Phishing to oszustwo internetowe, w którym przestępca podszywa się pod bank, urząd, kuriera, firmę lub znajomego, aby wyłudzić dane logowania, informacje o karcie albo pieniądze. Najczęściej używa fałszywego e-maila, SMS-a, telefonu lub wiadomości w komunikatorze i wywołuje presję, strach albo ciekawość.
Czym jest phishing?
Nazwa phishing nawiązuje do angielskiego fishing, czyli łowienia ryb. „Przynętą” jest wiadomość, która wygląda wiarygodnie, lecz ma skłonić odbiorcę do konkretnego działania. Może to być kliknięcie w link, otwarcie załącznika, podanie hasła, numeru karty, numeru PESEL albo zatwierdzenie operacji w aplikacji bankowej.
Phishing wykorzystuje inżynierię społeczną, czyli manipulowanie zachowaniem człowieka zamiast przełamywania zabezpieczeń technicznych. Atakujący liczy na pośpiech, strach przed zablokowaniem konta, ciekawość lub zaufanie do znanej marki. Skutkiem może być przejęcie konta, kradzież pieniędzy, danych osobowych lub tożsamości.
Jak przebiega atak phishingowy?
Typowy atak składa się z kilku etapów:
- Przestępca wysyła wiadomość e-mail, SMS, komunikat w mediach społecznościowych albo kontaktuje się telefonicznie.
- Podszywa się pod zaufaną instytucję lub osobę i tworzy presję, na przykład informuje o zablokowanym koncie, niedopłacie do przesyłki albo podejrzanym logowaniu.
- Przekierowuje odbiorcę na fałszywą stronę, zachęca do otwarcia załącznika lub prosi o przekazanie danych w odpowiedzi.
- Ofiara wpisuje login, hasło, dane karty albo kody autoryzacyjne, często nieświadomie przekazując je oszustowi.
- Przestępca wykorzystuje pozyskane informacje do logowania, wykonania przelewu, wypłaty środków lub przejęcia kolejnych kont.
Fałszywa strona może wyglądać niemal identycznie jak witryna banku lub sklepu. Dlatego sam wygląd serwisu nie potwierdza jego autentyczności. Bank, urząd ani inna oficjalna instytucja nie powinny prosić w wiadomości o podanie hasła, kodu jednorazowego lub pełnych danych karty.
Rodzaje phishingu
Różne nazwy opisują przede wszystkim kanał komunikacji albo sposób dobrania celu:
| Typ | Kanał | Charakterystyka |
|---|---|---|
| Phishing | E-mail, strony internetowe | Masowe wiadomości kierowane do wielu przypadkowych odbiorców. |
| Spear phishing | E-mail, komunikatory | Spersonalizowany atak na konkretną osobę lub organizację, często poprzedzony zebraniem informacji o celu. |
| Smishing | SMS | Fałszywe wiadomości o przesyłce, płatności, koncie lub dopłacie. |
| Vishing | Telefon | Rozmówca podszywa się na przykład pod bank, urząd lub dział bezpieczeństwa. |
| Whaling | E-mail, telefon | Odmiana ukierunkowanego ataku wymierzona w kadrę zarządzającą i osoby podejmujące decyzje finansowe. |
Spear phishing jest trudniejszy do rozpoznania niż zwykła masowa kampania, ponieważ wiadomość może zawierać prawdziwe imię, nazwę firmy, stanowisko albo odniesienie do trwającego projektu. W przypadku wiadomości od znajomego również zachowaj ostrożność, bo jego konto mogło zostać przejęte.
Jak rozpoznać podejrzaną wiadomość?
Przed kliknięciem lub odpowiedzią sprawdź kilka elementów. Żaden pojedynczy sygnał nie przesądza jeszcze o oszustwie, ale ich połączenie powinno wzbudzić czujność:
- Błędy ortograficzne, gramatyczne, interpunkcyjne albo brak polskich znaków.
- Adres nadawcy różniący się od oficjalnego adresem domeny, literówką lub dodatkowym słowem.
- Presja czasu, na przykład żądanie dopłaty w ciągu 24 godzin albo natychmiastowego potwierdzenia danych.
- Link prowadzący do innej domeny niż ta, za którą podaje się nadawca.
- Skrócony adres, którego nie da się łatwo zweryfikować.
- Prośba o login, hasło, numer karty, kod SMS, kod BLIK lub numer PESEL.
- Załącznik, którego się nie spodziewasz, zwłaszcza archiwum lub plik zachęcający do włączenia makr.
- Nietypowa prośba od znajomego, na przykład o szybkie przesłanie pieniędzy lub kodu.
Nie klikaj odruchowo w link z wiadomości. Na komputerze możesz najechać kursorem na odnośnik bez otwierania go i sprawdzić wyświetlony adres. Bezpieczniejszym rozwiązaniem jest samodzielne wpisanie adresu banku lub użycie jego oficjalnej aplikacji. W razie wątpliwości skontaktuj się z instytucją przez numer telefonu z jej oficjalnej strony, a nie przez dane podane w podejrzanej wiadomości.
Jak się chronić i co zrobić po ataku?
Podstawą jest zasada ograniczonego zaufania. Nie odpowiadaj na podejrzane wiadomości, nie otwieraj nieoczekiwanych załączników i nie podawaj poufnych danych przez link otrzymany SMS-em lub e-mailem. Włącz MFA, czyli uwierzytelnianie wieloskładnikowe, wszędzie tam, gdzie jest dostępne. Utrudnia ono przejęcie konta, choć nie zastępuje ostrożności, zwłaszcza gdy oszust próbuje nakłonić Cię do zatwierdzenia własnej operacji.
Używaj różnych haseł w różnych serwisach, aktualizuj system i przeglądarkę oraz korzystaj z filtrowania spamu. Oprogramowanie zabezpieczające może ostrzec przed częścią fałszywych stron, ale nie wykryje każdego oszustwa.
Jeśli podejrzewasz phishing, wykonaj następujące czynności:
- Nie odpowiadaj na wiadomość i nie klikaj kolejnych linków.
- Oznacz e-mail jako spam lub wiadomość podejrzaną.
- Zgłoś incydent przez formularz CERT Polska dostępny pod adresem incydent.cert.pl.
- Jeśli podano dane bankowe, natychmiast skontaktuj się z bankiem jego oficjalnym kanałem i poproś o blokadę lub zabezpieczenie rachunku.
- Zmień hasła do zagrożonych kont, wyloguj nieznane urządzenia i sprawdź historię logowań.
- W przypadku utraty pieniędzy lub podejrzenia kradzieży tożsamości zawiadom Policję albo prokuraturę.
Jeśli wpisałeś dane na fałszywej stronie, nie czekaj na pojawienie się szkody. Szybki kontakt z bankiem może ograniczyć skutki, a zgłoszenie do CERT Polska pomaga przekazać informację o niebezpiecznej domenie i kampanii.
Artykuł ma charakter informacyjny i nie zastępuje indywidualnej porady specjalisty do spraw cyberbezpieczeństwa, banku ani organów ścigania.
