Phishing: jak rozpoznać oszustwo w SMS-ie, mailu i telefonie i gdzie je zgłosić

👁 121 przeczytań

Phishing to podszywanie się pod zaufanego nadawcę, żeby skłonić cię do podania danych, zalogowania się na fałszywej stronie albo zatwierdzenia przelewu. Bank, kurier, urząd, szef, dziecko w potrzebie - nazwa nadawcy jest tu kostiumem. W 2026 roku wiadomości są bez literówek, a głos szefa da się podrobić, więc wygląd maila niczego już nie rozstrzyga. Zamiast oceniać styl, sprawdzam, czy ta sama sprawa istnieje w aplikacji albo pod numerem, który znam bez tej wiadomości. Na tej stronie zbieram, jak to robię i gdzie zgłaszać.

Skala w liczbach

CERT Polska w raporcie za 2025 rok podaje 658 320 zgłoszeń i 260 783 incydenty, czyli o 152 procent więcej niż rok wcześniej. 97 procent incydentów to oszustwa komputerowe. Na Listę Ostrzeżeń, którą operatorzy blokują w swoich sieciach, trafiło w 2025 roku blisko 250 tysięcy domen, a od startu listy w 2020 roku ponad pół miliona. Operatorzy razem z CERT zablokowali ponad 140 milionów prób wejścia na takie strony.

W USA FBI w raporcie IC3 za 2025 rok liczy 1 008 597 skarg i 20,9 mld dolarów strat. Phishing i spoofing to najczęstsza kategoria: 191 561 skarg. Najdroższe jest jednak przejęcie korespondencji firmowej (BEC), czyli podmiana rachunku albo „pilny przelew od prezesa”: 24 768 skarg i ponad 3 mld dolarów strat. Ponad 22 tysiące skarg wprost wspominało o AI.

Sześć schematów, które widzę najczęściej

• Dopłata do paczki, faktura za prąd, mandat. SMS z linkiem do bramki płatności na kilka złotych. Celem są dane karty albo login do banku, nie te kilka złotych.
• Zmiana numeru rachunku. Mail „od kontrahenta”, że od tej faktury płacisz na nowe konto. W firmach to najdroższy wariant.
• Głos albo wideo przełożonego. W 2024 roku pracownik firmy Arup w Hongkongu przelał 200 mln HKD (ok. 25 mln dolarów) po wideokonferencji, na której wszyscy poza nim byli podrobieni.
• Kod QR na parkometrze, stoliku albo w mailu. Prowadzi na stronę, której adresu nie widzisz przed zeskanowaniem.
• „Wykorzystaj okazję po ataku”. Po każdym głośnym incydencie przychodzą maile o „weryfikacji konta”. Tak było po ataku na ePUAP.
• Fałszywe inwestycje z deepfake’ami znanych osób w reklamach na Facebooku i YouTube.

Jak się chronić: sygnał i reakcja

Ważna różnica: zgłoszenie do CERT Polska blokuje stronę dla innych, ale nie cofnie twojego przelewu. Pieniądze ratuje tylko szybki telefon do banku.

Gdzie zgłaszać

• SMS - przekaż oryginalną wiadomość na numer 8080. Nie wysyłaj zrzutu ekranu jako MMS.
• Mail i strona - formularz na incydent.cert.pl. Przy mailu najlepiej oryginał z nagłówkami (plik EML), nie zrzut ekranu.
• Oszustwo z utratą pieniędzy - bank, a potem policja. Zgłoszenie na policję przyda się w sporze z bankiem.
• Reklama z deepfake’iem - zgłoszenie w serwisie, który ją wyświetla. Instrukcje opisuję w hubie o deepfake’ach.

