Phishing, fałszywe sklepy i podejrzane linki – jak rozpoznać próbę oszustwa?

Phishing, fałszywe sklepy i podejrzane linki wykorzystują podobny mechanizm: mają skłonić odbiorcę do działania, zanim zdąży on spokojnie zweryfikować sytuację. Oszust może podszyć się pod bank, firmę kurierską, urząd, sklep internetowy, pracodawcę albo znajomą osobę.

Po lekturze dowiesz się, jak rozpoznawać próby oszustwa, analizować adresy stron, oceniać wiarygodność sklepów oraz bezpiecznie reagować na wiadomości, połączenia i kody QR. Znajdziesz również procedurę postępowania po kliknięciu linku, podaniu danych lub wykonaniu płatności.

Czym są phishing, fałszywe sklepy i podejrzane linki?

Phishing to forma oszustwa polegająca na podszywaniu się pod zaufaną osobę lub organizację w celu wyłudzenia danych, pieniędzy albo dostępu do urządzenia. Przestępca może próbować zdobyć:

• login i hasło,
• dane karty płatniczej,
• kod BLIK,
• kod autoryzacyjny z SMS-a,
• kod uwierzytelniania wieloskładnikowego,
• numer PESEL i dane dokumentu,
• dostęp do bankowości elektronicznej,
• dane firmowe lub poufne dokumenty,
• możliwość zainstalowania złośliwego programu,
• zgodę na wykonanie przelewu lub zmianę numeru rachunku.

Fałszywy sklep internetowy jest stroną stworzoną po to, aby przyjąć płatność bez zamiaru dostarczenia towaru, wyłudzić dane karty albo zebrać dane osobowe. Nie każdy nierzetelny sprzedawca prowadzi jednak fałszywy sklep. Czasami problemem jest niewypłacalność, dropshipping, długi czas dostawy albo naruszenie praw konsumenta. O oszustwie świadczy przede wszystkim celowe wprowadzenie klienta w błąd.

Podejrzany link to odnośnik, którego adres, kontekst lub sposób dostarczenia wskazuje na możliwość oszustwa. Sam nietypowy wygląd linku nie przesądza jeszcze o zagrożeniu. Z kolei poprawnie wyglądający adres nie gwarantuje bezpieczeństwa — przejęte, legalne strony również mogą rozpowszechniać szkodliwe treści.

Zakres tematu obejmuje wiadomości e-mail i SMS, komunikatory, media społecznościowe, rozmowy telefoniczne, reklamy, wyniki wyszukiwania, kody QR, platformy sprzedażowe oraz strony udające banki, operatorów płatności i sklepy.

Najważniejsza zasada: nie działaj pod presją

Większość prób phishingu opiera się na wywołaniu silnej emocji. Może to być strach przed blokadą konta, nadzieja na wyjątkową okazję, ciekawość, poczucie obowiązku albo chęć szybkiej pomocy bliskiej osobie.

Zatrzymaj się szczególnie wtedy, gdy wiadomość zawiera żądanie:

• natychmiastowego zalogowania się,
• dopłaty niewielkiej kwoty,
• podania kodu BLIK,
• zatwierdzenia operacji w aplikacji bankowej,
• przesłania zdjęcia dokumentu,
• instalacji aplikacji lub dodatku,
• podania hasła albo kodu jednorazowego,
• wykonania przelewu na nowy rachunek,
• przeniesienia pieniędzy na „konto techniczne” lub „bezpieczne konto”.

Bank, policja ani pracownik działu bezpieczeństwa nie potrzebują Twojego hasła, PIN-u czy pełnego kodu uwierzytelniającego. Pieniądze przesłane na rzekome bezpieczne konto w praktyce trafiają do oszusta.

Jak przebiega typowy atak phishingowy?

1. Nawiązanie kontaktu

Oszust wysyła wiadomość, publikuje reklamę, dzwoni albo przejmuje konto znajomej osoby. Kontakt może wyglądać profesjonalnie i zawierać prawdziwe logo, nazwę firmy, dane odbiorcy lub fragment autentycznej korespondencji.

