Jak sprawdzić, czy e-mail od instytucji finansowej jest prawdziwy?

Phishing bankowy to jedna z najczęstszych metod wyłudzania pieniędzy w Polsce. Przestępcy podszywają się pod banki, instytucje pożyczkowe i urzędy, wysyłając wiadomości łudząco podobne do prawdziwych. Według danych CERT Polska za 2025 rok phishing stanowił największą kategorię zgłoszonych incydentów bezpieczeństwa w polskim internecie. Wiedza o tym, jak odróżnić fałszywy e-mail od prawdziwego, może uchronić przed utratą pieniędzy.

Czym jest phishing i jak działa?

Phishing to atak polegający na podszywaniu się pod zaufaną instytucję w celu wyłudzenia danych logowania, numeru karty płatniczej lub innych wrażliwych informacji. W przypadku instytucji finansowych przestępcy najczęściej wysyłają e-maile informujące o:

• Konieczności pilnej weryfikacji konta lub danych.

• Podejrzanej transakcji wymagającej potwierdzenia.

• Zmianie regulaminu lub polityki bezpieczeństwa wymagającej akceptacji.

• Wygranej lub nieodebranym zwrocie pieniędzy.

• Zablokowaniu konta lub karty.

Każdy z tych scenariuszy zmierza do jednego celu: kliknięcia w link prowadzący do fałszywej strony, na której ofiara podaje swoje dane.

Jak rozpoznać fałszywy e-mail? Tabela sygnałów ostrzegawczych

Jak sprawdzić adres nadawcy e-maila krok po kroku?

Sama nazwa wyświetlana w polu „Od:” może być fałszywa: przestępca może wpisać tam „PKO Bank Polski” lub „KredytOK”, ukrywając prawdziwy adres. Należy sprawdzić faktyczny adres e-mail, nie tylko nazwę wyświetlaną.

1. Kliknij lub najedź kursorem na nazwę nadawcy, by zobaczyć pełny adres e-mail (w większości klientów pocztowych).

2. Sprawdź domenę po znaku @: musi być identyczna z oficjalną domeną instytucji. Oficjalne domeny banków kończą się np. @nazwabanku.pl

3. Zwróć uwagę na literki: przestępcy używają zer zamiast liter O, cyfry 1 zamiast l, dodają myślniki lub słowa (np. @nazwabanku-bezpieczenstwo.pl).

4. Sprawdź nagłówki pełnej wiadomości (opcja „Wyświetl źródło” lub „Właściwości wiadomości”): pole „Return-Path” ujawnia prawdziwy adres zwrotny.

Jak sprawdzić link w e-mailu przed kliknięciem?

Linki w phishingowych e-mailach wyglądają jak prawdziwe, ale prowadzą na fałszywe strony. Jak je weryfikować:

• Na komputerze: najedź kursorem na link, nie klikając. W dolnym pasku przeglądarki lub klienta pocztowego pojawi się docelowy adres URL. Sprawdź, czy domena jest oficjalna.

• Na telefonie: przytrzymaj palec na linku, by pojawił się podgląd URL.

• Sprawdź protokół i domenę główną: samo https:// ani symbol kłódki nie oznaczają, że strona należy do banku. Oszuści również mogą korzystać z certyfikatów HTTPS. Kluczowe jest sprawdzenie właściwej nazwy domeny.

• W razie wątpliwości nie otwieraj linku. Wejdź na stronę instytucji, wpisując jej znany adres samodzielnie w przeglądarce, albo skorzystaj z oficjalnej aplikacji.

Czego nie powinieneś robić ani udostępniać na podstawie wiadomości e-mail?

Znajomość tych zasad chroni przed większością phishingowych scenariuszy. Niezależnie od treści otrzymanej wiadomości, nigdy nie należy:

• Podawać pełnego hasła do bankowości elektronicznej ani PIN-u do karty.

• Przekazywać kodów SMS autoryzujących transakcje lub logowanie.

• Udostępniać pełnych danych karty płatniczej (numeru, kodu CVV i daty ważności).