Teksty o phishingu i oszustwach

01Fałszywy SMS albo mail o ePUAP. Jak rozpoznać oszustwo po atakuGłośna awaria państwowego systemu to zawsze sygnał dla oszustów. Po czym poznać fałszywą wiadomość o ePUAP i profilu zaufanym, dokąd ją zgłosić i co zrobić w pierwszych minutach, jeśli już podałeś dane.Czytaj →02Fałszywy alert RCB: jak odróżnić prawdziwy SMS od oszustwaPrawdziwy alert RCB ma nadawcę ALERT RCB, nie ma polskich liter i nie prosi o dane. Porównuję go z SMS-em oszusta i piszę, co zrobić po kliknięciu.Czytaj →03Oszuści sklonowali głos córki i upozorowali porwanie. Matka wysłała 5400 dolarówTrzy sekundy nagrania wystarczą, by zbudować przekonujący klon głosu. W Kalifornii matka przez pięć godzin wierzyła, że jej córka jest w rękach kartelu - i wysłała pieniądze do Meksyku.Czytaj →04Policja z Florydy: oszuści sklonowali głos szeryfa i dzwonili do mieszkańcówOszuści mieli sklonować głos szeryfa z Florydy i podszywać się pod niego w wiadomości głosowej. Scam z wezwaniami do sądu i rzekomymi nakazami aresztowania rozlewa się na kolejne stany.Czytaj →05Deepfake Brzoski znów na Facebooku. Policzyłem, ile kosztuje jedna taka reklama i ile zarabia na niej MetaRafał Brzoska zgłosił Metę do Komisji Europejskiej, a kolejne fałszywe reklamy z jego twarzą - tym razem o rzekomym zamachu na jego życie - nadal się pokazują. Zestawiłem stawki z cennika reklamowego Mety na polski rynek z danymi policyjnymi o stratach ofiar i wyszło, że oszust wydaje kilkadziesiąt złotych, żeby zarobić kilkadziesiąt tysięcy. Sprawdziłem też, co dokładnie mówi artykuł 26 i 39 DSA o weryfikacji reklamodawców.Czytaj →06200 stron phishingowych w siedem dni: policzyłem, ile realnie kosztuje rodzica kradzież RobuxówNordVPN znalazł w ciągu tygodnia blisko 200 adresów sprzedających gotowe zestawy do podrabiania strony logowania Roblox. Przeliczyłem największy pakiet Robuxów na złotówki, wyliczyłem koszt jednej jednostki waluty i sprawdziłem, ile naprawdę może wyparować z konta dziesięciolatka. Wyszło więcej, niż sugeruje słowo "wirtualne".Czytaj →07Scam jest najlepiej zoptymalizowanym performance marketingiem w Polsce. Płacisz za niego w swoim CPMMeta nie usuwa reklamodawcy, któremu przypisała 94 proc. prawdopodobieństwa oszustwa - każe mu licytować drożej. Podniesiona stawka nie znika w powietrzu, tylko wchodzi do aukcji, w której licytujesz też ty.Czytaj →

Najczęstsze pytania

Czy wiadomość bez błędów językowych jest bezpieczna?

Nie. Oszuści piszą dziś przy pomocy modeli językowych, więc poprawna polszczyzna niczego nie dowodzi. Liczy się to, czy sprawę potwierdzisz innym kanałem niż ten, którym przyszła wiadomość.

Kliknąłem link, ale nic nie wpisałem. Co teraz?

Zamknij stronę i niczego nie pobieraj. Jeśli nic nie podałeś i nie instalowałeś, ryzyko jest małe. Stronę zgłoś na incydent.cert.pl. Jeśli pobrał się plik albo aplikacja, odinstaluj ją i przeskanuj telefon lub komputer.

Czy nazwa banku jako nadawcy SMS-a coś potwierdza?

Nie. Nazwę nadawcy da się podrobić, a fałszywy SMS potrafi trafić do tego samego wątku co prawdziwe wiadomości z banku.

Ile kosztuje zgłoszenie pod 8080?

Nic. Przekazanie SMS-a na 8080 jest bezpłatne u polskich operatorów.

Powiązane huby

• Deepfake: jak rozpoznać i zgłosić
• Wyciek danych: co zrobić po zawiadomieniu
• OSINT: jak sprawdzać informacje w otwartych źródłach
• Prywatność w AI: co sprawdzić przed wysłaniem pliku
• AI w cyberbezpieczeństwie 2026