Phishing: co to jest, jak go rozpoznać i co zrobić po kliknięciu w link

Phishing to najczęstszy sposób, w jaki przestępcy dostają się do cudzych kont i pieniędzy. Nie wymaga włamywania się do systemów ani pisania wirusów. Wystarczy wiadomość, która wygląda wiarygodnie, i strona łudząco podobna do prawdziwej. Według raportu rocznego CERT Polska w 2025 roku zespół obsłużył 78 391 incydentów phishingowych, co stanowiło 30% wszystkich zarejestrowanych zdarzeń. Wszystkie oszustwa komputerowe razem to już 253 238 przypadków i 97% całej pracy zespołu. W tym tekście wyjaśniamy, czym jest phishing, jakie przybiera formy, jak go rozpoznać i co zrobić, jeśli już kliknąłeś w podejrzany link.

Czym jest phishing

Phishing to oszustwo polegające na podszywaniu się pod zaufaną instytucję lub osobę, żeby skłonić ofiarę do podania danych logowania, numeru karty, kodu BLIK albo do zainstalowania złośliwej aplikacji. Nazwa pochodzi od angielskiego „fishing”, czyli łowienia: przestępca zarzuca przynętę na tysiące osób i czeka, aż ktoś się złapie.

Schemat jest prawie zawsze ten sam. Najpierw przychodzi wiadomość, która wywołuje emocję: strach, pośpiech albo nadzieję na zysk. Potem link prowadzi na fałszywą stronę, która wygląda jak bank, sklep, kurier czy urząd. Na końcu ofiara sama wpisuje swoje dane, a przestępca przejmuje konto lub pieniądze. Słabym punktem nie jest tu technologia, tylko ludzka reakcja na presję.

Najpopularniejsze odmiany phishingu

Phishing dawno przestał ograniczać się do e-maili. Dziś działa w każdym kanale, w którym da się wysłać wiadomość.

• Phishing e-mailowy. Klasyczna forma: wiadomość „z banku”, „od dostawcy poczty” albo „z urzędu skarbowego” z linkiem do logowania lub załącznikiem.
• Smishing, czyli phishing przez SMS. Krótka wiadomość o niedopłacie za przesyłkę, zaległym rachunku za prąd albo blokadzie konta. CERT Polska w 2025 roku przyjął 295 169 zgłoszeń podejrzanych SMS-ów.
• Vishing, czyli phishing głosowy. Telefon od rzekomego pracownika banku lub policji, który namawia do przelania pieniędzy na „bezpieczne konto” albo zainstalowania aplikacji do zdalnej pomocy.
• Phishing w ogłoszeniach. Oszust udaje kupującego na portalu z ogłoszeniami i wysyła link, pod którym rzekomo trzeba „odebrać płatność”. To jeden z najczęstszych scenariuszy w Polsce.
• Quishing, czyli phishing przez kod QR. Fałszywy kod naklejony na parkomacie lub wysłany w e-mailu prowadzi na podrobioną stronę płatności.
• Spear phishing. Atak przygotowany pod konkretną osobę lub firmę, z prawdziwymi nazwiskami, nazwami projektów i stylem pisania szefa lub kontrahenta.

Pod kogo najczęściej podszywają się oszuści

Przestępcy wybierają marki, z którymi mamy kontakt na co dzień, bo wtedy wiadomość nie budzi zdziwienia. W statystykach CERT Polska za 2025 rok na czele są serwisy sprzedażowe: wizerunek OLX wykorzystano w 28 462 zgłoszonych zdarzeniach, a Allegro w 22 513. Dużą grupę stanowią kampanie wymierzone w skrzynki pocztowe i konta w mediach społecznościowych.

Stałym motywem są też instytucje publiczne. Raport opisuje fałszywe wiadomości o zwrocie podatku z e-Urzędu Skarbowego, podróbki stron gov.pl, kampanie podszywające się pod system e-TOLL i e-Doręczenia. Do tego dochodzą firmy kurierskie, operatorzy energii, banki i serwisy streamingowe. Zasada jest prosta: im popularniejsza usługa, tym częściej ktoś ją udaje.

Jak rozpoznać phishing

Wiadomości phishingowe są coraz lepiej napisane. Narzędzia AI usunęły dawne błędy językowe, więc nie można już polegać na tym, że oszustwo zdradzi kulawa polszczyzna. Lepiej patrzeć na sygnały, których przestępca nie jest w stanie łatwo ukryć.

