Spis treści
Phishing bankowy to jedna z najczęstszych metod wyłudzania pieniędzy w Polsce. Przestępcy podszywają się pod banki, instytucje pożyczkowe i urzędy, wysyłając wiadomości łudząco podobne do prawdziwych. Według danych CERT Polska za 2025 rok phishing stanowił największą kategorię zgłoszonych incydentów bezpieczeństwa w polskim internecie. Wiedza o tym, jak odróżnić fałszywy e-mail od prawdziwego, może uchronić przed utratą pieniędzy.
Czym jest phishing i jak działa?
Phishing to atak polegający na podszywaniu się pod zaufaną instytucję w celu wyłudzenia danych logowania, numeru karty płatniczej lub innych wrażliwych informacji. W przypadku instytucji finansowych przestępcy najczęściej wysyłają e-maile informujące o:
- Konieczności pilnej weryfikacji konta lub danych.
- Podejrzanej transakcji wymagającej potwierdzenia.
- Zmianie regulaminu lub polityki bezpieczeństwa wymagającej akceptacji.
- Wygranej lub nieodebranym zwrocie pieniędzy.
- Zablokowaniu konta lub karty.
Każdy z tych scenariuszy zmierza do jednego celu: kliknięcia w link prowadzący do fałszywej strony, na której ofiara podaje swoje dane.
Jak rozpoznać fałszywy e-mail? Tabela sygnałów ostrzegawczych
| Co sprawdzić | Sygnał bezpieczny | Sygnał ostrzegawczy |
|---|---|---|
| Adres nadawcy (domena) | oficjalna domena instytucji, np. @bank.pl | domena podobna, np. @bank-pl.com, @bank.secure-login.net |
| Linki w wiadomości | Prowadzą do oficjalnej domeny (widoczne po najechaniu kursorem) | Adres URL różni się od oficjalnego, zawiera dodatkowe człony |
| Sposób zwracania się do odbiorcy | Imię i nazwisko lub numer klienta | „Drogi Kliencie”, „Szanowny Użytkowniku” bez personalizacji |
| Prośba o dane | Brak próśb o hasło, PIN, pełny numer karty przez e-mail | Prośba o podanie hasła, kodu SMS, PIN-u w e-mailu lub formularzu |
| Pilność i presja | Brak presji czasowej, spokojny ton | „Konto zostanie zablokowane za 24 h”, „Działaj natychmiast” |
| Język i formatowanie | Poprawna polszczyzna, spójne logo i układ | Błędy ortograficzne, literówki, rozjechane grafiki, dziwne znaki |
| Załączniki | Brak lub znane formaty (PDF wyciągów z instytucji) | Pliki .exe, .zip, .docm, nieoczekiwane faktury lub dokumenty |
Jak sprawdzić adres nadawcy e-maila krok po kroku?
Sama nazwa wyświetlana w polu „Od:” może być fałszywa: przestępca może wpisać tam „PKO Bank Polski” lub „KredytOK”, ukrywając prawdziwy adres. Należy sprawdzić faktyczny adres e-mail, nie tylko nazwę wyświetlaną.
- Kliknij lub najedź kursorem na nazwę nadawcy, by zobaczyć pełny adres e-mail (w większości klientów pocztowych).
- Sprawdź domenę po znaku @: musi być identyczna z oficjalną domeną instytucji. Oficjalne domeny banków kończą się np. @nazwabanku.pl
- Zwróć uwagę na literki: przestępcy używają zer zamiast liter O, cyfry 1 zamiast l, dodają myślniki lub słowa (np. @nazwabanku-bezpieczenstwo.pl).
- Sprawdź nagłówki pełnej wiadomości (opcja „Wyświetl źródło” lub „Właściwości wiadomości”): pole „Return-Path” ujawnia prawdziwy adres zwrotny.
Jak sprawdzić link w e-mailu przed kliknięciem?
Linki w phishingowych e-mailach wyglądają jak prawdziwe, ale prowadzą na fałszywe strony. Jak je weryfikować:
- Na komputerze: najedź kursorem na link, nie klikając. W dolnym pasku przeglądarki lub klienta pocztowego pojawi się docelowy adres URL. Sprawdź, czy domena jest oficjalna.
- Na telefonie: przytrzymaj palec na linku, by pojawił się podgląd URL.
- Sprawdź protokół i domenę główną: samo https:// ani symbol kłódki nie oznaczają, że strona należy do banku. Oszuści również mogą korzystać z certyfikatów HTTPS. Kluczowe jest sprawdzenie właściwej nazwy domeny.