2. Stworzenie wiarygodnej historii

Najczęstsze scenariusze dotyczą:

• niedopłaty do przesyłki,
• blokady konta bankowego,
• zwrotu podatku lub nadpłaty,
• niezapłaconej faktury,
• wygranej albo kuponu promocyjnego,
• szybkiej inwestycji,
• sprzedaży przedmiotu na platformie ogłoszeniowej,
• prośby znajomego o kod BLIK,
• zmiany numeru rachunku kontrahenta,
• obowiązkowej aktualizacji danych.

3. Wywołanie presji

Atakujący ogranicza czas na reakcję: „konto zostanie zamknięte”, „kurier zwróci paczkę”, „oferta wygasa za 10 minut” albo „przelew musi wyjść jeszcze dzisiaj”.

4. Przekierowanie do kontrolowanego kanału

Ofiara ma kliknąć link, zeskanować kod QR, zadzwonić pod wskazany numer, otworzyć załącznik lub kontynuować rozmowę poza oficjalną platformą.

5. Wyłudzenie danych lub pieniędzy

Fałszywa strona może przechwytywać wpisywane dane na bieżąco. Jeżeli oszust wykorzysta je do logowania, ofiara może otrzymać prawdziwy kod autoryzacyjny z banku lub serwisu. To, że SMS pochodzi z autentycznego systemu, nie oznacza, że rozpoczęta operacja jest bezpieczna.

Najczęstsze rodzaje phishingu

Rodzaj ataku	Kanał	Typowy cel
Phishing e-mailowy	E-mail	Hasła, dane firmowe, instalacja złośliwego pliku
Smishing	SMS lub komunikator	Dane karty, dopłata, login do banku
Vishing	Rozmowa telefoniczna	Przelew, kod BLIK, instalacja aplikacji
Spear phishing	Spersonalizowana wiadomość	Dostęp do konkretnej osoby lub firmy
Business Email Compromise	Poczta firmowa	Zmiana rachunku na fakturze, pilny przelew
Quishing	Kod QR	Przekierowanie na fałszywą stronę
Pharming	Manipulacja ruchem sieciowym	Przekierowanie mimo wpisania oczekiwanego adresu
Phishing w mediach społecznościowych	Reklama, komentarz, prywatna wiadomość	Przejęcie konta, fałszywa inwestycja lub zakup
Clone phishing	Kopia prawdziwej wiadomości	Otwarcie podmienionego linku lub załącznika

Jak rozpoznać podejrzany link?

Sprawdź właściwą domenę

W adresie internetowym najważniejsza jest domena, a nie pierwsze słowa widoczne w linku. W adresie:

https://logowanie.bank.example.com

główną domeną jest example.com, natomiast logowanie i bank są subdomenami.

Oszust może wykorzystać adres podobny do:

https://bank.example.com.secure-login.net

W tym przypadku właściwą domeną jest secure-login.net. Umieszczone wcześniej słowa mają jedynie wzbudzić zaufanie.

Uważaj również na:

• literówki i dodatkowe znaki,
• zamianę liter, np. „rn” zamiast „m”,
• znaki z innych alfabetów podobne do liter łacińskich,
• zbędne myślniki,
• nietypowe rozszerzenia domeny,
• długie ciągi znaków ukrywające właściwy adres,
• adres IP zamiast nazwy domeny,
• skrócone linki, których celu nie widać,
• przekierowania przez legalne usługi.

Nie ufaj samemu symbolowi kłódki

Połączenie HTTPS oznacza, że transmisja pomiędzy przeglądarką a stroną jest szyfrowana. Nie potwierdza ono uczciwości właściciela serwisu. Oszust również może uzyskać certyfikat i uruchomić stronę przez HTTPS.

Brak HTTPS na stronie płatności lub logowania jest poważnym sygnałem ostrzegawczym, ale obecność HTTPS nie jest dowodem bezpieczeństwa.

Sprawdzaj link przed kliknięciem

Na komputerze można najechać kursorem na odnośnik i zobaczyć adres docelowy. Na telefonie zwykle pomaga dłuższe przytrzymanie linku bez jego otwierania. Nie należy jednak kopiować podejrzanego adresu do zwykłej przeglądarki tylko po to, aby sprawdzić, dokąd prowadzi.

Bezpieczniejszym rozwiązaniem jest samodzielne wpisanie znanego adresu instytucji albo skorzystanie z oficjalnej aplikacji.

