Phishing - co to, jak rozpoznać i co zrobić po kliknięciu?

Phishing co to? To cyberoszustwo, w którym przestępca podszywa się pod bank, firmę kurierską, sklep, współpracownika albo instytucję publiczną, żeby wyłudzić dane lub pieniądze. Najczęściej nie chodzi o skomplikowane włamanie, tylko o bardzo prostą socjotechnikę: presję czasu, fałszywy link, podrobioną stronę logowania albo telefon z „pilną sprawą”. W tym artykule pokazuję, jak ten mechanizm działa, po czym go rozpoznać i co zrobić, jeśli zdążysz już kliknąć.

Czym jest phishing i dlaczego działa

Phishing jest formą socjotechniki, czyli manipulacji człowiekiem zamiast systemem. Atakujący liczy na emocję: strach przed blokadą konta, ciekawość wobec paczki, presję terminu płatności albo zwykły pośpiech w pracy. Z mojej perspektywy to właśnie ta prostota jest najgroźniejsza. Dobrze przygotowana wiadomość nie musi wyglądać podejrzanie, wystarczy, że pasuje do codziennego rytmu odbiorcy.

W praktyce chodzi nie tylko o pieniądze, ale też o prywatność, bo przejęte konto daje dostęp do maili, kontaktów, dokumentów i historii transakcji. Według raportu NASK za 2025 rok CERT Polska zarejestrował blisko 80 tys. przypadków phishingu, czyli około 30 proc. wszystkich incydentów obsłużonych przez zespół. To nie jest margines cyberzagrożeń, tylko jedna z najczęstszych dróg przejęcia konta i danych. A skoro mechanizm jest prosty, jego odmian jest kilka i każda działa trochę inaczej.

Żeby nie patrzeć na phishing jak na jeden, jedyny schemat, warto zobaczyć, jak wygląda w różnych kanałach komunikacji.

Najczęstsze odmiany ataku

W praktyce phishing rzadko wygląda identycznie. Inaczej działa mail, inaczej SMS, a jeszcze inaczej telefon od „konsultanta” albo kod QR przyklejony do komunikatu. Dla użytkownika różnica jest ważna, bo zmienia się moment, w którym trzeba się zatrzymać i sprawdzić szczegóły.

W firmach z obszaru IT i automatyki celem bardzo często są konta do poczty, paneli administracyjnych, systemów finansowych lub platform dostawców. Jeden fałszywy przelew albo przejęta skrzynka potrafią otworzyć drogę do dalszych nadużyć, dlatego przy spersonalizowanych atakach nie wystarcza ocena, że wiadomość „wygląda profesjonalnie”. Im bardziej atak jest dopasowany, tym ważniejsza staje się weryfikacja poza wiadomością. I właśnie do tego prowadzi kolejna sekcja.

Po czym rozpoznać fałszywą wiadomość lub stronę

Ja zwykle sprawdzam trzy rzeczy: nadawcę, treść i adres strony docelowej. Jeśli choć jedna z nich nie pasuje do normalnej komunikacji firmy albo instytucji, traktuję wiadomość jako podejrzaną. Najczęściej zdradza ją nie to, co widać na pierwszy rzut oka, tylko drobiazg, który umyka w pośpiechu.

• Presja czasu, na przykład komunikat o natychmiastowej blokadzie konta, ostatnim ostrzeżeniu albo dopłacie „do końca dnia”.
• Nietypowy adres nadawcy lub domena, czyli główna część adresu strony lub poczty, w której pojawia się jedna litera różnicy, myślnik albo dziwna końcówka.
• Prośba o dane, których nikt nie powinien żądać, takie jak hasło, kod SMS, PIN, numer karty czy skan dokumentu.
• Link do logowania, który prowadzi do strony wyglądającej jak kopia banku, sklepu albo panelu firmowego, ale ma inny adres niż oficjalny serwis.
• Załącznik albo kod QR, szczególnie gdy wiadomość zachęca do natychmiastowego otwarcia pliku lub zeskanowania grafiki.
• Zmiana rachunku lub pilna płatność, czyli klasyczny scenariusz na fałszywą fakturę lub przejętą korespondencję z kontrahentem.
• Brak zwykłego procesu, na przykład prośba o działanie przez prywatny komunikator zamiast firmowego systemu lub zgłoszenie, które nie pasuje do standardowej procedury.

Prawdziwy problem polega na tym, że logo, kolorystyka i układ strony mogą wyglądać wiarygodnie niemal idealnie. Dlatego ja nie ufam samemu wyglądowi, tylko weryfikacji adresu i procedury. Jeśli kliknięcie już się zdarzyło, liczy się czas reakcji, więc przechodzę do tego, co zrobić od razu.

