Spear phishing: co to jest? Przykłady, oszustwo BEC i jak się bronić

Mail od prezesa, który pisze do Ciebie po imieniu i wie, że w tym tygodniu zamykacie kontrakt z dostawcą z Niemiec. Prośba kontrahenta o zwrot nadpłaty na nowy rachunek, choć nadpłata naprawdę wpłynęła. Żadna z tych wiadomości nie musi mieć literówek ani podejrzanego linku. To spear phishing i oszustwo BEC, czyli ataki przygotowane pod konkretną osobę i konkretną płatność. Zebraliśmy tu to, czego uczy o nich nasz kurs e-learningowy z cyberbezpieczeństwa.

W skrócie:

• spear phishing to phishing przygotowany pod konkretną osobę, stanowisko, projekt albo firmę; różni się od phishingu masowego doborem celu, nie mechanizmem,
• BEC (Business Email Compromise) to oszustwo biznesowe, w którym atakujący podszywa się pod prezesa, przełożonego, kontrahenta lub dział finansowy, zwykle po to, żeby wyłudzić przelew,
• materiał do ataku może pochodzić z publicznych źródeł (LinkedIn, strona firmy, ogłoszenia rekrutacyjne, komunikaty prasowe), z wycieków albo z przejętej korespondencji,
• personalizacja niczego nie dowodzi: wiadomość z Twoim imieniem i nazwiskiem przełożonego, a nawet z poprawnego adresu, może być atakiem,
• obrona: nietypową prośbę finansową potwierdzasz innym kanałem, na numer z umowy albo z systemu, a presja przełożonego nie zmienia procedury.

Spear phishing - co to jest?

Spear phishing to phishing personalizowany. O tym, czy wiadomość jest spear phishingiem, decyduje nie liczba odbiorców, tylko dopasowanie do celu: atakujący przygotowuje ją pod konkretną osobę, dział, projekt albo firmę. Nazwa pochodzi od angielskiego „spear” (włócznia): to atak wymierzony w jeden cel, a nie sieć zarzucana na wszystkich.

Mechanizm pozostaje ten sam co w każdym phishingu, który opisujemy w przewodniku Phishing: co to jest i jak się bronić: emocja lub presja, autorytet nadawcy, prośba o działanie i wymówka, dlaczego trzeba się spieszyć i nikogo nie pytać. Różnica polega na tym, że w spear phishingu każdy z tych elementów jest dopasowany do odbiorcy: prawdziwe nazwisko przełożonego, prawdziwy dostawca, prawdziwy projekt.

Odmiany phishingu różnią się kanałem (mail, SMS, telefon, kod QR, komunikator), doborem celu (phishing masowy albo spear phishing) albo schematem oszustwa, jak BEC. Kategorie się nakładają: ta sama wiadomość może być spear phishingiem i próbą BEC.

Jak atakujący przygotowuje spear phishing

W lekcji 1.2 naszego kursu głosem atakującego jest Maks, postać szkoleniowa. Pokazuje, że do przygotowania wiarygodnej wiadomości nie potrzebuje włamania. Wpisuje w wyszukiwarkę nazwę firmy i w kilka minut widzi profile pracowników na LinkedInie, ofertę pracy, używane technologie, nazwiska osób z księgowości i zdjęcie z firmowego wydarzenia. Nie włamał się nigdzie. Zebrał tylko to, co firma sama pokazała światu.

Z takich informacji powstaje kartoteka. W lekcji ma osiem pól: staż w firmie, przełożony, prezes firmy (z wywiadów prasowych, razem ze stylem języka), ostatnie szkolenie, kontekst prywatny z publicznych postów, okoliczności zwiększające ryzyko, narzędzia firmy i partnerzy firmy. Z pojedynczego posta, zdjęcia albo ogłoszenia zwykle nic złego nie wynika. Problem zaczyna się wtedy, gdy kilka takich informacji tworzy spójny obraz: kto decyduje o płatnościach, kiedy zespół jest przeciążony, jak firma mówi do klientów i z kim współpracuje.

Ostatni element to moment. Kartoteka podpowiada, kiedy pracownik będzie działał pod presją: powrót po urlopie, zastępstwa, końcówka miesiąca. Wtedy przychodzi wiadomość z gotowym pretekstem: „pilna sprawa”, „nowy dostawca”, „nie ma czasu”, „prezes już czeka”.

To nie znaczy, że informacje o firmie powinny zniknąć z internetu. Trzeba wiedzieć, jak mogą zostać użyte, i mieć procedurę, której nie da się obejść jedną przekonującą wiadomością. Spear phishing bywa też tylko pierwszym etapem dłuższej operacji: w opisanym przez nas ataku na Binance fałszywa rozmowa rekrutacyjna z pracownikiem IT była jednym z etapów wieloetapowej operacji.