Zachowaj ostrożność wobec kodów QR

Kod QR pełni taką samą funkcję jak link, ale ukrywa adres przed użytkownikiem. Fałszywe kody mogą pojawić się:

• na parkomatach i automatach,
• na ulotkach,
• w restauracjach,
• w wiadomościach e-mail,
• na fakturach,
• na naklejkach umieszczonych na prawdziwym kodzie.

Przed otwarciem strony sprawdź adres pokazany przez telefon. Jeżeli kod prowadzi do logowania, płatności lub instalacji aplikacji, lepiej wejść do usługi inną drogą.

Jak rozpoznać fałszywy sklep internetowy?

Pojedynczy sygnał nie musi świadczyć o oszustwie. Ryzyko rośnie, gdy kilka nieprawidłowości występuje jednocześnie.

Cena znacznie odbiega od rynku

Bardzo duża obniżka popularnego, trudno dostępnego produktu jest jednym z najczęstszych wabików. Porównaj cenę w kilku niezależnych sklepach. Zwróć uwagę, czy przecena dotyczy niemal całego asortymentu i czy licznik promocji po odświeżeniu strony zaczyna odliczanie od początku.

Sklep istnieje od niedawna

Nowy sklep nie musi być fałszywy, ale świeżo zarejestrowana domena połączona z ogromnymi rabatami i brakiem historii powinna zwiększyć ostrożność. Sama długa historia domeny także nie daje gwarancji — domena mogła zostać przejęta lub odkupiona.

Dane firmy są niepełne albo niespójne

Sprawdź:

• nazwę przedsiębiorcy,
• adres,
• NIP, KRS lub dane działalności,
• numer telefonu i adres e-mail,
• regulamin,
• zasady reklamacji i zwrotów,
• politykę prywatności,
• zgodność danych na stronie z rejestrami publicznymi.

Samo podanie prawdziwego NIP-u nie wystarcza. Oszuści mogą skopiować dane istniejącej firmy, która nie ma związku ze sklepem. Zweryfikuj, czy nazwa domeny, branża, adres i dane kontaktowe pasują do działalności przedsiębiorstwa.

Regulamin wygląda na skopiowany

Sygnałem ostrzegawczym są:

• nazwa innego sklepu w regulaminie,
• fragmenty w obcym języku,
• sprzeczne terminy dostawy,
• nieistniejące adresy,
• brak danych sprzedawcy,
• automatyczne lub nienaturalne tłumaczenie,
• zapisy ograniczające podstawowe prawa konsumenta.

Sklep wymusza ryzykowną płatność

Szczególnej ostrożności wymagają:

• zwykły przelew na rachunek osoby prywatnej,
• płatność kryptowalutą,
• przesłanie kodu BLIK w wiadomości,
• link do płatności przesłany poza sklepem,
• brak znanych operatorów płatności,
• prośba o podanie danych karty w formularzu o innej domenie.

Dostępność pobrania nie jest automatycznym dowodem uczciwości. Przesyłka może zawierać inny, bezwartościowy produkt, a przed zapłatą zwykle nie można sprawdzić zawartości paczki.

Opinie są sztuczne lub dotyczą innej firmy

Nie oceniaj sklepu wyłącznie na podstawie opinii umieszczonych na jego stronie. Poszukaj informacji w kilku miejscach i sprawdź:

• daty publikacji,
• powtarzalne sformułowania,
• nagły wysyp najwyższych ocen,
• opinie niedotyczące sprzedawanych produktów,
• skargi na brak przesyłki lub kontaktu,
• odpowiedzi sklepu na reklamacje.

Brak opinii nie oznacza oszustwa, a duża liczba pozytywnych ocen nie przesądza o bezpieczeństwie.

Phishing w wiadomościach, telefonie i mediach społecznościowych

Wiadomości e-mail

Sprawdź pełny adres nadawcy, nie tylko wyświetlaną nazwę. Pole „Od” może pokazywać nazwę banku lub prezesa, mimo że wiadomość pochodzi z obcej domeny.

Niepokojące elementy to:

• nieoczekiwany załącznik,
• plik wymagający włączenia makr,
• dokument udający fakturę lub potwierdzenie przelewu,
• link do ponownego logowania,
• zmiana tonu dotychczasowej korespondencji,
• nagła zmiana numeru rachunku,
• odpowiedź w autentycznym, ale przejętym wątku.

