Wiadomość z banku o zablokowanym koncie. SMS od firmy kurierskiej z prośbą o dopłatę. Informacja o zwrocie podatku, niedopłacie za energię albo konieczności potwierdzenia danych.

Wszystko wygląda wiarygodnie. Jest logo, znajoma nazwa instytucji, poprawna polszczyzna i przycisk prowadzący do strony logowania.

Wystarczy jednak jedno kliknięcie, aby przekazać przestępcom hasło, dane karty płatniczej lub dostęp do bankowości elektronicznej.

W lipcu 2026 roku CERT Polska ostrzegał przed kampanią phishingową wykorzystującą wizerunek Narodowego Funduszu Zdrowia. Oszuści informowali odbiorców o rzekomej weryfikacji wniosku i kierowali ich na fałszywą stronę przypominającą serwis NFZ. Celem było wyłudzenie danych osobowych oraz informacji z kart płatniczych.

🎣 Czym właściwie jest phishing?

Phishing to rodzaj cyberataku, w którym przestępca podszywa się pod zaufaną osobę, firmę lub instytucję. Może udawać bank, urząd, firmę kurierską, operatora płatności, pracodawcę, dostawcę energii, portal społecznościowy, a nawet członka rodziny.

Celem takiej wiadomości najczęściej jest nakłonienie odbiorcy do:

• kliknięcia niebezpiecznego linku,
• zalogowania się na fałszywej stronie,
• podania danych osobowych,
• wpisania danych karty płatniczej,
• przekazania kodu BLIK lub kodu jednorazowego,
• otwarcia zainfekowanego załącznika,
• wykonania przelewu,
• zainstalowania szkodliwej aplikacji.

Phishing bazuje przede wszystkim na manipulacji i wykorzystaniu emocji. Techniczne zabezpieczenia są ważne, ale w wielu przypadkach to czujność użytkownika decyduje o tym, czy atak zakończy się powodzeniem.

🚨 Jak rozpoznać phishing? Zwróć uwagę na te sygnały

1. Wiadomość wywołuje presję czasu

„Twoje konto zostanie zablokowane”.

„Masz tylko 12 godzin na potwierdzenie danych”.

„Ostatnia szansa na odebranie zwrotu”.

„Natychmiast ureguluj zaległość”.

Presja czasu ma ograniczyć racjonalne myślenie. Oszust chce, aby odbiorca działał automatycznie, zanim sprawdzi prawdziwość informacji.

Im bardziej wiadomość nakłania do natychmiastowego działania, tym większą ostrożność należy zachować.

2. Nadawca obiecuje pieniądze lub straszy konsekwencjami

Zwrot podatku, dopłata, nagroda, zaległa przesyłka, niezapłacona faktura, mandat lub zawieszenie konta to jedne z najczęściej wykorzystywanych scenariuszy.

Przestępcy liczą na dwie silne emocje: strach przed utratą czegoś ważnego oraz chęć szybkiego zysku.

3. Adres nadawcy nie pasuje do nazwy instytucji

Samo imię lub nazwa wyświetlana w skrzynce pocztowej nie potwierdzają tożsamości nadawcy.

Wiadomość może być podpisana jako „Bank”, „Administracja” albo „Dział IT”, ale zostać wysłana z zupełnie obcego adresu.

Sprawdź dokładnie:

• pełny adres e-mail nadawcy,
• znaki znajdujące się przed i po symbolu „@”,
• dodatkowe litery, cyfry lub myślniki,
• domenę, z której wysłano wiadomość.

Oszuści wykorzystują adresy bardzo podobne do prawdziwych, licząc na to, że odbiorca nie zauważy drobnej różnicy.

4. Link prowadzi do podejrzanej domeny

Nie oceniaj strony wyłącznie na podstawie jej wyglądu. Współczesne witryny phishingowe mogą być niemal identycznymi kopiami stron banków, urzędów i popularnych serwisów.

CERT Polska podkreśla, że wygląd strony nie jest wystarczającym potwierdzeniem jej autentyczności. Kluczowe znaczenie ma sprawdzenie właściwego adresu domeny.

Przed kliknięciem najedź kursorem na link i zobacz, dokąd rzeczywiście prowadzi. Na telefonie można przytrzymać odnośnik bez jego otwierania.

Szczególną ostrożność powinny wzbudzić:

• literówki w nazwie domeny,
• niepotrzebne cyfry i dodatkowe wyrazy,
• skrócone linki,
• adresy zupełnie niezwiązane z nadawcą,
• nietypowe końcówki domen.

Najbezpieczniej jest samodzielnie wpisać znany adres strony albo skorzystać z oficjalnej aplikacji danej instytucji.

5. Wiadomość żąda poufnych informacji

Bank, urząd lub administrator systemu nie powinien prosić w zwykłej wiadomości o przesłanie pełnego hasła, kodu autoryzacyjnego, numeru PIN czy danych karty.

