Co to jest phishing? Jak rozpoznać oszustwo i co zrobić, gdy podałeś dane

Phishing to jedna z najczęstszych form oszustw w internecie. Ministerstwo Cyfryzacji opisuje go jako podszywanie się pod wiarygodne instytucje lub osoby w e-mailach, SMS-⁠ach i rozmowach telefonicznych, żeby wyłudzić dane albo pieniądze. CERT Polska dodaje, że oszust nie łamie zabezpieczeń telefonu ani komputera, tylko przekonuje człowieka, żeby sam wpisał hasło, przepisał kod albo zrobił przelew. Odmiany mają własne nazwy, smishing (SMS), vishing (telefon) i quishing (kod QR), ale schemat jest zawsze ten sam.

Phishing w Polsce w liczbach

Według CERT Polska większość wejść na strony phishingowe następuje w ciągu 15 minut od otrzymania wiadomości. Link nie musi jednak przyjść SMS-⁠em czy e-mailem: na fałszywą stronę prowadzą też reklamy w mediach społecznościowych ze znanymi twarzami, płatne wyniki wyszukiwania udające infolinię banku albo kod QR naklejony na parkomacie.

Najczęstsze scenariusze

• Zwrot podatku: e-mail w imieniu Ministerstwa Finansów o zwrocie „oczekującym na zatwierdzenie” prowadzi do strony, która wyłudza login do bankowości i dane karty.
• Paczka: wiadomość o problemie z doręczeniem, najczęściej w imieniu InPost lub Poczty Polskiej, albo prośba o niewielką opłatę za odprawę celną.
• Sprawy urzędowe: powiadomienie o „sesji na nieznanym urządzeniu” w serwisie gov.pl ma skłonić do telefonu, a rozmówca namawia potem do instalacji programu do zdalnego dostępu, przez który wykonuje przelewy z konta ofiary.
• Rachunki i mandaty: rzekoma korekta rachunku za energię, podwójnie opłacona faktura u operatora albo mandat, zawsze z linkiem do formularza z danymi karty.
• Sprzedaż na OLX czy Vinted: „kupujący” twierdzi, że już zapłacił, i przysyła link do odebrania pieniędzy. Kodem BLIK nie da się odebrać przelewu: kto o niego prosi, chce nim zapłacić Twoimi pieniędzmi.
• Fałszywe inwestycje: reklama z wizerunkiem znanej osoby albo firm takich jak Orlen, Lotos czy PGE obiecuje wysokie zyski.

Sygnały ostrzegawcze

• Presja czasu: konto zostanie zablokowane, paczka wróci do nadawcy, oferta wygaśnie za godzinę.
• Drobna kwota do dopłaty. CERT Polska przypomina, że kilka złotych usypia czujność, a prawdziwym celem są dane wpisane przy okazji.
• Prośba o PIN, login, hasło lub dane osobowe. Przedstawiciele banku nigdy nie poproszą o PIN, a instytucje nie proszą o dane logowania poza oficjalną stroną lub aplikacją.
• Nieoczekiwany załącznik, zwłaszcza z rozszerzeniem .exe, .js, .iso, .img, .htm lub .html.
• Adres e-mail, numer lub link, który nie pasuje do firmy, za którą podaje się nadawca.

Brak tych sygnałów niczego nie dowodzi. Wiadomości bywają dziś napisane bez błędów, a pole nadawcy SMS-⁠a i e-maila da się sfałszować. Według CERT Polska jedyną informacją, której oszust nie podrobi, jest domena widoczna w pasku adresu przeglądarki. Prośbę o pieniądze lub dane potwierdzaj więc innym kanałem niż ten, którym przyszła.