Błędy językowe nadal bywają sygnałem ostrzegawczym, lecz poprawna polszczyzna nie potwierdza autentyczności. Oszuści korzystają z automatycznych tłumaczeń i narzędzi generujących naturalnie brzmiące wiadomości.

SMS-y i komunikatory

Numer lub nazwa nadawcy mogą zostać sfałszowane. Fałszywa wiadomość może nawet pojawić się w tym samym wątku, co wcześniejsze prawdziwe SMS-y od banku lub firmy kurierskiej.

Typowe preteksty to:

• dopłata do paczki,
• zaległość za energię,
• zwrot środków,
• wygaśnięcie punktów,
• mandat,
• aktualizacja aplikacji,
• prośba bliskiej osoby o szybką pomoc.

Prośbę o pieniądze zawsze potwierdź drugim kanałem, najlepiej dzwoniąc na znany wcześniej numer.

Rozmowy telefoniczne

Numer wyświetlany na ekranie nie dowodzi, kto naprawdę dzwoni. Przestępca może podszyć się pod infolinię banku, policję lub urząd.

Zakończ rozmowę, jeżeli rozmówca:

• prosi o hasło, PIN lub kod BLIK,
• każe zatwierdzić operację w aplikacji,
• poleca przelać środki na inne konto,
• namawia do instalacji programu do zdalnego pulpitu,
• zabrania kontaktowania się z rodziną lub bankiem,
• twierdzi, że rozłączenie spowoduje utratę pieniędzy.

Po rozłączeniu samodzielnie wybierz oficjalny numer. Nie korzystaj z numeru podanego przez rozmówcę lub przesłanego w jego wiadomości.

Media społecznościowe i platformy sprzedażowe

Przejęte konto znajomego może rozsyłać wiarygodnie brzmiące prośby o kod BLIK, udział w konkursie lub głosowanie. Na platformach ogłoszeniowych oszust często udaje kupującego i przekonuje sprzedawcę, że musi on kliknąć link, aby „odebrać pieniądze”.

Do otrzymania zwykłego przelewu nie jest potrzebne:

• logowanie do banku przez link od kupującego,
• podawanie numeru karty i kodu CVV,
• wpisywanie salda rachunku,
• zatwierdzanie wypłaty w aplikacji bankowej,
• instalowanie dodatkowego programu.

Tabela decyzyjna: jak zareagować?

Sytuacja	Poziom ryzyka	Co zrobić?	Czego nie robić?
Nieoczekiwany link bez żądania danych	Średni	Zweryfikuj nadawcę i wejdź do usługi oficjalną drogą	Nie klikaj z ciekawości
Link prowadzi do logowania lub płatności	Wysoki	Zamknij wiadomość, uruchom oficjalną aplikację lub wpisz adres ręcznie	Nie podawaj danych
Wiadomość żąda kodu BLIK lub kodu z SMS-a	Bardzo wysoki	Potwierdź prośbę drugim kanałem	Nie przekazuj kodu
Telefon z poleceniem przelewu na „bezpieczne konto”	Krytyczny	Rozłącz się i zadzwoń do banku	Nie wykonuj przelewu
Sklep ma bardzo niskie ceny i działa od niedawna	Wysoki	Sprawdź firmę, domenę, opinie i metody płatności	Nie płać przelewem pod presją
Sprzedawca zmienia rachunek na fakturze	Wysoki	Potwierdź zmianę przez wcześniej znany numer	Nie odpowiadaj wyłącznie e-mailem
Kliknięto link, ale nie podano danych	Zależny od strony	Zamknij stronę, sprawdź pobrane pliki i urządzenie	Nie wracaj na stronę
Podano hasło	Krytyczny	Zmień hasło z zaufanego urządzenia, wyloguj sesje, włącz MFA	Nie czekaj na oznaki włamania
Podano dane karty	Krytyczny	Natychmiast skontaktuj się z bankiem i zastrzeż kartę	Nie ograniczaj się do usunięcia wiadomości
Zatwierdzono przelew lub kod BLIK	Krytyczny	Natychmiast powiadom bank i policję, zachowaj dowody	Nie negocjuj z oszustem
Zainstalowano program do zdalnego dostępu	Krytyczny	Odłącz urządzenie od sieci i skontaktuj się z bankiem z innego urządzenia	Nie loguj się ponownie do banku

Bezpieczna procedura weryfikacji krok po kroku

Krok 1: zatrzymaj działanie

Nie klikaj kolejnych elementów, nie odpowiadaj i nie zatwierdzaj powiadomień. Presja czasu jest częścią ataku.