- W razie wątpliwości nie otwieraj linku. Wejdź na stronę instytucji, wpisując jej znany adres samodzielnie w przeglądarce, albo skorzystaj z oficjalnej aplikacji.
Czego nie powinieneś robić ani udostępniać na podstawie wiadomości e-mail?
Znajomość tych zasad chroni przed większością phishingowych scenariuszy. Niezależnie od treści otrzymanej wiadomości, nigdy nie należy:
- Podawać pełnego hasła do bankowości elektronicznej ani PIN-u do karty.
- Przekazywać kodów SMS autoryzujących transakcje lub logowanie.
- Udostępniać pełnych danych karty płatniczej (numeru, kodu CVV i daty ważności).
- Wysyłać skanu dowodu osobistego ani zdjęcia typu selfie z dokumentem.
- Instalować dodatkowego oprogramowania ani aplikacji pobranych z linków w wiadomości.
Co zrobić, gdy dostałeś podejrzany e-mail?
- Nie klikaj w żadne linki ani nie otwieraj załączników.
- Nie odpowiadaj na wiadomość ani nie podawaj żadnych danych.
- Zgłoś phishing do CERT Polska: wyślij podejrzaną wiadomość na adres cert@cert.pl lub zgłoś przez formularz na stronie incydent.cert.pl. CERT prowadzi Listę Ostrzeżeń przed niebezpiecznymi stronami.
- Zadzwoń na oficjalną infolinię instytucji, której dotyczy wiadomość, korzystając z numeru ze strony internetowej lub karty bankowej, a nie z e-maila.
- Usuń wiadomość po jej zgłoszeniu.
Co zrobić, gdy kliknąłeś w fałszywy link?
- Natychmiast zamknij stronę bez podawania jakichkolwiek danych.
- Jeśli podałeś dane logowania: zadzwoń na infolinię banku i poproś o tymczasową blokadę konta i zmianę hasła.
- Jeśli zainstalowałeś aplikację: odinstaluj ją i zeskanuj urządzenie programem antywirusowym.
- Jeśli podałeś numer karty: zadzwoń na infolinię banku i zastrzeż kartę. W Polsce działa też System Zastrzegania Kart (cardstop.pl).
- Zgłoś incydent na policję: oszustwo internetowe jest przestępstwem.
Gdzie zgłosić phishing w Polsce?
- CERT Polska (instytucja powołana przez NASK): incydent.cert.pl lub cert@cert.pl.
- Komisja Nadzoru Finansowego (lista ostrzeżeń publicznych).
- Policja: Komenda Główna Policji, wydział do walki z cyberprzestępczością.
- Bank lub instytucja finansowa, pod którą podszył się przestępca.
Najczęstsze pytania o phishing bankowy
Czy bank musi powiadomić mnie, jeśli moje dane wyciekły?
Tak. Zgodnie z RODO (art. 33 i 34), w przypadku naruszenia ochrony danych osobowych instytucja ma obowiązek zgłosić je organowi nadzorczemu (UODO) w ciągu 72 godzin, chyba że jest mało prawdopodobne, by skutkowało ono ryzykiem dla praw lub wolności osób fizycznych. Jeżeli natomiast naruszenie może powodować wysokie ryzyko dla praw i wolności osób fizycznych, administrator ma obowiązek zawiadomić o nim również te osoby bez zbędnej zwłoki.
Jak działają fałszywe strony podszywające się pod banki?
Fałszywa strona bankowa wygląda jak prawdziwa, często z identycznym layoutem, logiem i formularzem. Różni się domeną. Po wpisaniu danych logowania przestępca przejmuje je w czasie rzeczywistym, a ofiara widzi błąd lub jest przekierowana na prawdziwą stronę. Sposób weryfikacji: zawsze sprawdzaj pasek adresu przeglądarki przed podaniem jakichkolwiek danych.
Co to jest smishing i vishing?
Smishing to phishing przez SMS: fałszywa wiadomość tekstowa z linkiem. Vishing to phishing telefoniczny: rozmowa, w której oszust podszywa się pod pracownika banku i prosi o dane. Banki nigdy nie proszą o pełne hasło ani kody SMS przez telefon.
Jak włączyć dodatkową ochronę konta bankowego?
Warto aktywować powiadomienia o każdej transakcji (SMS lub push), dwuskładnikowe uwierzytelnienie przy logowaniu (2FA) i limity transakcyjne dostosowane do rzeczywistych potrzeb. Przy podejrzeniu naruszenia bezpieczeństwa konto można zastrzec przez aplikację lub infolinię.
Źródła
- https://cert.pl/publikacje/
- http://knf.gov.pl/dla_konsumenta/ostrzezenia_publiczne?warningId=59995
