdź przez krótką listę kontrolną:
- Sprawdź nadawcę – rozwiń szczegóły adresu i porównaj domenę z oficjalną stroną firmy.
- Zweryfikuj sprawę innym kanałem – zadzwoń na numer znaleziony samodzielnie, a nie na numer z podejrzanej wiadomości.
- Wejdź na stronę ręcznie – wpisz adres w przeglądarce lub użyj zapisanej zakładki zamiast linku z SMS-a i e-maila.
- Włącz 2FA – uwierzytelnianie dwuskładnikowe ogranicza skutki wycieku samego hasła.
- Używaj różnych, silnych haseł – menedżer haseł pomaga tworzyć i przechowywać unikalne dane logowania.
Certyfikat HTTPS i ikona kłódki potwierdzają szyfrowanie połączenia, ale same nie dowodzą, że strona należy do właściwej firmy. Fałszywa witryna również może korzystać z szyfrowanego połączenia. Najważniejsza pozostaje poprawna domena.
Co zrobić po kliknięciu w podejrzany link?
Nie zakładaj, że jest już za późno. Szybka reakcja może ograniczyć skutki incydentu. Postępuj w tej kolejności:
- Przerwij działanie strony i nie wpisuj kolejnych danych. Jeśli pobrał się plik, nie otwieraj go.
- Jeżeli podano hasło, zmień je na prawdziwej stronie usługi. Zmień także hasła używane w innych serwisach, jeśli były takie same.
- Jeżeli ujawniono dane karty, zatwierdzono przelew lub podejrzewasz przejęcie bankowości, natychmiast skontaktuj się z bankiem oficjalnym kanałem.
- Włącz lub odśwież 2FA, sprawdź aktywne sesje i wyloguj nieznane urządzenia.
- Zabezpiecz dowody, takie jak wiadomość, numer telefonu, adres strony i potwierdzenia operacji.
Każdy podejrzany phishing zgłoś do CERT Polska przez formularz na stronie incydent.cert.pl. Do zgłoszenia dołącz wiadomość lub jej zrzut ekranu, jeśli formularz o to poprosi. Gdy doszło do utraty pieniędzy, kradzieży tożsamości albo przejęcia konta, poinformuj także bank i zgłoś sprawę Policji lub prokuraturze.
Gdzie zgłosić phishing?
Zależnie od sytuacji przydatne są następujące kanały:
- CERT Polska – zgłoszenie podejrzanej wiadomości, strony, SMS-a lub innego incydentu przez incydent.cert.pl.
- Bank – natychmiastowy kontakt po ujawnieniu danych płatniczych, zatwierdzeniu transakcji lub podejrzeniu przejęcia bankowości.
- Policja lub prokuratura – zgłoszenie oszustwa, straty pieniędzy, kradzieży danych albo przejęcia konta.
- Dostawca poczty lub platforma społecznościowa – oznaczenie wiadomości jako phishing i zgłoszenie fałszywego profilu lub reklamy.
Najważniejsza zasada jest prosta: gdy wiadomość próbuje wymusić pośpiech, zatrzymaj się i zweryfikuj ją niezależnym kanałem. Phishing żeruje na chwili nieuwagi, a nie na braku specjalistycznej wiedzy. Rozpoznanie emocjonalnej presji, sprawdzenie domeny i korzystanie z 2FA znacząco ograniczają ryzyko.
