Phishing: co to jest i jak rozpoznać oszustwo w sieci

Phishing to oszustwo, w którym przestępca podszywa się pod zaufaną firmę, instytucję lub osobę, aby wyłudzić dane logowania, dane karty albo pieniądze. Rozpoznasz go po presji czasu, prośbie o dane i linku prowadzącym na stronę, która tylko udaje prawdziwą. Skuteczną ochroną jest nieklikanie w linki z wiadomości i samodzielne wchodzenie na stronę banku lub sklepu.

Czym jest phishing?

Phishing to metoda oszustwa, której podstawą jest inżynieria społeczna, czyli manipulowanie ludźmi. Przestępca wysyła wiadomość, która wygląda jak komunikat od znanej marki, i nakłania odbiorcę do kliknięcia w link, podania danych lub zatwierdzenia płatności. Nazwa pochodzi od angielskiego słowa „fishing”, czyli łowienia ryb.

Skala problemu w Polsce jest duża. Według raportu CERT Polska za 2025 rok zespół zarejestrował 260 783 incydenty, a 97% z nich stanowiły oszustwa komputerowe, w tym phishing. W tym samym roku operatorzy zablokowali blisko 1,88 mln złośliwych SMS-ów. Oszuści wybierają przy tym różne kanały kontaktu.

Jakie są rodzaje phishingu?

Phishing przyjmuje kilka form, zależnie od kanału kontaktu:

Phishing e-mailowy: wiadomość podszywa się pod bank, sklep, platformę streamingową lub dostawcę poczty.
Smishing: fałszywy SMS, na przykład o dopłacie do przesyłki, zaległym rachunku lub mandacie.
Vishing: rozmowa telefoniczna, w której oszust udaje pracownika banku, policjanta lub konsultanta.
Fałszywe ogłoszenia i sklepy: link do rzekomej płatności za sprzedany przedmiot albo sklep z nierealnie niskimi cenami.
Podszywanie się pod znajomych: przejęte konto w komunikatorze prosi o pilny przelew lub kod BLIK.

Każda z tych form ma podobne sygnały ostrzegawcze.

Jak rozpoznać phishing?

Phishing rozpoznasz po kilku typowych sygnałach, które często pojawiają się jednocześnie:

Presja czasu: „Twoje konto zostanie zablokowane w ciągu 24 godzin” albo „przesyłka wróci do nadawcy”.
Prośba o dane: wiadomość każe zalogować się, podać dane karty, PESEL lub kod BLIK.
Nietypowy nadawca: adres e-mail z literówką lub z obcej domeny, nieznany numer telefonu.
Podejrzany link: adres strony różni się od oficjalnego, zawiera dodatkowe słowa lub dziwną końcówkę.
Mała kwota: prośba o dopłatę kilku złotych, która ma uśpić czujność.
Nieoczekiwany załącznik: faktura, wezwanie do zapłaty lub „dokument do podpisu”, na który nie czekasz.

Najważniejszym sygnałem jest adres strony, na którą prowadzi link.

Jak sprawdzić adres strony przed zalogowaniem?

Adres strony sprawdzisz, zanim cokolwiek wpiszesz:

Przytrzymaj palec na linku (na telefonie) lub najedź na niego kursorem (na komputerze) i przeczytaj pełny adres.
Porównaj domenę z oficjalną, czyli fragment tuż przed pierwszym ukośnikiem, na przykład bank.pl.
Nie ufaj samej kłódce przy adresie. Oznacza ona szyfrowane połączenie, a nie uczciwego właściciela strony. Jak ostrzega amerykańska Federalna Komisja Handlu, oszuści też szyfrują swoje strony.
W razie wątpliwości zamknij wiadomość i wpisz adres banku lub sklepu samodzielnie.

Jak chronić się przed phishingiem?

Ochrona przed phishingiem łączy dobre nawyki i proste zabezpieczenia:

Nie klikaj w linki z nieoczekiwanych wiadomości. Wejdź na stronę lub do aplikacji samodzielnie.
Włącz uwierzytelnianie wieloskładnikowe. Nawet wykradzione hasło nie wystarczy wtedy do zalogowania. Różnice między metodami wyjaśnia artykuł o tym, czym różnią się MFA i 2FA.
Używaj menedżera haseł. Menedżer podpowiada hasło tylko na domenie, dla której je zapisano, więc na fałszywej stronie niczego nie uzupełni. Więcej w poradniku jak stworzyć bezpieczne hasło.
Wybieraj klucze dostępu (passkeys), gdy serwis je oferuje. Według FIDO Alliance klucze dostępu są odporne na phishing, bo działają tylko z prawdziwą stroną.
Aktualizuj system, przeglądarkę i aplikacje. Aktualizacje łatają luki wykorzystywane przez złośliwe załączniki.

Mimo ostrożności każdemu może zdarzyć się kliknięcie w zły link.

Co zrobić, gdy klikniesz w link lub podasz dane?

Po podaniu danych na fałszywej stronie liczy się czas. Wykonaj te kroki od razu:

Jeśli podałeś dane bankowe lub karty, zadzwoń na infolinię banku i zablokuj kartę lub dostęp do konta.
Zmień hasło do konta, którego dotyczyła wiadomość, oraz do każdego serwisu z tym samym hasłem.
Wyloguj wszystkie aktywne sesje i włącz uwierzytelnianie wieloskładnikowe.
Jeśli podałeś PESEL lub zdjęcie dowodu, zastrzeż numer PESEL w aplikacji mObywatel.
Zgłoś oszustwo do CERT Polska, a w przypadku utraty pieniędzy także na policję.

Jak sprawdzić, czy Twoje dane trafiły do sieci, opisuje artykuł czy moje dane wyciekły.

Jak zgłosić phishing do CERT Polska?

Phishing zgłosisz do CERT Polska bezpłatnie. Podejrzany SMS przekaż w całości na numer 8080, korzystając z opcji „Przekaż”. Podejrzany e-mail lub fałszywą stronę zgłoś przez formularz incydent.cert.pl albo na adres cert@cert.pl. Zasady zgłaszania opisuje serwis gov.pl.

Zgłoszone domeny trafiają na Listę Ostrzeżeń CERT Polska, dzięki której operatorzy blokują dostęp do fałszywych stron. Krok po kroku, jak ocenić konkretną wiadomość, pokazuje poradnik dostałem podejrzany SMS lub e-mail.

Najczęstsze pytania o phishing

Czy samo otwarcie wiadomości phishingowej jest niebezpieczne?

Samo otwarcie SMS-a lub e-maila zwykle nie wystarcza do przejęcia konta. Ryzyko pojawia się po kliknięciu w link, otwarciu załącznika lub podaniu danych. Aktualny system i przeglądarka dodatkowo ograniczają to ryzyko.

Czy kłódka przy adresie oznacza, że strona jest bezpieczna?

Nie. Kłódka oznacza tylko, że połączenie ze stroną jest szyfrowane. Fałszywa strona również może mieć kłódkę, dlatego zawsze sprawdzaj domenę.

Czy bank może poprosić o hasło lub kod BLIK w wiadomości?

Nie. Bank nie prosi o hasło, kod BLIK ani pełne dane karty w SMS-ie, e-mailu czy rozmowie telefonicznej. Taka prośba to sygnał oszustwa.

Czym różni się phishing od smishingu?

Smishing to odmiana phishingu prowadzona przez SMS. Mechanizm jest ten sam: wiadomość z linkiem do fałszywej strony, tylko kanałem jest telefon, a nie poczta e-mail.

Phishing – co to jest, jak go rozpoznać i jak się przed nim chronić?