Phishing: co to jest, jak rozpoznać i jak się bronić. Rodzaje i przykłady

Mail od prezesa z prośbą o przelew „dziś do 12:00”. SMS od kuriera o dopłacie 1,49 zł. Wiadomość w Teams od konta „IT Help Desk”. Każda z nich może być phishingiem i żadna nie musi mieć literówek. Zebraliśmy tu to, czego uczy nasz kurs e-learningowy z cyberbezpieczeństwa, od definicji po kroki na wypadek, gdy ktoś już kliknął.

W skrócie:

• phishing to oszustwo, w którym przestępca podszywa się pod zaufaną osobę lub instytucję, aby wyłudzić dane, pieniądze albo skłonić odbiorcę do działania zagrażającego bezpieczeństwu,
• typowym narzędziem atakującego jest presja: chce, żeby pracownik działał szybko i bez konsultacji z innymi,
• 7 znaków rozpoznawczych: presja czasu, nadawca, który wygląda prawie dobrze, prośba omijająca procedurę, link lub załącznik niepasujący do kontekstu, prośba o dane, hasło, kod MFA albo przelew, nietypowy ton, niezgodność z rzeczywistością,
• reguła nr 1: w razie wątpliwości nie klikaj, nie odpowiadaj i nie wykonuj polecenia - zweryfikuj innym kanałem i zgłoś sprawę zgodnie z procedurą firmy,
• jeśli już kliknąłeś, nie ukrywaj tego i zgłoś sprawę do IT.

Co to jest phishing?

Phishing to oszustwo, w którym przestępca podszywa się pod zaufaną osobę lub instytucję, aby wyłudzić dane, pieniądze albo skłonić odbiorcę do działania zagrażającego bezpieczeństwu, na przykład otwarcia złośliwego pliku lub zatwierdzenia logowania. Dotyczy osób prywatnych i pracowników. Ten wpis, tak jak lekcja 1.1 naszego kursu, dotyczy wiadomości wysyłanych do pracowników firm i instytucji.

Wiele ataków zaczyna się od phishingu, bo to jeden z najtańszych i najskuteczniejszych sposobów wejścia do organizacji. W 2025 roku CERT Polska (CSIRT NASK) obsłużył 260 783 unikalne incydenty bezpieczeństwa, o 152% więcej niż rok wcześniej (sprawozdanie „Krajobraz cyberprzestrzeni” za 2025 rok). To liczba wszystkich incydentów, nie tylko phishingu. Według CERT Polska dominuje w nich motywacja finansowa: oszustwa komputerowe i phishing.

Mechanizm: emocja, autorytet, działanie, wymówka

Kurs uczy mechanizmu, a nie pojedynczych przykładów:

• emocja lub presja - strach, ciekawość albo pilność („konto zostanie zablokowane”),
• autorytet - nadawcą jest rzekomo bank, ZUS, kurier, dział IT, prezes albo kontrahent,
• działanie - kliknięcie, załącznik, hasło, przelew, kod QR albo telefon zwrotny,
• wymówka - wyjaśnienie, dlaczego trzeba się spieszyć i nikogo nie pytać („transakcja poufna”, „to tylko formalność”).

Jeśli wiadomość łączy emocję, autorytet i działanie pod presją, traktuj ją jako podejrzaną, dopóki nie potwierdzisz jej innym kanałem. Niezależnie od kanału zadaj sobie pytanie: czy ktoś próbuje skłonić mnie do szybkiego działania poza normalną procedurą?

Dlaczego brak literówek nie oznacza bezpieczeństwa

Atakujący używają AI, żeby szybciej tworzyć poprawne językowo maile i naśladować styl komunikacji firmy. W 2026 roku błędy językowe nie są już najważniejszym sygnałem phishingu. Liczy się to, czy wiadomość pasuje do sytuacji i do tego, jak nadawca zwykle się z Tobą komunikuje, a przede wszystkim, czy prośba pasuje do procedury firmy.

Jak rozpoznać phishing? 7 znaków rozpoznawczych

Anna z księgowości, bohaterka lekcji 2.1, zebrała tę listę z mechanizmów opisywanych w raportach CERT Polska, ENISA i FBI IC3.