• Wysyłać skanu dowodu osobistego ani zdjęcia typu selfie z dokumentem.

• Instalować dodatkowego oprogramowania ani aplikacji pobranych z linków w wiadomości.

Co zrobić, gdy dostałeś podejrzany e-mail?

1. Nie klikaj w żadne linki ani nie otwieraj załączników.

2. Nie odpowiadaj na wiadomość ani nie podawaj żadnych danych.

3. Zgłoś phishing do CERT Polska: wyślij podejrzaną wiadomość na adres cert@cert.pl lub zgłoś przez formularz na stronie incydent.cert.pl. CERT prowadzi Listę Ostrzeżeń przed niebezpiecznymi stronami.

4. Zadzwoń na oficjalną infolinię instytucji, której dotyczy wiadomość, korzystając z numeru ze strony internetowej lub karty bankowej, a nie z e-maila.

5. Usuń wiadomość po jej zgłoszeniu.

Co zrobić, gdy kliknąłeś w fałszywy link?

1. Natychmiast zamknij stronę bez podawania jakichkolwiek danych.

2. Jeśli podałeś dane logowania: zadzwoń na infolinię banku i poproś o tymczasową blokadę konta i zmianę hasła.

3. Jeśli zainstalowałeś aplikację: odinstaluj ją i zeskanuj urządzenie programem antywirusowym.

4. Jeśli podałeś numer karty: zadzwoń na infolinię banku i zastrzeż kartę. W Polsce działa też System Zastrzegania Kart (cardstop.pl).

5. Zgłoś incydent na policję: oszustwo internetowe jest przestępstwem.

Gdzie zgłosić phishing w Polsce?

• CERT Polska (instytucja powołana przez NASK): incydent.cert.pl lub cert@cert.pl.

• Komisja Nadzoru Finansowego (lista ostrzeżeń publicznych).

• Policja: Komenda Główna Policji, wydział do walki z cyberprzestępczością.

• Bank lub instytucja finansowa, pod którą podszył się przestępca.

Najczęstsze pytania o phishing bankowy

Czy bank musi powiadomić mnie, jeśli moje dane wyciekły?

Tak. Zgodnie z RODO (art. 33 i 34), w przypadku naruszenia ochrony danych osobowych instytucja ma obowiązek zgłosić je organowi nadzorczemu (UODO) w ciągu 72 godzin, chyba że jest mało prawdopodobne, by skutkowało ono ryzykiem dla praw lub wolności osób fizycznych. Jeżeli natomiast naruszenie może powodować wysokie ryzyko dla praw i wolności osób fizycznych, administrator ma obowiązek zawiadomić o nim również te osoby bez zbędnej zwłoki.

Jak działają fałszywe strony podszywające się pod banki?

Fałszywa strona bankowa wygląda jak prawdziwa, często z identycznym layoutem, logiem i formularzem. Różni się domeną. Po wpisaniu danych logowania przestępca przejmuje je w czasie rzeczywistym, a ofiara widzi błąd lub jest przekierowana na prawdziwą stronę. Sposób weryfikacji: zawsze sprawdzaj pasek adresu przeglądarki przed podaniem jakichkolwiek danych.

Co to jest smishing i vishing?

Smishing to phishing przez SMS: fałszywa wiadomość tekstowa z linkiem. Vishing to phishing telefoniczny: rozmowa, w której oszust podszywa się pod pracownika banku i prosi o dane. Banki nigdy nie proszą o pełne hasło ani kody SMS przez telefon.

Jak włączyć dodatkową ochronę konta bankowego?

Warto aktywować powiadomienia o każdej transakcji (SMS lub push), dwuskładnikowe uwierzytelnienie przy logowaniu (2FA) i limity transakcyjne dostosowane do rzeczywistych potrzeb. Przy podejrzeniu naruszenia bezpieczeństwa konto można zastrzec przez aplikację lub infolinię.

Źródła

• https://cert.pl/publikacje/

• http://knf.gov.pl/dla_konsumenta/ostrzezenia_publiczne?warningId=59995