Phishing, fałszywe SMS-y i oszustwa – jak się nie dać złapać

Tylko w 2025 r. zgłoszono w Polsce ponad 650 tys. prób dokonania cyberoszustwa (dane CERT Polska, państwowego instytutu zajmującego się bezpieczeństwem w sieci1). Oznaczało to wzrost o 10% w porównaniu z rokiem poprzednim. Większa liczba zgłoszeń, jak ocenia CERT, to efekt większej aktywności przestępców, ale też rosnącej świadomości zagrożeń w internecie.

Phishing, czyli łowienie haseł

Najpopularniejszą metodą oszustwa jest „phishing”. To oszustwo internetowe, w którym przestępcy podszywają się pod zaufane instytucje aby wyłudzić hasła, dane osobowe lub cenne informacje. W ten sposób mogą uzyskać dostęp do cudzego konta bankowego i przejąć znajdujące się tam środki.

Jak działają łowcy haseł? Metoda sprowadza się na ogół do tego, by ofiara sama podała swoje dane. Jednym z częstych sposobów są fałszywe linki zawarte w wiadomościach mailowych, na przykład z atrakcyjną ofertą butów w popularnym serwisie sprzedażowym. Odbiorca fałszywego maila klika, żeby sprawdzić szczegóły. Nie zauważa, że adres strony, na którą wchodzi jest nieco inny od prawdziwego (np. zamiast litery „l” jest „i”, co łatwo przeoczyć) – strona jest fałszywa. Aby zalogować się do bankowości internetowej, wpisuje hasło, przestępcy przejmują je przez fałszywą bramkę płatności. Wypłata środków z konta ma miejsce w ciągu kilku godzin, tak aby posiadacz konta spostrzegł stratę już po fakcie.

W 2024 r. (to najnowsze dostępne statystyki) CERT Polska odnotował ponad 17 tys. przypadków podszywania się pod popularne serwisy sprzedażowe i społecznościowe. W kolejnym roku zauważono, że oszuści podszywają się także pod strony rządowe.

Popularne metody sprawców

Wiadomości phishingowe mogą wyglądać na autentyczne, może to być np. SMS z wezwaniem do natychmiastowej dopłaty niewielkiej kwoty do rachunku i groźbą wyłączenia dostawy energii. Jeśli odbiorca uwierzy w taką wiadomość i zapłaci przez podany link, podaje oszustom dane logowania do swojego banku.

Cyberprzestępcy wyłudzają pieniądze w phishingowych wiadomościach również poprzez płatności BLIK, np. wysyłając fałszywą wiadomość („zgubiłem telefon, więc piszę z innego numeru, potrzebuję szybko przelewu”). Przestępcy posługują się również fałszywymi mandatami, wkładanymi za wycieraczki samochodów. Zawarty w nich zamaskowany kod QR prowadzi do skanerów płatności i wysyła pieniądze na konta oszustów. Nową metodą jest wykorzystywanie mechanizmu antybotowego, zwana capcha. Jeśli poza standardowym kliknięciem capcha wymaga również wykonania dodatkowych czynności, takich jak skopiowanie i wklejenie żądanej komendy, pod pozorem zakończenia procesu weryfikacji, może skutkować to wklejeniem fałszywych skryptów, które zainfekują komputer.

Jak się ustrzec przed złodziejami?

Charakterystyczną cechą fałszywych wiadomości jest próba wywołania u odbiorcy emocji i żądanie szybkiego działania. Trzeba jednak pamiętać, że metody oszustwa nieustannie się zmieniają, a sztuczna inteligencja pomaga zwiększać szybkość i skalę schematów phishingowych. Serwis Keepnet podaje, że w 2025 r. wskutek zastosowania AI, skuteczność fałszywych wiadomości wzrosła w globalnej skali o 400 proc. w porównaniu z poprzednim rokiem. Nie należy więc zakładać, że wiadomość lub link jest bezpieczny, skoro nie przypomina typowego oszustwa, przed którymi ostrzegają kampanie społeczne. Gwarancji nie daje też weryfikacja telefoniczna, ponieważ oszuści wykorzystują pozyskane numery telefoniczne, dzwoniąc do użytkownika i „potwierdzając” rzekomą autentyczność doradcy bankowego.

Jak w takim razie uniknąć kradzieży?

• Należy stosować zasadę ograniczonego zaufania. Nawet jeśli strona wygląda bezpiecznie, to należy upewnić się wpisując ręcznie podany adres w przeglądarce.

• Nie należy klikać w linki z maili od nieznanych nadawców czy odnośniki dodane w komentarzach w mediach społecznościowych.

• Nie wolno też podawać na nieznanych stronach swoich haseł, numeru telefonu i kodów PIN.

• Nie należy przesyłać skanu dowodu osobistego. Większość instytucji tego nie wymaga w zwykłych sprawach urzędowych.

Gdzie szukać pomocy?

Podejrzane wiadomości mailowe należy zgłosić do CERT Polska pod adresem cert@cert.pl albo za pomocą formularza dostępnego na stronie https://incydent.cert.pl.

SMS należy przesłać (opcja „przekaż” lub „udostępnij”) pod numer 8080. Ważne jest aby przekazać całą wiadomość w oryginalnej formie, zgodnie z opisem na stronie CERT Polska

1https://cert.pl/uploads/docs/Podsumowanie_CSIRT_NASK_2025_12.pdf

Dziękujemy za przeczytanie artykułu. Jeśli chcesz wesprzeć naszą działalność, możesz to zrobić tutaj.