Phishing: co to jest i jak się przed nim chronić

Phishing to oszustwo, w którym przestępca podszywa się pod bank, kuriera, dostawcę usług albo kogoś z Twojej firmy. Cel jest zawsze ten sam: skłonić Cię do podania hasła, danych karty lub do uruchomienia złośliwego pliku. To wciąż jedna z najczęstszych dróg, którą atakujący wchodzą do firmowych sieci, bo łatwiej oszukać człowieka niż obejść zabezpieczenia techniczne.

Poniżej wyjaśniamy, jak działa phishing, jakie przybiera formy i jak się przed nim bronić.

Jak działa phishing

Atak zaczyna się od przynęty. Najczęściej jest to:

• e-mail udający wiadomość z banku, sklepu, firmy kurierskiej albo działu IT,
• SMS z alarmującym komunikatem o dopłacie, blokadzie konta lub „weryfikacji danych”,
• wiadomość w mediach społecznościowych lub komunikatorze z linkiem i prośbą o pilną reakcję.

Fałszywe wiadomości łączy kilka cech:

• podrobione logo i wygląd strony lub aplikacji, którą znasz,
• domena łudząco podobna do prawdziwej, np. „pk0bp.pl” zamiast „pkobp.pl”,
• presja czasu: „Twoje konto zostało zablokowane”, „Masz 10 minut na potwierdzenie danych”.

Kliknięcie prowadzi na spreparowaną stronę, która przechwytuje login i hasło, albo pobiera załącznik ze złośliwym kodem.

Odmiany phishingu

1. Phishing e-mailowy. Masowa wysyłka fałszywych wiadomości do tysięcy odbiorców w nadziei, że ktoś się nabierze.
2. Spear phishing. Atak szyty na miarę: wiadomość trafia do konkretnej osoby lub działu i odwołuje się do prawdziwych projektów, kontrahentów czy nazwisk.
3. BEC (Business Email Compromise). Oszust podszywa się pod prezesa, księgowość lub dostawcę i prosi o pilny przelew albo zmianę numeru konta na fakturze.
4. Smishing. Phishing przez SMS, np. „dopłata do przesyłki” albo „niezapłacony rachunek za prąd”.
5. Vishing. Wyłudzenie przez telefon, często przez rzekomego pracownika banku lub policji.
6. Pharming. Przekierowanie na fałszywą stronę mimo wpisania poprawnego adresu, np. przez zmodyfikowany plik hosts lub zatrute DNS.

Załączniki i linki, na które trzeba uważać

W kampaniach phishingowych najczęściej pojawiają się:

• dokumenty Office z makrami (DOCM, XLSM i starsze DOC, XLS), które po włączeniu makr uruchamiają złośliwy skrypt,
• PDF-y z linkiem do fałszywej strony logowania,
• pliki wykonywalne (.exe, .scr), które instalują malware lub ransomware,
• archiwa ZIP, RAR i obrazy ISO, w których przestępcy ukrywają złośliwy plik przed filtrami poczty,
• pliki HTML, które po otwarciu w przeglądarce wyświetlają kopię strony logowania,
• kody QR, które prowadzą do strony wyłudzającej dane i omijają skanowanie linków w poczcie.

Socjotechnika, czyli gra na emocjach

Phishing to przede wszystkim manipulacja. Atakujący celowo wywołują emocje, które wyłączają ostrożność:

• strach: „Twoje konto zostało zablokowane!”,
• pośpiech: „Masz 15 minut na reakcję!”,
• chciwość: „Wygrałeś nagrodę, odbierz ją teraz!”,
• posłuszeństwo wobec przełożonego: „Zrób ten przelew dziś, jestem na spotkaniu, nie dzwoń”.

Phishing a sztuczna inteligencja

Przestępcy coraz częściej używają AI do pisania wiadomości. Dzięki temu znikają literówki i niezręczne tłumaczenia, które kiedyś zdradzały oszustwo. Narzędzia AI pozwalają też:

• dopasować treść do ofiary na podstawie jej publicznych profili,
• naśladować styl pisania szefa lub współpracownika,
• podrobić głos w rozmowie telefonicznej.

Dlatego poprawna polszczyzna nie jest już dowodem, że wiadomość jest prawdziwa. Jeśli ktoś prosi o pieniądze, dane lub dostęp, potwierdź prośbę innym kanałem: zadzwoń na znany Ci numer albo zapytaj osobiście. Nie odpowiadaj na tę samą wiadomość i nie dzwoń na numer w niej podany.

Literówki w domenach (typosquatting)

Oszuści rejestrują adresy, które na pierwszy rzut oka wyglądają jak oryginał:

Wielkie „I” zamiast małego „l”, cyfra „1” zamiast litery „l”, „rn” udające „m”: w wielu czcionkach różnica jest prawie niewidoczna.

Jak chronić się przed phishingiem

1. Sprawdzaj nadawcę. Patrz na pełny adres e-mail, a nie tylko na wyświetlaną nazwę. Literówka w domenie to sygnał alarmowy.
2. Nie klikaj od razu. Najedź kursorem na link i zobacz, dokąd naprawdę prowadzi. Do banku czy sklepu wchodź, wpisując adres samodzielnie.
3. Uważaj na załączniki. Nie otwieraj plików od nieznanych nadawców i nie włączaj makr w dokumentach z poczty.
4. Pamiętaj, że bank nigdy nie prosi o hasło. Prawdziwe instytucje nie żądają hasła, kodu PIN ani kodów autoryzacyjnych w mailu, SMS-ie czy przez telefon.
5. Włącz uwierzytelnianie dwuskładnikowe (2FA). Nawet jeśli ktoś pozna Twoje hasło, bez drugiego składnika się nie zaloguje. Najlepiej działają klucze sprzętowe i aplikacje uwierzytelniające.
6. Sprawdź podejrzaną wiadomość, zanim zareagujesz. Narzędzie AntiBait w kilka sekund ocenia nagłówki, linki i treść maila. Instrukcję znajdziesz w artykule jak sprawdzić, czy mail to phishing.

W firmie sama czujność nie wystarczy. Pomaga filtrowanie poczty, które zatrzymuje phishing, zanim trafi do skrzynki (zobacz ochronę poczty e-mail), oraz regularne ćwiczenia z pracownikami. Kontrolowana symulacja phishingu dla firm pokazuje, kto klika i gdzie potrzebne jest szkolenie, zanim zrobi to prawdziwy przestępca.

Co zrobić, jeśli dałeś się nabrać

1. Zmień hasła, zaczynając od poczty i bankowości, a potem w serwisach, w których używałeś tego samego hasła.
2. Zadzwoń do banku, jeśli podałeś dane karty lub logowania. Bank może zablokować kartę i wstrzymać podejrzane transakcje.
3. W firmie natychmiast zgłoś incydent do działu IT lub zespołu bezpieczeństwa. Liczy się każda minuta, bo przestępca może już korzystać z Twojego konta.
4. Zgłoś oszustwo do CERT Polska przez formularz na incydent.cert.pl, a podejrzane SMS-y przekazuj bezpłatnie na numer 8080. Jeśli straciłeś pieniądze, złóż też zawiadomienie na policji.

Podsumowanie

Phishing działa, bo wykorzystuje pośpiech i zaufanie. Zatrzymaj się na chwilę, sprawdź nadawcę i link, a każdą nietypową prośbę potwierdź innym kanałem. To kilka sekund, które mogą uchronić Ciebie i Twoją firmę przed poważnymi stratami.