Phishing nie polega dziś na tym, że ktoś wysyła wiadomość pełną błędów i liczy na przypadek. Dobre kampanie potrafią kopiować wygląd znanych usług, korzystać z prawdziwych logotypów i tworzyć wiarygodny kontekst. W 2026 roku CERT Polska opisywał między innymi kampanie podszywające się pod instytucje publiczne, dostawców usług i operatorów domen. Wspólnym elementem pozostaje próba doprowadzenia użytkownika do działania na warunkach ustalonych przez atakującego.
Najważniejsza jest zmiana kanału weryfikacji
Jeżeli wiadomość mówi, że konto bankowe jest zablokowane, nie trzeba rozstrzygać prawdziwości na podstawie grafiki. Bezpieczniej jest zamknąć wiadomość, samodzielnie uruchomić aplikację banku albo wpisać znany adres strony w przeglądarce. Jeżeli e-mail mówi o problemie z domeną, warto wejść do panelu rejestratora niezależnie od linku w wiadomości. Ta zasada działa dlatego, że odcina najważniejszy element ataku: ścieżkę przygotowaną przez oszusta.
Adres strony ma większe znaczenie niż logo
Fałszywa strona może wyglądać niemal identycznie jak prawdziwa. Logo, kolory i formularz logowania można skopiować. Trudniej skopiować właściwy adres domenowy. Dlatego przed wpisaniem hasła, kodu jednorazowego lub danych karty warto spojrzeć na pełny adres strony, a nie tylko na jej wygląd. Literówka, dodatkowe słowo, nietypowa domena albo subdomena mogą być sygnałem ostrzegawczym. Nie oznacza to, że każda długa domena jest złośliwa. Chodzi o zgodność z adresem, którego normalnie używa dana instytucja.
Presja czasu ma skrócić moment namysłu
Komunikaty o blokadzie konta, kończącym się terminie lub pilnym zwrocie pieniędzy mogą przesunąć uwagę z weryfikacji na natychmiastowe działanie. CERT Polska wielokrotnie zwraca uwagę na wykorzystywanie emocji i pilności w kampaniach phishingowych. Gdy wiadomość wymaga szybkiej reakcji, dobrym odruchem jest właśnie zwolnienie. Prawdziwa instytucja zwykle ma inny kanał, przez który można potwierdzić sprawę.
Pole nadawcy nie wystarcza
Nazwa wyświetlana w skrzynce może brzmieć poprawnie, nawet jeśli techniczny adres nadawcy jest inny. Z drugiej strony sam adres również nie powinien być jedynym testem, bo istnieją scenariusze przejęcia prawdziwych skrzynek albo podszywania się na poziomie poczty. Dlatego ocena pojedynczego elementu jest słabsza niż niezależne potwierdzenie sprawy.
Nie wpisuj kodu MFA tylko dlatego, że właśnie przyszedł
Jeżeli ktoś przejął hasło i próbuje zalogować się na konto, użytkownik może dostać prawdziwe powiadomienie lub kod z prawdziwej usługi. Taki kod nie potwierdza, że wiadomość od oszusta jest prawdziwa. Może oznaczać dokładnie odwrotnie: ktoś właśnie próbuje wejść na konto. Kod jednorazowy powinien być używany tylko wtedy, gdy sam rozpocząłeś logowanie w znanej aplikacji lub na stronie, której adres sprawdziłeś.
Podejrzaną wiadomość warto zgłosić
CERT Polska przyjmuje zgłoszenia przez incydent.cert.pl. Podejrzane SMS-y z linkami można przekazać na bezpłatny numer 8080. Zgłoszenie nie służy tylko osobie, która je wysyła. Może pomóc w szybszym wykrywaniu i blokowaniu kampanii skierowanych do innych użytkowników.
Bezpieczny nawyk jest prostszy niż analiza każdego szczegółu
Nie trzeba znać wszystkich technik phishingu. Wystarczy przyjąć regułę, że ważnej sprawy dotyczącej konta, pieniędzy lub danych nie załatwiamy przez link dostarczony w niespodziewanej wiadomości. Weryfikujemy ją od nowa, własną drogą. To nie eliminuje wszystkich zagrożeń, ale usuwa dużą część przewagi, jaką atakujący zdobywa przez kontrolę nad pierwszym kliknięciem.