Krok 2: ustal, czego żąda nadawca

Sprawdź, czy chodzi o pieniądze, dane logowania, dokumenty, instalację programu albo zmianę sposobu płatności. Im bardziej wrażliwe działanie, tym silniejsza powinna być weryfikacja.

Krok 3: przejdź do niezależnego kanału

Otwórz oficjalną aplikację, wpisz znany adres strony lub skorzystaj z numeru znajdującego się na karcie, umowie czy oficjalnym dokumencie. Nie używaj danych kontaktowych z podejrzanej wiadomości.

Krok 4: potwierdź kontekst

Sprawdź, czy rzeczywiście oczekujesz paczki, płatności, faktury albo kontaktu z banku. Skontaktuj się z osobą lub firmą drugim kanałem.

Krok 5: przeczytaj komunikat autoryzacyjny

Przed zatwierdzeniem operacji sprawdź:

• kwotę,
• odbiorcę,
• numer rachunku,
• rodzaj operacji,
• informację o dodaniu urządzenia,
• informację o zmianie limitu lub hasła.

Nie wpisuj kodu tylko dlatego, że zgadza się kwota widoczna na stronie. Oszust może równocześnie zlecać inną operację.

Krok 6: zrezygnuj, jeśli wątpliwości pozostają

Brak pewności jest wystarczającym powodem, aby przerwać zakup, płatność lub rozmowę. Prawdziwa instytucja pozwoli zweryfikować sytuację oficjalną drogą.

Co zrobić po kliknięciu podejrzanego linku?

Samo otwarcie strony nie zawsze oznacza utratę konta. Ryzyko zależy od tego, co wydarzyło się później.

Jeśli tylko otwarto stronę

• zamknij kartę,
• nie pobieraj plików,
• sprawdź folder pobranych plików,
• usuń nadane stronie uprawnienia do powiadomień,
• zaktualizuj przeglądarkę i system,
• wykonaj skanowanie urządzenia, jeżeli strona pobrała plik lub zachowywała się nietypowo.

Nie ma zwykle potrzeby zmiany wszystkich haseł, jeśli nie zostały wpisane, zapisane ani przechwycone przez zainstalowane oprogramowanie.

Jeśli podano login i hasło

• wejdź na prawdziwą stronę z zaufanego urządzenia,
• natychmiast zmień hasło,
• wyloguj wszystkie aktywne sesje,
• sprawdź adres e-mail i numer telefonu przypisane do konta,
• usuń nieznane urządzenia i aplikacje,
• włącz uwierzytelnianie wieloskładnikowe,
• zmień to samo hasło we wszystkich miejscach, w których było używane,
• sprawdź reguły przekazywania wiadomości, jeżeli przejęto pocztę.

W pierwszej kolejności zabezpiecz konto e-mail, ponieważ często umożliwia ono resetowanie haseł do pozostałych usług.

Jeśli podano dane karty

Natychmiast skontaktuj się z bankiem. Zastrzeż lub czasowo zablokuj kartę, sprawdź operacje i zapytaj o możliwość reklamacji nieautoryzowanych płatności. Samo usunięcie karty ze sklepu lub portfela cyfrowego może nie wystarczyć.

Jeśli przekazano kod BLIK lub zatwierdzono przelew

Skontaktuj się z bankiem natychmiast — liczą się minuty. Poproś o próbę zatrzymania lub odwołania transakcji, zabezpieczenie bankowości oraz rejestrację zgłoszenia. Następnie zgłoś sprawę policji i zachowaj dowody.

Jeśli zainstalowano aplikację do zdalnego dostępu

• odłącz urządzenie od internetu,
• nie loguj się z niego do banku ani poczty,
• skontaktuj się z bankiem z innego urządzenia,
• zmień najważniejsze hasła,
• usuń nieznane aplikacje i profile,
• sprawdź uprawnienia dostępności oraz administratora urządzenia,
• rozważ profesjonalną analizę lub przywrócenie urządzenia do ustawień fabrycznych.