Co zrobić, jeśli już kliknąłeś albo podałeś dane

Nie każde kliknięcie oznacza od razu katastrofę, ale podanie hasła, kodu jednorazowego albo danych karty wymaga natychmiastowej reakcji. W firmie dochodzi jeszcze ryzyko przejęcia skrzynki, reguł przekazywania poczty i dalszego rozsyłania wiadomości do kontrahentów. Tu nie ma sensu czekać „aż coś się wydarzy”, trzeba działać krok po kroku.

1. Zamknij stronę i nie wpisuj nic więcej.
2. Zmień hasło z innego, zaufanego urządzenia.
3. Wyloguj wszystkie sesje, zresetuj metody odzyskiwania i sprawdź przekierowania w poczcie.
4. Jeśli podałeś dane płatnicze, skontaktuj się z bankiem i zablokuj kartę lub dostęp do płatności.
5. Jeśli uruchomiłeś załącznik albo plik, odłącz urządzenie od sieci i zgłoś incydent do działu IT. Nie używaj go do bankowości ani do pracy, dopóki nie zostanie sprawdzone.
6. Monitoruj logowania i transakcje przez kilka dni, bo część nadużyć nie ujawnia się od razu.

W kontach firmowych szczególnie ważne jest sprawdzenie reguł skrzynki pocztowej i nowych uprawnień aplikacji, bo atakujący często zostawia sobie boczne wejście. To właśnie ten etap odróżnia jednorazową pomyłkę od realnego przejęcia konta, a najlepszą obroną na co dzień są odpowiednie nawyki.

Jak ograniczyć ryzyko na co dzień

Najwięcej ryzyka da się ograniczyć jeszcze zanim pojawi się pierwszy fałszywy link. Z mojego doświadczenia najlepiej działają proste zasady, które są trochę nudne, ale właśnie dlatego skuteczne: nie ufać kliknięciom z wiadomości, nie używać tych samych haseł w wielu serwisach i nie traktować 2FA jak magicznej tarczy.

• Używaj menedżera haseł, czyli programu, który zapisuje i automatycznie wypełnia loginy tylko na właściwej domenie. To pomaga wyłapać fałszywy adres jeszcze przed logowaniem.
• Włącz 2FA w jak największej liczbie usług, a tam, gdzie to ważne, wybierz metodę odporną na phishing, na przykład klucz sprzętowy FIDO2/WebAuthn.
• Nie wpisuj kodów MFA w odpowiedzi na niespodziewany kontakt. Bank, dostawca lub dział IT nie powinien wymuszać tego przez link z wiadomości.
• Loguj się ręcznie albo przez zapisany bookmark, nie przez link z maila czy SMS-a.
• Aktualizuj system, przeglądarkę i klienta poczty, bo część kampanii próbuje wykorzystać stare podatności i zaufane wtyczki.
• Weryfikuj zmianę numeru konta lub prośbę o przelew innym kanałem, zwłaszcza w firmie. Jeden telefon zwrotny często oszczędza bardzo drogi błąd.

Warto pamiętać o ograniczeniu: 2FA zmniejsza ryzyko, ale nie usuwa go całkowicie. Jeśli sam potwierdzisz logowanie albo przekażesz kod na podstawionej stronie, atak może się udać mimo dodatkowego zabezpieczenia. Dlatego najważniejszy jest nie sam mechanizm, lecz nawyk zatrzymania się przed kliknięciem.

Jak reagować na podejrzany atak w Polsce

W Polsce opłaca się reagować także po to, żeby utrudnić życie kolejnym ofiarom. Podejrzany SMS można przesłać na bezpłatny numer 8080, a e-mail, stronę albo domenę zgłosić przez formularz CERT Polska lub w aplikacji mObywatel w usłudze „Bezpiecznie w sieci”.

• Jeśli to konto służbowe, poinformuj od razu dział IT lub osobę odpowiedzialną za bezpieczeństwo.
• Nie przekazuj wiadomości dalej bez potrzeby, tylko zgłoś ją oficjalnym kanałem.
• Zmień hasło i sprawdź sesje nawet wtedy, gdy masz tylko podejrzenie, że coś poszło nie tak.

To ważne, bo szybkie zgłoszenie pozwala blokować kolejne odsłony tej samej kampanii, zanim dotrą do innych użytkowników. Jeśli mam zostawić jedną praktyczną zasadę, to tę: wiadomość, która naciska, straszy albo prowadzi do logowania, zawsze warto sprawdzić drugim kanałem. W phishingu wygrywa nie ten, kto reaguje najszybciej, tylko ten, kto na chwilę zwalnia i patrzy na adres oraz kontekst.