Phishing – co to jest i jak się przed nim bronić?

Phishing to oszustwo, w którym przestępca podszywa się pod kogoś, komu ufasz – bank, firmę kurierską, urząd, dostawcę prądu, sklep albo znajomego – żeby wyłudzić od Ciebie hasło, dane karty, kod BLIK albo pieniądze. Przychodzi e-mailem, SMS-em, przez telefon lub komunikator. Prawie zawsze zawiera link do fałszywej strony, która wygląda jak prawdziwa, i wywiera presję: „zapłać w ciągu 24 godzin”, „Twoje konto zostanie zablokowane”.

Nazwa pochodzi od angielskiego fishing – łowienie ryb. Oszust zarzuca przynętę do tysięcy osób i czeka, aż ktoś się złapie. Dobra wiadomość: większość takich wiadomości da się rozpoznać po kilku stałych sygnałach, a zgłoszenie zajmuje minutę.

• 📱8080bezpłatny numer CERT Polska do przekazywania podejrzanych SMS-ów
• 🌐incydent.cert.plformularz do zgłaszania fałszywych stron i e-maili
• 💳828 828 828wspólny numer do zastrzegania kart płatniczych

Jak działa phishing – krok po kroku

Każda kampania phishingowa wygląda podobnie:

1. Przynęta. Dostajesz wiadomość, która pasuje do codziennego życia: paczka, rachunek za prąd, zwrot podatku, mandat, blokada konta w banku.
2. Presja. Wiadomość straszy albo kusi: „ostatnie wezwanie”, „dopłata 1,99 zł”, „zwrot nadpłaty”. Chodzi o to, żebyś działał szybko i nie zdążył się zastanowić.
3. Fałszywa strona. Link prowadzi do strony łudząco podobnej do prawdziwej – z logo, kolorami i formularzem.
4. Kradzież. Wpisujesz login i hasło do banku, dane karty z kodem CVV, kod BLIK albo kod z SMS-a. Oszust od razu ich używa.

Oszuści często proszą o drobną kwotę, np. dopłatę kilku złotych. Nie chodzi im o te pieniądze, tylko o dane karty, które wpiszesz, żeby ją zapłacić.

Rodzaje phishingu

Phishing e-mailowy

Najstarsza odmiana. E-mail udaje wiadomość z banku, poczty, serwisu streamingowego, urzędu skarbowego czy firmy kurierskiej. Typowe przykłady (opisane ogólnie, bo konkretne treści ciągle się zmieniają):

• „Twoje konto zostało tymczasowo zablokowane. Zaloguj się, aby potwierdzić tożsamość”,
• „Płatność za subskrypcję nie powiodła się – zaktualizuj dane karty”,
• „Przysługuje Ci zwrot podatku – wypełnij formularz”,
• „W załączniku faktura / wezwanie do zapłaty” – załącznik zawiera złośliwe oprogramowanie.

Załączniki od nieznanych nadawców (zwłaszcza pliki ZIP, pliki wykonywalne i dokumenty proszące o „włączenie makr”) to częsty sposób na zainfekowanie komputera. Więcej o tym w artykule co to jest wirus komputerowy i jak działa.

Smishing – phishing przez SMS

Dziś najczęstsza odmiana w Polsce. SMS jest krótki, przychodzi na telefon, który mamy zawsze przy sobie, a link łatwo kliknąć bez zastanowienia. Wiadomości podszywają się pod InPost, Pocztę Polską, DPD, mObywatela, urząd skarbowy, operatorów parkingów czy dostawców energii. Szczegółowe przykłady z 2026 roku i instrukcję zgłaszania opisaliśmy w poradniku fałszywy SMS – jak rozpoznać.

Vishing – phishing przez telefon

Dzwoni „pracownik banku”, „konsultant działu bezpieczeństwa” albo „policjant”. Mówi, że ktoś próbuje ukraść Twoje pieniądze i trzeba je przelać na „bezpieczne konto”, zainstalować aplikację „do ochrony” albo podać kod. Na ekranie często widać prawdziwy numer banku – to tzw. spoofing, czyli podrobienie numeru. Jak to możliwe i jak się bronić, wyjaśniamy w artykule spoofing – co to jest.

Phishing w komunikatorach

Oszuści przejmują konto na Facebooku, Messengerze lub WhatsAppie i piszą do znajomych właściciela: „Pożyczysz 500 zł? Wyślij kod BLIK, oddam jutro”. Ten schemat jest tak popularny, że ma własną nazwę – opisaliśmy go w artykule oszustwo na BLIKA.