Jak sprawdzić nadawcę i link

Nazwa nadawcy może być poprawna, ale domena już nie. Rozwiń nagłówek i porównaj pełną domenę ze znanym adresem: domena oszusta często różni się od prawdziwej jedną literą, kreską albo kropką. Przykłady z lekcji: platnosci@inpost-paczka.pl zamiast oficjalnej domeny kuriera, support-microsoft365.com zamiast domeny Microsoft. Poprawny adres też niczego nie gwarantuje, bo wiadomość może przyjść z prawdziwej, przejętej skrzynki kontrahenta.

W typowym programie pocztowym najechanie kursorem na link pokazuje adres przypisany do odnośnika. Nie musi to być adres końcowy, bo link może prowadzić przez przekierowania. Rozbieżność między tekstem linku a adresem to sygnał do sprawdzenia: nie klikaj, tylko otwórz serwis samodzielnie ze znanej zakładki albo wpisz jego adres. Podpowiedź nie potwierdza, że strona jest bezpieczna.

Rodzaje phishingu

Odmiany phishingu różnią się kanałem (mail, SMS, telefon, kod QR, komunikator), doborem celu (phishing masowy albo spear phishing) albo schematem oszustwa, jak BEC. Kategorie się nakładają: ta sama wiadomość może być spear phishingiem i próbą BEC. W księgowości dochodzą fałszywe powiadomienia „z KSeF”: sam KSeF nie usuwa ryzyka phishingu.

Spear phishing

To phishing przygotowany pod konkretną osobę, dział, projekt albo firmę. Profil pracownika da się zbudować z publicznych źródeł: stanowisko, przełożony, narzędzia, dostawcy, styl komunikacji firmy. Nie ufaj wiadomości tylko dlatego, że zawiera Twoje imię albo nazwisko przełożonego. W opisanym przez nas ataku na Binance fałszywa rozmowa rekrutacyjna z pracownikiem IT była jednym z etapów wieloetapowej operacji.

BEC: podszycie pod prezesa albo kontrahenta

BEC (Business Email Compromise) to schemat oszustwa, w którym atakujący podszywa się pod kogoś, komu firma ufa: prezesa, dyrektora finansowego albo kontrahenta. Typowe sygnały to pilny przelew, zmiana rachunku, poufność i prośba o pominięcie procedury.

Do FBI IC3 zgłoszono w 2024 roku 21 442 przypadki BEC, a zgłoszone straty wyniosły 2,77 mld dolarów (FBI IC3 Internet Crime Report 2024). Średnio daje to ok. 129 tys. dolarów na zgłoszenie, choć średnia nie opisuje typowej szkody. Obrona: każdą nietypową prośbę finansową potwierdzaj innym kanałem, najlepiej telefonicznie na znany wcześniej numer, a nie na numer z maila.

SMS, telefon, kod QR i komunikatory

Smishing to phishing w SMS-ie („Dopłać 1,49 zł, aby kontynuować dostawę”). Vishing to telefon z „banku” albo „działu IT” z prośbą o kod, hasło, zdalny dostęp albo przelew. Quishing wykorzystuje kod QR, na przykład naklejony przy drukarce. W przypadku naklejki przy drukarce atak omija pocztę, więc filtry pocztowe nie mają czego sprawdzać.

W komunikatorze (Teams, Slack, WhatsApp, Signal) znajoma nazwa niczego nie potwierdza: nazwę i zdjęcie może ustawić każdy, a konto znajomego mogło zostać przejęte. Więcej we wpisie Phishing poza mailem: SMS, telefon, kod QR i komunikator.

Powiązany atak: MFA fatigue

MFA fatigue (push bombing) nie jest odmianą phishingu, tylko powiązanym atakiem na logowanie, który wspiera socjotechnika. W typowym scenariuszu przestępca dysponuje już Twoim hasłem i loguje się wielokrotnie, żeby wymusić powiadomienie na Twoim telefonie. W scenariuszu z lekcji 2.3, inspirowanym atakiem na Ubera z września 2022 roku, po serii powiadomień ktoś podszywający się pod dział IT prosi: „proszę zatwierdzić to powiadomienie, żeby przestało wibrować”. Zasada z kursu: jeśli nie próbujesz się właśnie zalogować, kliknij Odrzuć, nie zatwierdzaj kolejnych powiadomień i zgłoś sytuację do IT.

Inny wariant to fałszywa strona, która pośredniczy między Tobą a prawdziwym serwisem (Adversary-in-the-Middle, AITM). Jeśli zalogujesz się przez nią hasłem i kodem MFA, atakujący przechwyci aktywną sesję mimo MFA.