• Presja czasu. „Twoje konto zostanie zablokowane w ciągu 24 godzin”, „dopłać 2 zł, inaczej paczka wróci do nadawcy”. Prawdziwe instytucje rzadko stawiają takie ultimatum.
• Adres strony. Najważniejszy jest fragment tuż przed pierwszym pojedynczym ukośnikiem. Adres w rodzaju allegro.pl-platnosc.top nie należy do Allegro, tylko do domeny pl-platnosc.top. Kłódka w przeglądarce oznacza jedynie szyfrowane połączenie, a nie uczciwość właściciela strony.
• Nadawca. Nazwa wyświetlana w e-mailu może być dowolna. Liczy się rzeczywisty adres po znaku @, choć i on bywa podrobiony, więc to sygnał pomocniczy, a nie dowód.
• Prośba o dane, których instytucja nie potrzebuje. Bank nie prosi o pełne hasło, kod BLIK do „weryfikacji” ani o instalację aplikacji do zdalnego pulpitu.
• Nietypowy kanał. Kupujący z ogłoszenia, który zamiast zapłacić przez serwis, wysyła link w komunikatorze, to niemal zawsze oszust.
• Za dobra oferta. Wygrana w konkursie, w którym nie brałeś udziału, inwestycja z gwarantowanym zyskiem albo praca zdalna z wysoką pensją za kilka kliknięć dziennie.

Jeśli masz wątpliwość, nie klikaj w link z wiadomości. Wejdź na stronę usługi, wpisując adres samodzielnie, albo otwórz oficjalną aplikację. Prawdziwe powiadomienie znajdziesz tam również. Podejrzany SMS możesz przesłać bezpłatnie na numer 8080, a stronę zgłosić przez formularz CERT Polska lub usługę „Bezpiecznie w sieci” w aplikacji mObywatel.

Dlaczego samo hasło nie wystarcza

Phishing działa, bo hasło to sekret, który użytkownik może przepisać w niewłaściwe miejsce. Dlatego najskuteczniejsza obrona to rozwiązania, które nie pozwalają na pomyłkę.

Pierwszym krokiem jest menedżer haseł. Poza tym, że generuje unikalne hasła, podpowiada je wyłącznie na domenie, dla której zostały zapisane. Jeśli menedżer nie proponuje loginu na stronie, która wygląda jak Twój bank, to bardzo mocny sygnał, że to nie jest Twój bank.

Drugim krokiem jest weryfikacja dwuetapowa. Kod z aplikacji lub SMS-a utrudnia przejęcie konta, choć zaawansowane fałszywe strony potrafią przechwycić także jednorazowy kod w czasie rzeczywistym. Najlepszą ochronę daje passkey, czyli logowanie bez hasła. Klucz dostępu jest powiązany z prawdziwą domeną serwisu i przeglądarka po prostu nie użyje go na podróbce, nawet idealnie skopiowanej.

Trzecim elementem są aktualizacje. Część kampanii nie kończy się na wyłudzeniu hasła, tylko namawia do instalacji złośliwej aplikacji. Aktualny system i przeglądarka z włączoną ochroną przed niebezpiecznymi stronami blokują wiele takich prób. To jeden z powodów, dla których warto pilnować, jak długo smartfon dostaje aktualizacje.

Co zrobić, gdy kliknąłeś w link lub podałeś dane

Liczy się czas. Im szybciej zareagujesz, tym większa szansa, że przestępca nie zdąży wykorzystać danych.

• Podałeś dane do banku lub kod BLIK: natychmiast zadzwoń na infolinię banku (numer z karty lub oficjalnej strony) i zablokuj dostęp do bankowości oraz karty. Zrób to od razu, nie po sprawdzeniu historii konta.
• Podałeś hasło do poczty lub serwisu: zmień hasło z innego, zaufanego urządzenia, wyloguj wszystkie sesje i włącz weryfikację dwuetapową. Zmień hasło także wszędzie tam, gdzie było takie samo.
• Zainstalowałeś aplikację z linku: odłącz telefon od internetu, usuń aplikację, a przy wątpliwościach przywróć ustawienia fabryczne. Bankowości nie używaj na tym urządzeniu, dopóki nie masz pewności, że jest czyste.
• Podałeś numer PESEL lub zdjęcie dowodu: zastrzeż PESEL w aplikacji mObywatel lub na stronie gov.pl. Utrudni to zaciągnięcie kredytu na Twoje dane.
• Straciłeś pieniądze: zgłoś sprawę na policję i do banku, zachowaj zrzuty ekranu wiadomości i adres strony.
• W każdym przypadku: zgłoś incydent do CERT Polska. Dzięki temu fałszywa domena szybciej trafi na Listę Ostrzeżeń i zostanie zablokowana dla innych.