BEC: co to jest i jak działa

BEC (Business Email Compromise) to oszustwo biznesowe polegające na podszyciu się pod osobę lub podmiot, który cieszy się zaufaniem w firmie: prezesa, członka zarządu, dyrektora finansowego, kontrahenta albo dział księgowości. W Polsce mówi się też o oszustwie „na prezesa” albo „na kontrahenta”.

Typowe sygnały BEC:

• pilny przelew,
• zmiana rachunku bankowego,
• poufność („sprawa poufna, bez konsultowania z resztą zespołu”),
• presja autorytetu,
• prośba o pominięcie normalnej procedury („pomiń tym razem akceptację”).

Podszycie pod prezesa lub kontrahenta

Podszycie pod prezesa lub przełożonego. Mail przychodzi z domeny, która różni się od prawdziwej jedną literą, kreską albo kropką, a nazwa nadawcy jest poprawna. Prośba dotyczy przelewu do nowego dostawcy, „dziś do 12:00”.

Podszycie pod kontrahenta. Mail o zmianie numeru rachunku albo o zwrocie nadpłaty „na nowy rachunek”. Faktura, kwota i nazwa firmy się zgadzają, bo atakujący zna korespondencję albo prawdziwą historię płatności.

Przejęta skrzynka: jak oszustwo staje się wiarygodne

Oba podszycia są najtrudniejsze do wykrycia wtedy, gdy wiadomość przychodzi z prawdziwego adresu, bo atakujący wcześniej przejął skrzynkę prezesa, pracownika albo kontrahenta. Microsoft opisał w styczniu 2026 r. wieloetapową kampanię, w której mail z przejętej skrzynki zaufanej organizacji prowadził przez link do SharePointa na fałszywą stronę pośredniczącą (AiTM). Z przejętych kont atakujący wysłał potem setki kolejnych wiadomości do kontaktów ofiar, potwierdzał ich prawdziwość zaniepokojonym odbiorcom i ukrywał ślady regułami skrzynki. Sprawdzenie domeny w takim przypadku nic nie da: domena jest prawdziwa.

KSeF tego ryzyka nie usuwa. Od 1 kwietnia 2026 r. obowiązek wystawiania faktur w KSeF obejmuje co do zasady pozostałych podatników. Wyjątki przejściowe dotyczą m.in. podatników, u których wartość sprzedaży brutto udokumentowana fakturami wystawionymi poza KSeF nie przekracza w miesiącu 10 tys. zł. Mogą oni wystawiać faktury poza KSeF do końca 2026 r., ale tracą to prawo od faktury, którą przekroczą limit. Nadal trzeba uważać na fałszywe powiadomienia „z KSeF”, prośby o zmianę rachunku, załączniki poza systemem i presję, żeby ominąć normalną procedurę.

Skala BEC

Do FBI IC3 wpłynęło w 2025 roku 24 768 zgłoszeń dotyczących BEC, a zgłoszone straty wyniosły ok. 3,05 mld dolarów (FBI IC3 Internet Crime Report 2025). Rok wcześniej było to 21 442 zgłoszenia i 2,77 mld dolarów. Średnio daje to ok. 123 tys. dolarów na zgłoszenie, choć średnia nie opisuje typowej szkody. IC3 to amerykański rejestr, więc zgłoszenia pochodzą głównie z USA, choć przyjmuje je z ponad 200 krajów. Schemat jest ten sam w polskich firmach i urzędach, co pokazuje przykład gminy Janowo niżej.

Przykłady spear phishingu i BEC: scenki z kursu

Firma X-Soft i jej pracownicy są fikcyjni, a scenki to scenariusze szkoleniowe. Przykład z gminy Janowo jest prawdziwy.

Mail od „prezesa” i jedno słowo: „Aniu”

Wtorek, 9:47. Anna z księgowości dostaje maila od prezesa: „Pilne: płatność dla nowego dostawcy - dziś do 12:00”. Sprawa poufna, nowy dostawca z Niemiec, numer konta w załączniku, akceptację dyrektora finansowego „tym razem” należy pominąć. To klasyczny spear phishing: atakujący wiedział, kto jest prezesem, kto pracuje w księgowości i że firma ma dostawców z Niemiec.

Annę zatrzymało jedno słowo: „Aniu”. Prezes przez wszystkie lata pisał do niej wyłącznie „Pani Anno”. Atakujący znalazł ją na LinkedInie, ale nie wiedział, jak prezes się do niej zwraca. Anna nie kliknęła, sprawdziła procedurę, zadzwoniła do prezesa na komórkę z własnych kontaktów i zgłosiła mail do IT. Od maila do blokady nadawcy minęło osiem minut. Cały przebieg, z siedmioma znakami rozpoznawczymi, opisujemy w przewodniku po phishingu.