Przykłady phishingu: scenki z kursu

Firma X-Soft i jej pracownicy są fikcyjni, a scenki to scenariusze szkoleniowe.

Mail od „prezesa” o 9:47

Wtorek, 9:47. Anna z księgowości dostaje maila od prezesa: „Pilne: płatność dla nowego dostawcy - dziś do 12:00”. Sprawa poufna, numer konta w załączniku, akceptację dyrektora finansowego „tym razem” należy pominąć. W szczegółach nadawcy widać domenę x-s0ft.pl zamiast x-soft.pl.

Annę zatrzymało jedno słowo: „Aniu”. Prezes przez wszystkie lata pisał do niej wyłącznie „Pani Anno”. Atakujący znalazł ją na LinkedInie, ale nie wiedział, jak prezes się do niej zwraca. Potem Anna zrobiła cztery rzeczy:

1. 9:47, STOP. Nie klika, nie otwiera załącznika, nie odpowiada.
2. 9:49, SPRAWDZAM. Nowy kontrahent wymaga akceptacji dyrektora finansowego.
3. 9:51, WERYFIKUJĘ. Dzwoni do prezesa na komórkę z własnych kontaktów. Prezes żadnego maila nie pisał.
4. 9:55, ZGŁASZAM. Zgłasza mail do IT zgodnie z procedurą firmy (do IOD trafia zgłoszenie, gdy istnieje podejrzenie naruszenia ochrony danych osobowych). IT blokuje nadawcę i ostrzega firmę. Od maila do blokady minęło osiem minut.

Lekcja liczy też hipotetyczny koszt tego scenariusza, gdyby Anna wykonała polecenie: ok. 520 000 zł bez ewentualnej kary (320 000 zł przelewu, ok. 120 000 zł na dochodzenie i prawnika, ok. 80 000 zł na audyt i obsługę incydentu).

„IT Help Desk” w Teams

Do skrzynki Tomasza z działu handlowego wpada kilkaset newsletterów. Potem w Teams odzywa się konto „IT Help Desk” z etykietą „Zewnętrzny (External)” i prosi o uruchomienie Szybkiej pomocy (Quick Assist), wpisanie kodu i udostępnienie ekranu. Microsoft opisał ten schemat w maju 2024 roku: najpierw zapisanie skrzynki do wielu subskrypcji, potem kontakt fałszywej pomocy technicznej. W aktualizacji z czerwca 2024 r. dopisał kontakt przez Teams.

Reakcja: nie uruchamiasz niezamówionej sesji pomocy zdalnej, nie wpisujesz kodu i nie udostępniasz ekranu. Dzwonisz do IT na numer wewnętrzny, który znasz.

Komunikator: „nowy numer” prezesa i kod „przez pomyłkę”

Na WhatsAppie pisze do Katarzyny z kadr numer spoza kontaktów, na zdjęciu prezes: stary telefon mu padł, jest na spotkaniu w banku, za pół godziny potrzebuje zestawienia wynagrodzeń kierowników. Na Signalu pisze Ewa z biura w Krakowie: przez pomyłkę wpisała Twój numer, zaraz przyjdzie SMS z kodem, przepisz go.

W obu przypadkach prośbę potwierdzasz poza komunikatorem. Nie pytasz w tym samym wątku „Czy to na pewno Ty?”, bo przejęte konto odpowie „tak”. Dzwonisz na numer z firmowej książki adresowej albo pytasz osobiście, a jeśli nie możesz się dodzwonić, prośba czeka. Kodu nie przekazujesz nikomu. Próbę zgłaszasz do IT, a jeśli dane zostały przekazane albo istnieje podejrzenie uzyskania do nich nieuprawnionego dostępu, informujesz również IOD.

W urzędzie: wykonawca i e-Doręczenia

W wersji kursu dla urzędów groźny wariant BEC przy inwestycjach dotyczy wykonawcy: mail o zmianie numeru rachunku przychodzi często z prawdziwej, przejętej skrzynki firmy budowlanej. W 2025 r. w gminie Janowo w województwie warmińsko-mazurskim, po przełamaniu zabezpieczeń poczty i podrobieniu faktury, przelew za inwestycję na kilka milionów złotych trafił do oszustów zamiast do wykonawcy. Ponad 3 mln zł udało się odzyskać. Według informacji opublikowanych 8 marca 2026 r. nie odzyskano około 1,5 mln zł (infoprzasnysz.com). Inny pretekst to fałszywe powiadomienia z e-Doręczeń, przed którymi CERT Polska ostrzegał w 2025 r. Przesyłki odbierasz, logując się samodzielnie na znany adres.