Nigdy nie przekazuj przez e-mail, SMS lub komunikator:

• loginów i haseł,
• kodów BLIK,
• kodów jednorazowych,
• numeru PIN,
• kodu CVV/CVC,
• zdjęć dokumentów,
• danych umożliwiających odzyskanie konta.

Kod autoryzacyjny zatwierdza operację. Osoba, która go otrzyma, może wykorzystać go natychmiast.

6. Wiadomość zawiera nieoczekiwany załącznik

Faktura, wezwanie do zapłaty, dokument z urzędu, CV albo potwierdzenie zamówienia mogą w rzeczywistości zawierać szkodliwe oprogramowanie.

Nie otwieraj załącznika tylko dlatego, że jego nazwa wygląda znajomo. Najpierw potwierdź, czy rzeczywiście spodziewasz się takiego dokumentu.

W razie wątpliwości skontaktuj się z nadawcą innym kanałem — korzystając ze znanego wcześniej numeru telefonu, a nie danych podanych w podejrzanej wiadomości.

7. Prośba jest nietypowa

Wiadomość może pochodzić rzekomo od przełożonego, kontrahenta lub współpracownika i zawierać prośbę o:

• pilny przelew,
• zakup kart podarunkowych,
• zmianę numeru rachunku na fakturze,
• przesłanie dokumentów,
• podanie danych dostępowych,
• ominięcie obowiązującej procedury.

Nawet jeśli wiadomość wygląda poprawnie, nietypowe polecenie należy potwierdzić telefonicznie lub osobiście.

⏱️ Test 30 sekund przed kliknięciem

Zanim wykonasz polecenie z wiadomości, zatrzymaj się i sprawdź:

1. Czy spodziewałem się tej wiadomości?
2. Czy adres nadawcy jest prawidłowy?
3. Dokąd naprawdę prowadzi link?
4. Czy wiadomość wywiera presję albo wzbudza strach?
5. Czy nadawca prosi o dane, hasło, kod lub pieniądze?
6. Czy mogę potwierdzić tę informację w oficjalnej aplikacji lub przez znany numer telefonu?

Jeśli choć jeden element budzi wątpliwości, nie klikaj i nie odpowiadaj na wiadomość.

🛑 Co zrobić, gdy klikniesz podejrzany link?

Samo otwarcie strony nie zawsze oznacza utratę danych. Największe zagrożenie pojawia się zazwyczaj wtedy, gdy użytkownik wpisze informacje do fałszywego formularza, pobierze plik lub zainstaluje aplikację.

Jeżeli podejrzewasz phishing:

• zamknij stronę i nie pobieraj żadnych plików,
• nie wpisuj danych logowania ani danych karty,
• nie zatwierdzaj powiadomień w aplikacji bankowej,
• nie podawaj kodów jednorazowych,
• poinformuj administratora lub dział IT.

Jeżeli podałeś hasło, natychmiast zmień je na prawdziwej stronie usługi. Jeżeli to samo hasło było używane również w innych miejscach, zmień je na wszystkich kontach.

W przypadku podania danych bankowych lub danych karty należy niezwłocznie skontaktować się z bankiem, zablokować kartę lub dostęp do rachunku i sprawdzić ostatnie operacje. Jeśli doszło do utraty pieniędzy lub przejęcia konta, sprawę należy także zgłosić Policji.

📲 Widzisz phishing? Zgłoś go

Podejrzane wiadomości, strony internetowe i inne incydenty można zgłaszać poprzez formularz CERT Polska lub usługę „Bezpiecznie w sieci” dostępną w aplikacji mObywatel.

Podejrzane wiadomości SMS można przekazać bez zmian na bezpłatny numer 8080. Zgłoszenia pomagają analitykom identyfikować szkodliwe domeny i ostrzegać kolejnych użytkowników.

🔐 Najważniejsza zasada: zatrzymaj się, zanim klikniesz

Phishing nie zawsze zawiera błędy językowe, podejrzaną grafikę czy absurdalną historię. Fałszywa wiadomość może wyglądać profesjonalnie, wykorzystywać prawdziwe logo i odwoływać się do aktualnych wydarzeń.

Dlatego najskuteczniejszą obroną jest spokojna weryfikacja.

Nie działaj pod wpływem presji. Nie loguj się przez link przesłany w wiadomości. Nie przekazuj kodów autoryzacyjnych. Sprawdzaj adresy stron i potwierdzaj nietypowe prośby innym kanałem.

Jedno ostrożne sprawdzenie może ochronić Twoje konto, dane osobowe i pieniądze.

Artinus System Sp. z o.o.
Bezpieczeństwo informacji zaczyna się od świadomości użytkowników. Dbaj o wiedzę pracowników, aktualne zabezpieczenia oraz procedury reagowania na podejrzane wiadomości.