Jeśli ujawniono dane osobowe

Monitoruj próby zakładania kont, zaciągania zobowiązań i przejmowania numeru telefonu. Jeżeli ujawniono PESEL lub dane dokumentu, rozważ zastrzeżenie PESEL i dokumentu oraz poinformowanie właściwych instytucji.

Jak ograniczyć ryzyko oszustwa?

Używaj unikalnych haseł

Każda ważna usługa powinna mieć inne hasło. Menedżer haseł ułatwia tworzenie i przechowywanie długich, losowych danych logowania. Dodatkowo może ostrzec, gdy domena strony nie zgadza się z zapisaną domeną usługi.

Włącz uwierzytelnianie wieloskładnikowe

Najlepszą ochronę zapewniają klucze sprzętowe i rozwiązania odporne na phishing. Aplikacja generująca kody jest zwykle bezpieczniejsza niż sam SMS. Każdy rodzaj MFA jest jednak skuteczny tylko wtedy, gdy użytkownik nie zatwierdza nieznanych operacji.

Aktualizuj urządzenia

Aktualizacje systemu, przeglądarki i aplikacji usuwają podatności wykorzystywane przez złośliwe strony oraz załączniki. Program antywirusowy jest dodatkową warstwą ochrony, a nie zamiennikiem weryfikacji.

Włącz alerty bankowe

Powiadomienia o logowaniu, zmianie limitu, nowym odbiorcy i wykonanej transakcji skracają czas reakcji. Ustaw limity płatności i przelewów na poziomie odpowiadającym codziennym potrzebom.

Rozdziel procesy w firmie

W organizacji zmiana rachunku bankowego, duży przelew lub nietypowe polecenie zarządu powinny wymagać potwierdzenia drugim kanałem i akceptacji przez więcej niż jedną osobę.

Zaawansowana analiza wiadomości i stron

Nagłówki wiadomości mogą pokazać wyniki mechanizmów SPF, DKIM i DMARC, drogę dostarczenia oraz domenę technicznego nadawcy. Poprawny wynik tych testów nie gwarantuje jednak uczciwości treści. Wiadomość może pochodzić z przejętego konta lub z domeny kontrolowanej przez oszusta i prawidłowo skonfigurowanej.

Podczas analizy należy odróżniać:

• nazwę wyświetlaną od adresu e-mail,
• domenę nadawcy od domeny użytej w linku,
• domenę linku od domeny po przekierowaniu,
• certyfikat szyfrujący od potwierdzenia tożsamości firmy,
• autentyczne konto od autentycznej intencji użytkownika konta.

W środowisku firmowym podejrzane pliki i adresy powinny być analizowane w odizolowanych narzędziach przez zespół bezpieczeństwa. Nie należy przesyłać poufnych linków, dokumentów ani danych klientów do publicznych skanerów bez sprawdzenia zasad prywatności.

Phishing a spam, malware i zwykły błąd

Spam to niechciana, masowa korespondencja. Może być uciążliwy, ale nie każda wiadomość spamowa próbuje wykraść dane.

Phishing wykorzystuje podszywanie się i manipulację, aby nakłonić odbiorcę do określonego działania.

Malware to złośliwe oprogramowanie. Może być dostarczane przez phishing, ale nie każda próba phishingowa zawiera szkodliwy plik.

Błąd organizacji może spowodować wysłanie niepoprawnego linku, faktury lub komunikatu. Nie oznacza to automatycznie oszustwa, lecz nietypową prośbę nadal trzeba potwierdzić niezależnym kanałem.

Najczęstsze mity i błędy

Mit: wiadomość bez błędów jest prawdziwa

Poprawny język, logo i profesjonalny wygląd można łatwo odtworzyć. Treść może również zostać wygenerowana automatycznie lub skopiowana z prawdziwej wiadomości.

Mit: kłódka oznacza bezpieczną stronę

Kłódka oznacza szyfrowane połączenie, a nie uczciwego właściciela strony.