Co zrobić, gdy kliknąłeś link w mailu phishingowym?

Najgorsze, co możesz zrobić, to ukryć sprawę ze wstydu. Dalsze kroki zależą od tego, co zdążyłeś zrobić.

Kliknąłem, ale nic się nie stało

Strona mignęła i nic się nie otworzyło? Zgłoś to mimo wszystko. Samo otwarcie strony nie oznacza, że ktoś poznał Twoje hasło, ale strona mogła sprawdzić, że Twój adres jest aktywny, albo przygotować kolejny etap ataku. Jeśli coś na niej wpisałeś lub zatwierdziłeś logowanie, mogła też zapisać dane albo przejąć sesję. Wystarczy jedno zdanie: „Kliknąłem link w wiadomości. Nie widzę skutków, ale zgłaszam, bo nie mam pewności, czy strona była bezpieczna”.

Przelew albo przejęte konto: czego nie załatwi zmiana hasła

Po przelewie na rachunek oszusta osoba uprawniona w firmie od razu kontaktuje się z bankiem i prosi o odwołanie przelewu. Tak zaleca FBI IC3 w komunikacie o oszustwach BEC: przy fałszywym przelewie liczy się czas.

Przy przejętym koncie sama zmiana hasła może nie wystarczyć. Zmiana hasła nie gwarantuje unieważnienia wszystkich aktywnych sesji, np. przechwyconych przez stronę pośredniczącą. Dlatego IT dodatkowo unieważnia aktywne sesje, cofa zmiany metod MFA wprowadzone przez atakującego i usuwa utworzone przez niego reguły skrzynki pocztowej (Microsoft Security Blog, styczeń 2026).

Pierwsza godzina: co robić, a czego nie

Lekcja 4.2 podaje siedem kroków pierwszej reakcji: zatrzymaj się, zapisz stan, nie wyłączaj komputera bez potrzeby lub polecenia IT, odłącz sieć (gdy podejrzewasz atak na komputer), zadzwoń do IT, dokumentuj, nie rozgłaszaj. Przy podejrzeniu infekcji postępuj zgodnie z procedurą firmy: odłącz kabel sieciowy i wyłącz Wi-Fi, a potem zadzwoń do IT. Samo rozłączenie VPN nie odcina dostępu do internetu (CISA, Ransomware Guide).

Pierwsze minuty są decydujące. Według raportu CrowdStrike z 2026 r. średni czas przejścia cyberprzestępców (eCrime) od pierwszego dostępu do kolejnego systemu wyniósł w 2025 roku 29 minut.

Jak zgłosić phishing

Zgłaszasz zgodnie z procedurą firmy, nawet jeśli nie kliknąłeś: do IT, a gdy w grę wchodzą dane osobowe, także do IOD. Zgłasza się też próbę, która się nie udała: IT może wtedy zablokować nadawcę i ostrzec pozostałych.

Przez telefon wystarczy krótki schemat z lekcji 4.2: „Cześć, tu [imię]. Zgłaszam podejrzenie incydentu. O [godzina] zauważyłem [objaw]. Nie wyłączałem komputera. [Jeśli tak: Odłączyłem sieć.] Czekam na instrukcje”.

Fałszywy alarm kosztuje IT chwilę, zignorowany sygnał może kosztować tygodnie. W incydentach badanych przez Mandiant w 2025 roku globalna mediana czasu obecności atakującego w systemach przed wykryciem wyniosła 14 dni (M-Trends 2026).

Kto i kiedy zgłasza incydent na zewnątrz

Terminy zgłoszeń do PUODO i właściwego CSIRT dotyczą organizacji, nie pojedynczego pracownika. Pracownik zgłasza wewnętrznie i jak najszybciej, zgodnie z procedurą firmy.

Naruszenie ochrony danych osobowych zgłasza organowi nadzorczemu administrator, „bez zbędnej zwłoki - w miarę możliwości, nie później niż w terminie 72 godzin po stwierdzeniu naruszenia”, chyba że jest mało prawdopodobne, by naruszenie to skutkowało ryzykiem naruszenia praw lub wolności osób fizycznych (art. 33 ust. 1 RODO).