Fałszywe strony i sklepy

Część ofiar trafia na fałszywą stronę bez żadnej wiadomości – z reklamy w mediach społecznościowych albo z wyszukiwarki. Najczęściej spotykane:

Pod kogo podszywają się oszuści	Typowy pretekst	Czego chcą
Bank	„Nietypowe logowanie”, „aktualizacja danych klienta”	login, hasło, kod SMS, zatwierdzenie w aplikacji
Kurier, InPost, Poczta Polska	„Dopłata do przesyłki”, „paczka wraca do nadawcy”	dane karty z kodem CVV
OLX, Vinted, Allegro	„Kupujący zapłacił – odbierz pieniądze”	dane karty lub kod BLIK
Dostawca prądu lub gazu	„Zaległa płatność, odłączymy prąd” albo „nadpłata do zwrotu”	dane karty, logowanie do banku
Urząd skarbowy, mObywatel, CEPiK	„Zwrot podatku”, „nieopłacony mandat”	dane osobowe i dane karty
Sklep internetowy	towar w podejrzanie niskiej cenie	zapłata za towar, który nigdy nie dotrze
„Inwestycja” ze znaną twarzą	„zarób na akcjach / kryptowalutach”	wpłata, zdalny dostęp do komputera

Przy reklamach „inwestycji” sprawdź firmę na liście ostrzeżeń publicznych KNF. Jeśli „doradca” prosi o zainstalowanie programu do zdalnego pulpitu (np. AnyDesk czy TeamViewer), przerwij rozmowę.

Jak rozpoznać phishing – lista kontrolna

Zatrzymaj się, jeśli wiadomość lub rozmowa ma choć jedną z tych cech:

• Pośpiech i strach: „natychmiast”, „w ciągu 24 godzin”, „ostatnie wezwanie”, „konto zostanie zablokowane”.
• Link do zalogowania się albo zapłaty. Bank, urząd czy kurier może Cię o czymś powiadomić, ale do płatności i logowania zawsze możesz wejść samodzielnie – przez aplikację lub wpisując adres ręcznie.
• Dziwny adres strony – literówki, dodatkowe słowa i myślniki, nietypowa końcówka (np. .top, .xyz, .shop zamiast .pl).
• Prośba o dane, których nikt uczciwy nie potrzebuje: pełne dane karty z kodem CVV, PIN, hasło do banku, kod BLIK, kod z SMS-a autoryzującego.
• Drobna dopłata – 1,99 zł, 3,50 zł, 8 zł. Mała kwota uśpi czujność, a dane karty pozwolą ukraść znacznie więcej.
• Coś, czego się nie spodziewasz: paczka, której nie zamawiałeś, zwrot, o który nie prosiłeś, wygrana w konkursie, w którym nie brałeś udziału.
• Prośba o instalację aplikacji spoza Sklepu Google Play lub App Store albo aplikacji do zdalnego dostępu.
• Prośba o tajemnicę: „nie mów nic pracownikowi w oddziale”, „to tajna akcja policji”.
• Zwroty ogólne i błędy językowe – „Szanowny Kliencie”, dziwna składnia, brak polskich znaków. Uwaga: coraz więcej oszustw jest napisanych bezbłędnie, więc poprawna polszczyzna niczego nie dowodzi.

Jak sprawdzić adres strony

Fałszywe strony wyglądają jak prawdziwe – mają logo, kłódkę przy adresie i znajomy układ. Kłódka oznacza tylko, że połączenie jest szyfrowane, a nie że strona jest uczciwa. Liczy się adres.

1. Dotknij paska adresu, żeby zobaczyć cały adres.
2. Znajdź główną domenę – to część tuż przed pierwszym pojedynczym ukośnikiem /, razem z końcówką (np. .pl). W adresie bank.pl-logowanie.com/konto domeną jest pl-logowanie.com, a nie bank.
3. Porównaj ją z adresem, który znasz z karty, umowy albo z poprzednich wizyt. Wystarczy jedna litera różnicy (inpots, olx-dostawa, poczta-polska24), żeby to była inna strona.

Jeśli przeglądarka wyświetla ostrzeżenie o niebezpiecznej stronie lub o tym, że połączenie nie jest prywatne, nie wchodź dalej.

Jak zgłosić phishing

Zgłoszenie pomaga innym. CERT Polska (zespół działający w NASK) dopisuje zgłoszone fałszywe strony do Listy Ostrzeżeń, a operatorzy komórkowi blokują dostęp do nich – według informacji CERT Polska korzystają z niej m.in. Orange, Plus, Play i T-Mobile.