Nadpłata i nowy rachunek

W ćwiczeniu scenariuszowym „Pomyłkowy przelew i prośba o zwrot” kursant w poniedziałek sprawdza rozliczenia z kontrahentem. Na rachunek firmy wpłynęły dwa przelewy za tę samą fakturę, oba z rachunku kontrahenta zapisanego w umowie. Nadpłata jest prawdziwa. Potem przychodzi mail z prośbą o zwrot, ale na inny, nowy rachunek.

Kursant ma do wyboru cztery decyzje: zlecić zwrot na rachunek z maila, bo kwota i faktura się zgadzają, zadzwonić pod numer ze stopki maila, zadzwonić do kontrahenta na numer z umowy albo odłożyć sprawę do powrotu koleżanki, która prowadzi rozliczenia. Najlepsza jest trzecia droga. Odłożenie sprawy nie wysyła pieniędzy, ale opóźnia reakcję. Kontrahent odpowiada: „Nic nie wysyłaliśmy”.

Wniosek z ćwiczenia: prawdziwe pieniądze na koncie nie potwierdzają prawdziwości prośby o ich zwrot. Rachunku zwrotu nie zmieniasz na podstawie wiadomości. Nadpłatę i rachunek potwierdzasz kanałem z własnego źródła, a zwrot robisz według procedury rozliczeń.

W urzędzie: wykonawca i zmiana rachunku

W wersji kursu dla urzędów groźny wariant BEC przy inwestycjach dotyczy wykonawcy: mail o zmianie numeru rachunku może przyjść z prawdziwej, przejętej skrzynki wykonawcy. W lipcu 2025 r. w gminie Janowo, po przełamaniu zabezpieczeń poczty elektronicznej (źródło nie podaje, czyjej) i przerobieniu faktury, przelew za inwestycję na kilka milionów złotych trafił do oszustów zamiast do wykonawcy. Ponad 3 mln zł udało się odzyskać. Według informacji opublikowanych 8 marca 2026 r. nie odzyskano około 1,5 mln zł (infoprzasnysz.com).

Jak rozpoznać spear phishing i BEC

Siedem znaków rozpoznawczych phishingu działa także tutaj, ale w atakach personalizowanych część z nich znika. Domena może być prawdziwa, język poprawny, a szczegóły zgodne z rzeczywistością. Poniższe sygnały powinny skłonić do dodatkowej weryfikacji. Ich brak nie potwierdza autentyczności wiadomości:

• prośba omija normalną procedurę - „pomiń tym razem akceptację”, „sam uzupełnię później”,
• pośpiech i poufność naraz - „dziś do 12:00” i „nikomu o tym nie wspominaj”,
• zmiana danych płatności - nowy rachunek, zwrot na inny rachunek, nowy dostawca bez wcześniejszej współpracy,
• ton wiadomości jest nietypowy - szef zwykle pisze konkretnie, a tym razem jest przesadnie uprzejmy, kontrahent zawsze pisze formalnie, a teraz przechodzi na „cześć”.

Błędy językowe przestają być wiarygodnym sygnałem phishingu: FBI zwraca uwagę, że generatory tekstu szybko tworzą oficjalnie brzmiące maile „od prezesa” (IC3 2025). Poprawny język nie potwierdza autentyczności wiadomości. Nietypowy styl może wzbudzić podejrzenia, ale zgodność ze stylem nadawcy również nie daje pewności. Nie ufaj wiadomości tylko dlatego, że zawiera Twoje imię, nazwę firmy albo nazwisko przełożonego.

Jak zweryfikować prośbę o przelew albo zmianę rachunku

Ataku personalizowanego nie trzeba rozpoznać z całą pewnością. Wystarczy, że prośba finansowa zawsze przechodzi przez te same kroki, niezależnie od tego, kto pisze.

Co zrobić, gdy przelew już wyszedł

Zgłoś sprawę natychmiast przełożonemu, finansom i IT. Wysłanego przelewu nie da się po prostu odwołać, bo od chwili otrzymania zlecenia przez bank płatnik nie może go już cofnąć (art. 51 ust. 1 ustawy o usługach płatniczych). Dlatego osoba uprawniona w firmie od razu dzwoni do banku i prosi o pilną próbę zwrotu środków oraz ich zablokowanie na rachunku odbiorcy, nie czekając na zakończenie zgłoszeń wewnętrznych. Natychmiastowy kontakt z bankiem i prośbę o zwrot środków zaleca FBI IC3 w komunikacie o oszustwach BEC. Szybka reakcja zwiększa szanse na odzyskanie pieniędzy, ale ich nie gwarantuje. Firma zawiadamia też policję albo prokuraturę.