Jak przeczytać adres strony

1. Znajdź pierwszy ukośnik po „https://”. Wszystko przed nim to nazwa hosta.
2. Czytaj ją od prawej do lewej. Ostatni człon to rozszerzenie (np. .pl, .com, .cfd), a razem z etykietą tuż przed nim tworzy domenę główną. Wszystko po lewej to subdomeny, które nie świadczą o przynależności do marki.
3. Uważaj na znaki udające ukośnik lub literę. W przykładzie CERT Polska adres zaczynający się od „allegrolokalnie.pl-oferta” prowadził w rzeczywistości do domeny w rozszerzeniu .cfd.
4. Jeśli menedżer haseł nagle nie podpowiada hasła na stronie, na której zawsze to robił, potraktuj to jako ostrzeżenie: menedżer przypisuje hasło do konkretnej domeny.

Kliknąłeś lub podałeś dane? Co zrobić od razu

Samo kliknięcie w link zwykle nie jest groźne, wyjaśnia CERT Polska. Problem zaczyna się, gdy na stronie coś wpiszesz, przepiszesz kod, zatwierdzisz operację albo zainstalujesz aplikację. Wtedy liczy się czas.

1. Podałeś dane karty lub logowania do banku? Natychmiast skontaktuj się z bankiem i poproś o zablokowanie karty lub dostępu do bankowości.
2. Zmień hasło w serwisie, którego dotyczyło oszustwo, i wszędzie tam, gdzie używałeś tego samego hasła.
3. Wyloguj wszystkie aktywne sesje, włącz uwierzytelnianie dwuskładnikowe i sprawdź, czy do konta nie podpięto nieznanych aplikacji lub urządzeń.
4. Przekazałeś dane dowodu osobistego? Zastrzeż numer PESEL w aplikacji mObywatel, w serwisie mobywatel.gov.pl lub w urzędzie gminy.
5. Straciłeś pieniądze? Złóż zawiadomienie na policji lub w prokuraturze. Możesz to zrobić w każdej jednostce Policji; zabierz adres strony, kopię korespondencji i numer konta, na które trafiły pieniądze.
6. Oszust przejął Twoje konto w mediach społecznościowych? Ostrzeż znajomych, bo przejęte konta służą przede wszystkim do wyłudzania pieniędzy od znajomych.

Gdzie zgłosić phishing w Polsce

• Formularz CERT Polska na incydent.cert.pl, a stronę wyłudzającą dane bezpośrednio na incydent.cert.pl/phishing.
• Podejrzany SMS przekaż na numer 8080. Wysłanie jest bezpłatne (w roamingu według cennika operatora), a numer przyjmuje wyłącznie SMS-⁠y.
• Aplikacja mObywatel, usługa Bezpiecznie w sieci (wersja 4.39 lub nowsza), z kategoriami: Złośliwa strona internetowa, Podejrzana wiadomość SMS, Podejrzana wiadomość e-mail, Oszustwo i Inne.
• Podejrzany e-mail, który przypomina wiadomości od Apple, przekaż na adres reportphishing@apple.com.

Zgłoszenia mają realny skutek. Domeny z Listy Ostrzeżeń blokują operatorzy telekomunikacyjni, a w 2025 roku lista pozwoliła zablokować ok. 141,1 mln wejść na niebezpieczne strony.

Czy antywirus chroni przed phishingiem?

Częściowo. CERT Polska podkreśla, że przed phishingiem najtrudniej obronić się samym oprogramowaniem, bo celem jest człowiek. Najskuteczniejszą ochroną są dziś klucze dostępu (passkeys) i sprzętowe klucze FIDO2, kryptograficznie powiązane z konkretną witryną: fałszywa strona nie ma jak ich wyłudzić, nawet jeśli wygląda idealnie. Ostrzeżenia przeglądarki i pakietu bezpieczeństwa przed znanymi fałszywymi stronami są przydatną siatką bezpieczeństwa, ale nie zastąpią nawyku czytania domeny.

Zanim wpiszesz hasło, kod albo dane karty, spójrz na domenę w pasku adresu. A prośbę o pieniądze zawsze potwierdź innym kanałem.