Jak CERT Polska blokuje fałszywe strony

Zgłoszenia od użytkowników mają realne znaczenie. CERT Polska prowadzi Listę Ostrzeżeń, czyli rejestr niebezpiecznych domen, które operatorzy telekomunikacyjni blokują swoim klientom. Według raportu poprawnie wdrożona lista pozwala zablokować nową fałszywą stronę w ciągu około 5 minut od jej dodania. Pod koniec 2025 roku łączna liczba domen wpisanych na listę od początku jej istnienia przekroczyła 500 tysięcy, a dziennie trafia na nią blisko 700 nowych adresów.

Widać też efekt blokowania SMS-ów na poziomie operatorów. W 2025 roku liczba wiadomości uznanych za złośliwe spadła do 81 395, wobec 140 659 rok wcześniej. Przestępcy nie odpuszczają jednak, tylko przenoszą się do innych kanałów: komunikatorów, ogłoszeń, reklam w mediach społecznościowych i e-maili.

Lista kontrolna: ochrona przed phishingiem

• Nie klikaj w linki z SMS-ów i e-maili o płatnościach, przesyłkach i blokadach konta. Wchodź na strony sam lub przez aplikację.
• Przed wpisaniem hasła sprawdź pełny adres strony, a szczególnie domenę przed pierwszym ukośnikiem.
• Używaj menedżera haseł i traktuj brak podpowiedzi loginu jako ostrzeżenie.
• Włącz weryfikację dwuetapową na poczcie, w banku i mediach społecznościowych.
• Tam, gdzie to możliwe, przejdź na passkey zamiast hasła.
• Nigdy nie podawaj kodu BLIK ani danych karty, żeby „odebrać płatność” z ogłoszenia.
• Nie instaluj aplikacji do zdalnego pulpitu na prośbę osoby, która do Ciebie zadzwoniła.
• Aktualizuj system, przeglądarkę i aplikacje, zwłaszcza bankowe.
• Zastrzeż PESEL w mObywatelu i odblokowuj go tylko na czas zaciągania zobowiązania.
• Podejrzane SMS-y przesyłaj na 8080, a fałszywe strony zgłaszaj do CERT Polska.
• Porozmawiaj o tych zasadach z rodzicami i dziećmi. To oni najczęściej padają ofiarą prostych scenariuszy.

Phishing nie zniknie, bo opiera się na ludzkich odruchach, a nie na lukach w oprogramowaniu. Da się jednak sprawić, że przestanie być skuteczny: wystarczy nawyk sprawdzania adresu, menedżer haseł i logowanie, którego nie da się przepisać na fałszywą stronę. Te trzy elementy zamykają drogę większości kampanii, które dziś krążą po polskim internecie.

Źródła

1. CERT Polska: Raport roczny 2025. Krajobraz bezpieczeństwa polskiego internetu
2. CERT Polska: zgłoszenie incydentu
3. CERT Polska: Jak rozpoznać fałszywe strony internetowe i uniknąć phishingu
4. Gov.pl: Zastrzeż numer PESEL

Redakcja HotaruMiłośnicy nowych technologii

Redakcję Hotaru.pl tworzą doświadczeni copywriterzy, redaktorzy, specjaliści IT oraz pasjonaci nowych technologii. Łączy nas ciekawość świata, zamiłowanie do komputerów, elektroniki i oprogramowania, a także przekonanie, że nawet najbardziej złożone zagadnienia można wyjaśnić prostym i zrozumiałym językiem. Na bieżąco śledzimy rozwój sztucznej inteligencji, modeli LLM, sprzętu komputerowego oraz cyfrowych usług. Testujemy narzędzia, sprawdzamy informacje i oddzielamy rzeczywiste możliwości technologii od marketingowych obietnic. Każdy temat analizujemy z punktu widzenia specjalisty i użytkownika. Chcemy tworzyć treści rzetelne, praktyczne i przydatne, które pomagają lepiej rozumieć cyfrowy świat, podejmować świadome decyzje i wykorzystywać technologię w codziennym życiu.