Korespondencji z oszustem nie usuwasz. Jeśli atak zaczął się od przejęcia skrzynki, sama zmiana hasła może nie wystarczyć: IT dodatkowo unieważnia aktywne sesje, cofa zmiany metod MFA wprowadzone przez atakującego i usuwa utworzone przez niego reguły skrzynki pocztowej (tak zaleca Microsoft). Jeżeli w grę wchodzą dane osobowe, na przykład zestawienie wynagrodzeń trafiło do oszusta albo atakujący miał dostęp do skrzynki z danymi klientów, informujesz również IOD albo osobę, która w firmie odpowiada za ochronę danych. Czy naruszenie trzeba zgłosić do UODO (co do zasady w ciągu 72 godzin od jego stwierdzenia, art. 33 ust. 1 RODO), ocenia administrator, nie pojedynczy pracownik. Dlatego Twoje zgłoszenie nie może czekać. Kolejne kroki pierwszej godziny opisuje przewodnik po phishingu.

Jak firma może się bronić przed spear phishingiem i BEC

Annie wystarczyły znana procedura, numer z własnych kontaktów i szybka reakcja IT. Każdy z tych elementów firma musi przygotować wcześniej.

Procedura płatności, której nie obejdzie jeden mail

Przelew do nowego dostawcy przechodzi przez standardową akceptację, nawet jeśli pisze „prezes”. Zmianę numeru rachunku potwierdza się telefonicznie, na numer z umowy albo z systemu. Procedura to tarcza pracownika, nie biurokratyczne ograniczenie.

MFA i ochrona skrzynek

Przejęta skrzynka najbardziej uwiarygadnia oszustwo BEC, więc ochrona kont pocztowych jest częścią obrony. Docelowo wybieraj MFA odporne na phishing (klucz sprzętowy FIDO2/WebAuthn albo passkey) wszędzie, gdzie system je obsługuje, zaczynając od administratorów i osób z dostępem do finansów, głównej poczty i danych klientów. Tam, gdzie system takiej metody nie obsługuje, rozwiązaniem zastępczym jest aplikacja uwierzytelniająca. Więcej o MFA i jego ograniczeniach piszemy w przewodniku po phishingu.

Szkolenie, symulacje i kultura zgłaszania

Reakcję trzeba przećwiczyć, zanim „mail od prezesa” przyjdzie naprawdę. W naszym kursie spear phishing i BEC to lekcja 2.1 (ok. 22 minuty), przygotowanie ataku z publicznych źródeł to lekcja 1.2, a weryfikację zwrotu nadpłaty kursant ćwiczy w scenariuszu „Pomyłkowy przelew i prośba o zwrot”, w którym każda decyzja ma widoczne skutki.

W module dla kierownictwa omawiamy symulacje phishingu. Scenariusz uzgadnia się z HR i trzyma spraw służbowych: faktura, zmiana numeru rachunku, dostawca, zaproszenie na spotkanie, przesyłka. Równie ważna jest reakcja przełożonego na zgłoszenie. Konsekwencje wobec osoby, która świadomie lub uporczywie łamie zasady, tak. Nigdy za sam fakt zgłoszenia nieumyślnego błędu. Rozliczamy ukrywanie incydentu, nie jego zgłoszenie.

Ustawa o KSC wymienia edukację z zakresu cyberbezpieczeństwa dla personelu wśród środków systemu zarządzania bezpieczeństwem informacji podmiotów kluczowych i ważnych (art. 8 ust. 1 pkt 2 lit. i). Przepis ten nie dotyczy sektora bankowości i infrastruktury rynków finansowych (art. 8i ust. 1) ani podmiotów ważnych będących podmiotami publicznymi (art. 8 ust. 3). Te ostatnie szkolą osoby zaangażowane w przetwarzanie informacji według załącznika nr 4 (cz. I pkt 17). Wstępnie ocenisz, czy Twoja organizacja do nich należy, w bezpłatnym teście NIS2/KSC i we wpisie NIS2: kogo dotyczy. Test nie rozstrzyga statusu organizacji.

Zobacz szkolenie e-learningowe z cyberbezpieczeństwa dla firm albo wersję dla urzędów, z przykładami z administracji.

Nietypowa prośba o pieniądze zawsze czeka na potwierdzenie z własnego źródła. Tę jedną zasadę warto przećwiczyć z zespołem, zanim spróbuje ją obejść ktoś, kto zna nazwisko Waszego prezesa.