Mit: bank zadzwoni z prawidłowego numeru

Numer wyświetlany podczas połączenia może być sfałszowany. Tożsamość rozmówcy trzeba potwierdzić, oddzwaniając na oficjalny numer.

Mit: mała dopłata nie stanowi ryzyka

Dopłata w wysokości kilku złotych często służy do wyłudzenia pełnych danych karty lub loginu do banku. Wysokość żądanej kwoty nie określa rzeczywistego ryzyka.

Mit: kod BLIK można anulować po przekazaniu

Po zatwierdzeniu wypłaty lub płatności odzyskanie pieniędzy może być trudne. Kod należy traktować jak gotówkę.

Mit: znana marka w reklamie gwarantuje bezpieczeństwo

Reklama może prowadzić do strony podszywającej się pod markę. Obecność w wyszukiwarce lub mediach społecznościowych nie jest certyfikatem wiarygodności.

Błąd: kontaktowanie się przez dane z podejrzanej wiadomości

Jeżeli numer telefonu i link pochodzą od oszusta, „weryfikacja” za ich pomocą nadal odbywa się w kontrolowanym przez niego kanale.

Błąd: skupianie się na jednym sygnale

Brak błędów, HTTPS, prawdziwy NIP albo pozytywne opinie nie wystarczą. Decyzję należy opierać na kilku niezależnych elementach.

Phishing i oszustwa w liczbach

Dane należy interpretować ostrożnie, ponieważ statystyki mogą dotyczyć zgłoszeń, zarejestrowanych incydentów, kampanii albo poszczególnych wiadomości. Jedna kampania może obejmować setki tysięcy odbiorców, a wiele przypadków nie jest zgłaszanych.

• W 2024 roku CERT Polska zarejestrował ponad 103 tys. incydentów cyberbezpieczeństwa.
• Około 92 tys. z nich stanowiły przypadki phishingu, czyli blisko 9 na 10 zarejestrowanych incydentów.
• W porównaniu z 2023 rokiem liczba wszystkich zarejestrowanych incydentów wzrosła o około 29%.
• Liczba przypadków phishingu wzrosła w tym samym okresie o około 39%.
• Globalne zestawienia branżowe odnotowują każdego roku miliony ataków phishingowych, przy czym pojedynczy „atak” może być liczony jako kampania, domena, wiadomość lub zgłoszenie.

Statystyki potwierdzają skalę zjawiska, ale nie pozwalają przewidzieć, czy konkretna wiadomość jest prawdziwa. Każdy przypadek trzeba oceniać na podstawie kontekstu, domeny, żądania i sposobu autoryzacji.

Gdzie zgłosić phishing lub oszustwo?

Podejrzane SMS-y można przekazać do CERT Polska na numer 8080. Inne incydenty, strony i wiadomości można zgłaszać przez oficjalny formularz zgłoszeniowy CERT Polska.

Jeżeli doszło do utraty pieniędzy lub danych:

1. natychmiast skontaktuj się z bankiem,
2. zablokuj kartę, bankowość lub podejrzane operacje,
3. zabezpiecz konta i zmień hasła,
4. zachowaj wiadomości, numery, adresy stron i potwierdzenia,
5. wykonaj zrzuty ekranu,
6. zgłoś sprawę policji,
7. powiadom platformę sprzedażową, operatora płatności lub administratora serwisu.

Nie usuwaj korespondencji przed zapisaniem dowodów. Zanotuj godziny rozmów, numery telefonów, rachunki bankowe, identyfikatory transakcji i dokładną kolejność zdarzeń.

Powiązane tematy do dalszego rozwinięcia

Ta strona może pełnić funkcję huba prowadzącego do bardziej szczegółowych poradników:

• Jak sprawdzić, czy link jest bezpieczny?
• Jak rozpoznać fałszywy sklep internetowy?
• Co zrobić po podaniu danych karty oszustowi?
• Oszustwo na BLIK — jak reagować i odzyskać pieniądze?
• Jak rozpoznać fałszywy SMS od banku lub kuriera?
• Vishing — jak działają fałszywi konsultanci bankowi?
• Jak zabezpieczyć konto po wycieku hasła?
• Menedżer haseł i MFA — praktyczny poradnik.
• Oszustwa na platformach ogłoszeniowych.
• Fałszywe inwestycje i reklamy w mediach społecznościowych.
• Jak zgłosić incydent do CERT Polska?
• Phishing w firmie i ochrona przed zmianą numeru rachunku.