Jeżeli organizacja jest podmiotem kluczowym albo ważnym w rozumieniu ustawy o KSC, to od chwili, gdy zaczną ją obowiązywać nowe zasady raportowania, incydent poważny co do zasady zgłasza się do właściwego CSIRT sektorowego niezwłocznie, najpóźniej w 24 godziny (wczesne ostrzeżenie) i 72 godziny (zgłoszenie) od wykrycia (art. 11 ust. 1 pkt 4 i 4a). Do czasu ogłoszenia komunikatu o osiągnięciu przez niego zdolności operacyjnej zgłoszenia trafiają do CSIRT MON, CSIRT NASK albo CSIRT GOV (art. 44 ustawy zmieniającej). Wyjątki, m.in. dla dostawców usług zaufania, podmiotów ważnych publicznych i sektora bankowości i infrastruktury rynków finansowych, oraz terminy wdrożenia obowiązków opisujemy we wpisie NIS2: kogo dotyczy.

Jak firma może się bronić przed phishingiem?

Annie wystarczyły znana procedura, numer z własnych kontaktów i szybka reakcja IT. Firma powinna więc szkolić, zabezpieczać, wprowadzać procedury i je ćwiczyć.

Procedura weryfikacji przelewów i zmian rachunku

Przelew do nowego dostawcy przechodzi przez standardową akceptację, nawet jeśli pisze „prezes”. Zmianę numeru rachunku potwierdzasz telefonicznie, na numer z umowy albo z systemu. Numer ze stopki maila potwierdza tylko to, że zna go nadawca. Presja przełożonego nie zmienia procedury: termin da się dotrzymać, ale tylko na rachunek potwierdzony z własnego źródła.

MFA, najlepiej odporne na phishing

MFA znacząco ogranicza ryzyko przejęcia konta. W badaniu Microsoftu na dużej grupie kont Azure Active Directory z podejrzaną aktywnością zmniejszało je o ponad 99%, a dokładnie o 99,22% w badanej populacji (Meyer i in., 2023). Nie każde MFA jest jednak równie dobre:

• docelowo wybieraj MFA odporne na phishing (klucz sprzętowy FIDO2/WebAuthn albo passkey) wszędzie, gdzie system je obsługuje; jest powiązane z prawdziwą domeną serwisu, więc na fałszywej stronie nie zadziała,
• zacznij od administratorów i osób z dostępem do finansów, głównej poczty i danych klientów; CISA szczególnie wzywa administratorów systemów i inne cele o wysokiej wartości do przejścia na taką metodę (CISA, 2022),
• tam, gdzie system nie obsługuje MFA odpornego na phishing, rozwiązaniem zastępczym jest aplikacja uwierzytelniająca,
• SMS jest lepszy niż brak MFA, ale powinien być opcją awaryjną, nie docelową metodą ochrony kont firmowych.

MFA nie zwalnia z czujności. Skuteczna ochrona wymaga łącznie MFA, procedur i ostrożności.

Szkolenie, które ćwiczy decyzję

Reakcję trzeba przećwiczyć, zanim „mail od prezesa” przyjdzie naprawdę. W naszym kursie phishing to lekcja 2.1 (ok. 22 minuty): mail „od prezesa” z siedmioma zaznaczonymi miejscami, cztery wiadomości z komunikatorów i reguła na wypadek kliknięcia. Reagowanie ćwiczą lekcje 4.1 i 4.2 oraz ćwiczenia scenariuszowe, m.in. „Telefon od informatyka”.

Ustawa o KSC wymienia edukację z zakresu cyberbezpieczeństwa dla personelu wśród środków, które wdrażają podmioty kluczowe i ważne (art. 8 ust. 1 pkt 2 lit. i), poza sektorem bankowości i infrastruktury rynków finansowych; podmiot ważny publiczny szkoli osoby zaangażowane w przetwarzanie informacji według załącznika nr 4 (cz. I pkt 17). Czy Twoja organizacja do nich należy, sprawdzisz w bezpłatnym teście NIS2/KSC i we wpisie NIS2: kogo dotyczy.

Zobacz szkolenie e-learningowe z cyberbezpieczeństwa dla firm albo wersję dla urzędów, z przykładami z administracji. Stan organizacji sprawdzisz z checklistą NIS2/KSC do pobrania.

Zatrzymaj się, potwierdź prośbę znanym kanałem i zgłoś podejrzenie. Te trzy działania warto przećwiczyć, zanim pojawi się prawdziwy atak.