• SMS – przekaż całą wiadomość, bez wycinania linku, na bezpłatny numer 8080. Z jednego numeru możesz zgłosić najwyżej 3 wiadomości w ciągu 4 godzin. Za granicą płacisz według taryfy operatora (gov.pl).
• Fałszywa strona lub e-mail – formularz na incydent.cert.pl albo e-mail na adres cert@cert.pl.
• Aplikacja mObywatel – usługa Bezpiecznie w sieci pozwala zgłosić podejrzaną stronę.
• Wiadomość w Gmailu, Outlooku, WP czy Onecie – użyj też przycisku Zgłoś phishing lub Spam w skrzynce, żeby filtr lepiej działał.
• Gdy straciłeś pieniądze – bank i policja (zgłoszenie w najbliższej jednostce lub pod 112, jeśli oszustwo trwa).

Kliknąłem w link phishingowy – co teraz?

Nie panikuj, ale działaj od razu. To, co zrobić, zależy od tego, jak daleko zaszedłeś.

Tylko otworzyłem stronę, nic nie wpisałem

1. Zamknij kartę przeglądarki.
2. Nie pobieraj niczego, co strona proponuje.
3. Zgłoś wiadomość na 8080 lub incydent.cert.pl i ją usuń.

Samo wejście na stronę zwykle nie wystarcza do kradzieży pieniędzy, ale jeśli telefon zaczął zachowywać się dziwnie, przeczytaj, jak sprawdzić, czy nie masz szpiega w telefonie.

Wpisałem login i hasło (bank, poczta, Facebook)

1. Bank: natychmiast zadzwoń na infolinię – numer jest na odwrocie karty, w aplikacji i na stronie banku. Poproś o zablokowanie dostępu do bankowości i sprawdzenie ostatnich operacji.
2. Zmień hasło w prawdziwym serwisie (wejdź na niego samodzielnie). Jeśli to samo hasło było użyte gdzie indziej – zmień je wszędzie. Pomoże w tym menedżer haseł.
3. Włącz weryfikację dwuetapową – wtedy samo hasło nie wystarczy do zalogowania.
4. W ustawieniach konta wyloguj wszystkie inne urządzenia.

Podałem dane karty

1. Zastrzeż kartę – w aplikacji banku, na infolinii albo pod wspólnym numerem 828 828 828 (przekieruje Cię do Twojego banku).
2. Sprawdź historię operacji i zgłoś bankowi każdą, której nie zlecałeś.

Podałem dane osobowe (PESEL, numer dowodu)

1. Zastrzeż PESEL w aplikacji mObywatel lub na gov.pl – to utrudni wzięcie kredytu na Twoje dane.
2. Jeśli podałeś numer dowodu osobistego lub jego zdjęcie, zastrzeż dokument (w mObywatelu, w urzędzie lub w banku).

Zainstalowałem aplikację, o którą prosił oszust

1. Wyłącz internet (tryb samolotowy).
2. Z innego telefonu zadzwoń do banku.
3. Odinstaluj aplikację. Jeśli to program do zdalnego dostępu, oszust mógł widzieć Twój ekran i hasła – zmień je z innego, czystego urządzenia.

Straciłem pieniądze

1. Bank – od razu, telefonicznie. Poproś o zablokowanie konta i próbę zatrzymania przelewu.
2. Złóż w banku reklamację na piśmie z wyraźnym żądaniem zwrotu pieniędzy.
3. Zgłoś przestępstwo na policji. Zabierz zrzuty ekranu, treść wiadomości, numer konta lub telefonu oszusta i godziny operacji.
4. Jeśli bank odmówi zwrotu, możesz poprosić o pomoc Rzecznika Finansowego.

Jak chronić się na co dzień

• Korzystaj z aplikacji zamiast linków – status paczki sprawdzaj w aplikacji kuriera, rachunki w aplikacji banku lub dostawcy energii.
• Włącz weryfikację dwuetapową na poczcie, Facebooku i w innych ważnych serwisach.
• Używaj różnych haseł – najlepiej z menedżerem haseł, który przy okazji nie podpowie hasła na fałszywej stronie, bo nie rozpozna jej adresu.
• Zastrzeż PESEL – kosztuje chwilę, a blokuje wiele oszustw kredytowych.
• Aktualizuj telefon i komputer, a aplikacje instaluj tylko ze Sklepu Google Play i App Store.
• Czytaj komunikaty CERT Polska – na stronie moje.cert.pl publikowane są bieżące ostrzeżenia o nowych kampaniach.
• Rozmawiaj z bliskimi. Starsi rodzice i dziadkowie to częsty cel oszustów. Ustalcie prostą zasadę: „nie klikam w linki o płatnościach, najpierw dzwonię do ciebie albo do banku”.

Jeśli masz wątpliwości, czy wiadomość jest prawdziwa, nie musisz tego rozstrzygać sam. Zadzwoń do instytucji na numer, który znasz z karty, umowy lub oficjalnej strony – prawdziwy bank czy kurier spokojnie to potwierdzi.