FAQ

Czy samo kliknięcie podejrzanego linku jest niebezpieczne?

Nie zawsze prowadzi do utraty danych. Ryzyko wzrasta, jeżeli strona wykorzystała podatność urządzenia, pobrała plik, otrzymała uprawnienia albo użytkownik podał dane. Po kliknięciu należy zamknąć stronę, sprawdzić pobrane pliki i zaktualizować urządzenie.

Jak sprawdzić link bez otwierania go?

Na komputerze najedź kursorem na odnośnik, a na telefonie przytrzymaj go dłużej. Sprawdź właściwą domenę. Jeśli wiadomość dotyczy banku, kuriera lub sklepu, bezpieczniej jest samodzielnie otworzyć oficjalną aplikację lub wpisać znany adres.

Czy strona z HTTPS może być fałszywa?

Tak. HTTPS szyfruje połączenie, ale nie potwierdza uczciwości właściciela strony.

Czy można ufać pierwszemu wynikowi w wyszukiwarce?

Nie bezwarunkowo. Pierwszym wynikiem może być reklama prowadząca do strony podszywającej się pod znaną usługę. Przed logowaniem lub płatnością sprawdź domenę.

Czy bank może poprosić o kod z SMS-a?

Kod może być potrzebny do operacji rozpoczętej samodzielnie przez klienta. Nie należy go jednak podawać konsultantowi ani wpisywać na stronie otwartej z nieoczekiwanej wiadomości. Zawsze przeczytaj opis autoryzowanej operacji.

Jak potwierdzić, że dzwoni bank?

Rozłącz się i samodzielnie zadzwoń na oficjalny numer banku znajdujący się na karcie, w aplikacji lub na stronie wpisanej ręcznie. Nie oddzwaniaj na numer przesłany przez rozmówcę.

Czy przelew na „bezpieczne konto” może ochronić pieniądze?

Nie. Bank ani policja nie polecają klientowi przeniesienia oszczędności na konto techniczne lub bezpieczne. Takie żądanie jest charakterystycznym elementem oszustwa.

Jak sprawdzić wiarygodność sklepu?

Porównaj ceny, dane firmy, historię domeny, regulamin, opinie i metody płatności. Zweryfikuj, czy dane przedsiębiorstwa pasują do domeny oraz oferowanego asortymentu. Nie opieraj decyzji na jednym elemencie.

Czy płatność za pobraniem gwarantuje bezpieczeństwo?

Nie. Paczka może zawierać niewłaściwy lub bezwartościowy produkt, a możliwość sprawdzenia zawartości przed zapłatą jest zwykle ograniczona.

Co zrobić po podaniu hasła na fałszywej stronie?

Natychmiast zmień hasło na prawdziwej stronie, wyloguj pozostałe sesje i włącz MFA. Jeżeli hasło było używane w innych usługach, zmień je również tam. Najpierw zabezpiecz pocztę e-mail.

Co zrobić po przekazaniu kodu BLIK?

Natychmiast skontaktuj się z bankiem, poproś o zabezpieczenie rachunku i próbę zatrzymania transakcji. Zgłoś sprawę policji oraz zachowaj całą korespondencję i potwierdzenia.

Czy antywirus zatrzyma każdą próbę phishingu?

Nie. Może blokować część stron i plików, ale nie zapobiegnie dobrowolnemu przekazaniu kodu, wykonaniu przelewu czy zatwierdzeniu operacji. Najważniejsze są niezależna weryfikacja i prawidłowa autoryzacja.

Czy wiadomość od znajomego może być phishingiem?

Tak. Konto znajomego mogło zostać przejęte. Nietypową prośbę o pieniądze, kod, głosowanie lub otwarcie linku potwierdź telefonicznie albo innym znanym kanałem.

Jak szybko trzeba reagować po oszustwie?

Natychmiast. W przypadku danych bankowych, karty, kodu BLIK lub przelewu znaczenie mogą mieć minuty. Najpierw skontaktuj się z bankiem, a następnie zabezpiecz dowody i zgłoś sprawę odpowiednim instytucjom.