Załącznik i kod QR też mogą prowadzić poza bezpieczną ścieżkę
Phishing nie musi zawierać zwykłego klikalnego linku. Wiadomość może zachęcać do otwarcia załącznika, zeskanowania kodu QR albo skopiowania adresu do przeglądarki. Z punktu widzenia bezpieczeństwa pytanie pozostaje takie samo: czy to ja samodzielnie wszedłem do znanej usługi, czy wiadomość wybrała za mnie miejsce logowania. Kod QR jest wygodny, ale ukrywa adres do momentu skanowania, dlatego przy ważnych kontach nie powinien zwalniać z weryfikacji domeny.
Powiadomienie o logowaniu jest informacją, nie poleceniem
Jeżeli aplikacja pyta, czy zatwierdzić logowanie, którego nie rozpocząłeś, nie zatwierdzaj go tylko dlatego, że komunikat pochodzi z prawdziwej aplikacji. Sam fakt pojawienia się żądania może oznaczać, że ktoś zna już część danych uwierzytelniających. Odrzuć próbę, sprawdź bezpieczeństwo konta i zmień hasło, jeśli istnieje podejrzenie jego ujawnienia.
Nie weryfikuj wiadomości tym samym kanałem, który budzi podejrzenie
Jeżeli e-mail twierdzi, że bank, urząd albo platforma wymagają pilnego działania, nie odpowiadaj na niego z prośbą o potwierdzenie. Oszust kontroluje właśnie ten kanał. Otwórz aplikację instytucji albo wpisz jej znany adres samodzielnie i sprawdź, czy komunikat pojawia się również tam.
Logo i poprawny język nie są już dobrym testem
Wiadomość może wyglądać profesjonalnie, zawierać prawidłowe logo i nie mieć błędów ortograficznych. Najważniejszy jest mechanizm: presja, prośba o logowanie, podanie danych, wykonanie płatności albo otwarcie załącznika. Coraz mniej warto polegać na samym wyglądzie tekstu.
Jeśli kliknąłeś, znaczenie ma to, co wydarzyło się później
Samo otwarcie strony nie jest tym samym co wpisanie hasła, podanie danych karty albo instalacja programu. Reakcję dopasuj do zdarzenia. Jeśli podałeś hasło, zmień je z bezpiecznego urządzenia i sprawdź aktywne sesje. Jeśli przekazałeś dane płatnicze, skontaktuj się z bankiem. Jeśli pobrałeś program, nie kontynuuj logowania do ważnych usług na tym urządzeniu do czasu oceny sytuacji.
Zgłoszenie pomaga również innym
Podejrzaną stronę lub wiadomość można przesłać do CERT Polska przez incydent.cert.pl. Zgłoszenia pomagają identyfikować kampanie i zasilać mechanizmy blokowania niebezpiecznych domen.
Najbezpieczniejsza weryfikacja omija link z wiadomości
Jeżeli wiadomość mówi o blokadzie konta, zwrocie pieniędzy albo pilnej aktualizacji danych, nie trzeba rozstrzygać jej wiarygodności na podstawie wyglądu maila. Bezpieczniejszy jest osobny kanał. Otwórz aplikację instytucji albo samodzielnie wpisz znany adres serwisu i sprawdź, czy ten sam komunikat pojawia się po zalogowaniu. CERT Polska w aktualnych kampaniach z 2026 roku zaleca właśnie takie odseparowanie decyzji od linku przesłanego przez nadawcę.
To ważne również dlatego, że współczesny phishing może być napisany poprawnym językiem, korzystać z prawdziwego logo i naśladować wygląd strony niemal bezbłędnie. Brak literówek nie jest już sensownym testem bezpieczeństwa.
Presja jest sygnałem do zwolnienia, nie do szybszego kliknięcia
Komunikaty o utracie dostępu, wygasającym terminie albo nieautoryzowanym logowaniu mają skłonić do działania zanim pojawi się refleksja. Jeżeli sytuacja rzeczywiście jest pilna, kilka minut potrzebnych na wejście oficjalnym kanałem zwykle nie pogorszy bezpieczeństwa. Może za to zatrzymać próbę wyłudzenia.