Phishing to metoda oszustwa polegająca na podszywaniu się przez cyberprzestępców pod zaufane instytucje (np. banki, urzędy, firmy kurierskie) lub osoby, aby wyłudzić poufne informacje

Poniższy opis ogranicza się do bezpiecznych przykładów i sygnałów ostrzegawczych. Nie publikujemy prawdziwych adresów stron wyłudzających dane i nie uczymy, jak taki atak przygotować. Chodzi o to, jak rozpoznać próbę oraz co zrobić inaczej, gdy tylko kliknąłeś, gdy wpisałeś hasło i gdy doszło do przelewu albo zdalnego dostępu.

---

Na czym polega phishing

Cel jest zwykle jeden z trzech: wykraść hasło, wyłudzić kod jednorazowy albo skłonić do przelewu i instalacji zdalnego dostępu. Narzędziem może być e-mail, SMS, wiadomość na Messengerze albo WhatsAppie, fałszywa strona logowania albo połączenie telefoniczne. Wiadomość często wygląda „prawie jak zawsze”. Różnica siedzi w adresie nadawcy, w domenie po kliknięciu i w tym, o co prosi.

CERT Polska w poradniku o rozpoznawaniu phishingu podkreśla m.in. presję czasu, nietypową prośbę o dane i konieczność sprawdzenia adresu strony niezależnie od wyglądu wiadomości. To nie są filozoficzne wskazówki: atak działa wtedy, gdy reagujesz szybciej, niż weryfikujesz kanał.

Bezpieczny przykład, nie prawdziwy atak: wyłudzenie może udawać bank i prowadzić na adres w rodzaju https://logowanie-banku.example albo użyć literówki w nazwie, na przykład paypa1.example zamiast prawdziwej domeny operatora płatności. To wymyślone przykłady edukacyjne – nie są prawdziwymi stronami i nie należy ich wyszukiwać jako „działających” atrap.

Po czym poznać próbę wyłudzenia

Żaden pojedynczy szczegół nie rozstrzyga sprawy z matematyczną pewnością, ale zestaw sygnałów jest dość stały. Im więcej ich występuje razem, tym mniej powodów, by iść za prośbą z wiadomości.

• Poczucie nagłego kryzysu. Konto, paczka, mandat, zwrot podatku „tylko teraz”. Prawdziwa instytucja rzadko wymaga natychmiastowej decyzji pod groźbą blokady w wiadomości, której się nie spodziewałeś.
• Prośba o poufne dane. Hasło, kod SMS, kod z aplikacji bankowej, dane karty albo zgoda na zdalny dostęp do komputera.
• Domena po przytrzymaniu linku. Adres, który po przytrzymaniu pokazuje domenę inną niż oficjalna domena instytucji, pod którą podszywa się nadawca.
• Nieznany nadawca w roli autorytetu. Ktoś podszywa się pod szefa albo „dział IT” i chce natychmiastowego przelewu, haseł albo instalacji narzędzia zdalnego.
• Plik, który ma wykonać się sam. Plik wykonywalny nazwany faktura.exe albo dokument wymagający włączenia makr.

ℹ️ Prawdziwy bank, urząd skarbowy czy operator nie poprosi Cię w SMS-ie o podanie hasła do konta na stronie spoza ich stałego adresu. Gdy masz wątpliwość, wejdź na serwis samodzielnie – wpisując adres, którego używasz na co dzień – albo zadzwoń na oficjalną infolinię z ich strony, nie z wiadomości.

Kontekst też ma znaczenie. Wiadomość o „zaległej fakturze” przychodząca na prywatną pocztę o północy wygląda inaczej niż codzienny newsletter sklepu, z którego regularnie korzystasz. Wiadomość od firmy kurierskiej, z której nie korzystasz, z prośbą o dopłatę kilkunastu złotych „za odprawę celną” to klasyczny szablon. Podobnie e-mail „z banku”, który prosi o zainstalowanie programu do zdalnego pulpitu, bo „specjalista musi zbadać przelew”.

Jak to bywa w praktyce, nie na slajdzie szkoleniowym

Wyobraź sobie trzy codzienne sytuacje. Pierwsza: na służbową pocztę spada wiadomość od „szefa”, który pisze z adresu zbliżonego do firmowego i prosi o pilny przelew albo o zakup kodów podarunkowych, bo „jest na spotkaniu i nie może się zalogować”. Zadzwoń znanym numerem albo zapytaj innym, wcześniej używanym kanałem.

Druga: kurier ma dopłatę 9,90 zł i link do „śledzenia przesyłki”. Strona wygląda jak operator, ale po przytrzymaniu odnośnika domena nie należy do firmy kurierskiej, której naprawdę używasz. Sama dopłata i pośpiech nie są jeszcze dowodem, ale razem z obcą domeną i prośbą o dane karty tworzą klasyczny szablon.

Trzecia: „faktura” przychodzi jako plik wykonywalny nazwany faktura.exe albo jako dokument, który od razu żąda włączenia makr. Prawdziwa faktura od znanego kontrahenta nie potrzebuje uprawnień do uruchamiania programów na Twoim komputerze. Nie otwieraj takiego pliku, żeby „sprawdzić, czy wygląda serio”.

Co zrobić, zależnie od tego, jak daleko zaszło

Reakcja nie powinna być taka sama po samym kliknięciu i po przelewie. Im szybciej oddzielisz te sytuacje, tym mniej szkód zwykle da się jeszcze ograniczyć.

Jeśli używasz tego samego hasła także w innych usługach, zmień je również tam – najpierw zabezpiecz pocztę, bo przez pocztę da się odzyskać dostęp do kolejnych kont.

Jak zgłosić próbę wyłudzenia w Polsce

Próbę wyłudzenia zgłoś operatorowi, bankowi – jeśli dotyczyła płatności – oraz zespołowi CSIRT. W Polsce służy do tego m.in. formularz CERT Polska na stronie incydent.cert.pl. Szczegółowy opis procedury jest w instrukcji zgłaszania incydentów CERT Polska. Przy podejrzanym SMS-ie CERT Polska i NASK wskazują też przekierowanie wiadomości bez zmian na bezpłatny numer 8080.

Zgłoszenie nie zastępuje telefonu na infolinię banku, gdy doszło do transakcji, ale pomaga usuwać kampanie i ostrzegać innych. Nie musisz publikować zrzutu całej wiadomości na forum ani wysyłać podejrzanego pliku znajomym „do oceny”.

Na pokrewny temat

Publiczne Wi-Fi: wygoda czy pułapka?

Fałszywe strony logowania działają w każdej sieci. Osobne ryzyko stwarza publiczne Wi-Fi – o tym piszemy w powiązanym tekście.

Czytaj artykuł

Wnioski

Phishing działa wtedy, gdy reagujesz szybciej, niż sprawdzasz nadawcę i adres strony. Najskuteczniejszą obroną nie jest zgadywanie, czy język wiadomości jest „zbyt ładny”, tylko nawyk: nie wpisywać haseł i kodów po linku z maila albo SMS-a oraz potwierdzać sprawę w oficjalnym kanale instytucji. W razie pomyłki liczy się czas i to, czy zdążyłeś tylko kliknąć, czy już oddałeś hasło, kod albo dostęp do komputera.

Najczęstsze pytania

Źródła