Udane ataki phishingowe mogą mieć opłakane skutki: oszuści mogą ukraść Twoją tożsamość(nowe okno), opróżnić Twoje konto bankowe lub zaatakować Cię oprogramowaniem ransomware. Jeśli prowadzisz firmę, może to również oznaczać utratę własności intelektualnej, zaufania klientów i reputacji.

W 2025 roku Centrum Skarg na Przestępczość Internetową FBI(nowe okno) otrzymało ponad milion zgłoszeń dotyczących przestępstw internetowych, a zgłoszone straty osiągnęły niemal 21 miliardów dolarów. Phishing oraz spoofing były najczęściej zgłaszanymi rodzajami przestępstw – w tamtym roku odnotowano ich ponad 190 000.

Wobec miliardów wiadomości phishingowych wysyłanych każdego dnia, phishing jest jednym z głównych sposobów, w jaki oszuści online atakują osoby prywatne i organizacje.

Wyjaśniamy, czym jest phishing, jak działa i jak chronić się przed atakami typu phishing.

Przycisk Pobierz Proton Mail

Czym jest próba wyłudzenia informacji?

Phishing to oszustwo online, w którym atakujący wysyłają fałszywą wiadomość (zazwyczaj e-mail), aby skłonić Cię do ujawnienia poufnych informacji (takich jak dane logowania lub karty płatniczej) lub pobrania złośliwego oprogramowania(nowe okno) na Twoje urządzenie.

Wiadomość sprawia wrażenie, jakby pochodziła z wiarygodnego źródła, takiego jak bank, dostawca poczty e-mail lub popularna usługa, np. Amazon, Venmo, PayPal lub Facebook. Jednak jej celem jest nakłonienie Cię do wykonania jednej z następujących czynności:

  • wpisania swoich danych osobowych na stronie internetowej, która wygląda na wiarygodną, ale w rzeczywistości kradnie Twoje dane
  • kliknięcia linku do złośliwej strony internetowej lub pobrania zainfekowanego załącznika, który instaluje złośliwe oprogramowanie na Twoim komputerze, tablecie lub telefonie
  • odpowiedzenia na tę wiadomość, aby przekazać poufne dane osobowe drogą e-mailową

A form of social engineering(nowe okno), phishing messages often create a sense of urgency or excitement to make you respond without thinking.

Jak działa phishing?

Zazwyczaj wiadomości phishingowe zawierają pilne prośby, groźby lub informacje o rzekomych nagrodach, nakłaniające do natychmiastowego działania. Na przykład oszuści mogą twierdzić, że Twoje konto Amazon zostało „zawieszone” i musisz „potwierdzić” dane swojego konta, aby je reaktywować.

W tej phishingowej wiadomości e-mail, która rzekomo pochodzi od firmy kurierskiej UPS, pojawia się prośba o kliknięcie linku w celu uiszczenia „opłaty za dostawę” i podania danych osobowych. Jeśli tego nie zrobisz, nie otrzymasz swojej „paczki”.

Przykład phishingowej wiadomości e-mail podszywającej się pod UPS
Przykład phishingowej wiadomości e-mail

Wystarczy jednak sprawdzić pole nadawcy (Od) tej wiadomości, aby przekonać się, że nie jest ona prawdziwa. Nazwa wyświetlana to wprawdzie UPS, ale powiązany z nią adres e-mail (@bmwsetkani.cz) nie ma z tą firmą nic wspólnego. Poza tym i tak nie zamawiałeś żadnej dostawy przez UPS.

Kliknięcie linku może prowadzić do fałszywej strony internetowej, na której pojawi się prośba o wpisanie danych karty płatniczej, adresu domowego lub innych poufnych informacji. Wiadomość może też zawierać niezamówiony załącznik, który po pobraniu automatycznie zainstaluje złośliwe oprogramowanie na Twoim urządzeniu.

Sprawdź poniżej, jak rozpoznać phishingową wiadomość e-mail, aby poznać więcej charakterystycznych oznak phishingu.

Rodzaje ataków phishingowych

Oszuści mogą dostarczać wiadomości phishingowe za pośrednictwem wiadomości SMS, mediów społecznościowych lub połączeń telefonicznych, jednak większość ataków phishingowych odbywa się drogą e-mailową.

Phishing e-mailowy

Atakujący wysyłają masowe wiadomości e-mail, które wyglądają na przysłane przez prawdziwe organizacje, aby skłonić Cię do ujawnienia prywatnych informacji. Zazwyczaj oszuści dążą do kradzieży danych logowania do konta, danych bankowych lub karty płatniczej bądź danych osobowych, aby wykorzystać je do kradzieży tożsamości(nowe okno).

Wiadomości phishingowe mają zazwyczaj ogólny charakter i są wysyłane masowo jako spam. Im więcej ich wyślą, tym większa szansa na „złapanie” kogoś na haczyk.

Spear phishing

Wiadomości typu spear phishing są zazwyczaj kierowane do konkretnych osób w organizacji, często posiadających specjalne uprawnienia dostępu. Celem jest kradzież poufnych informacji, takich jak dane logowania, lub zainfekowanie urządzenia ofiary złośliwym oprogramowaniem w celu przejęcia poufnych danych.

Wiadomości te są często spersonalizowane i sprawiają wrażenie, że pochodzą od nadawcy, któremu cel ufa, przez co łatwo uśpić czujność ofiary. Na przykład oszust podszywający się pod głównego księgowego firmy może wysłać wiadomość e-mail do jego asystenta z prośbą o dokonanie pilnej płatności na rzecz rzekomego dostawcy.

Spear phishing to jedna z głównych metod wykorzystywanych do naruszenia bezpieczeństwa biznesowej poczty e-mail (BEC)(nowe okno).

Whaling (whale phishing)

Podobnie jak spear phishing, whaling jest atakiem spersonalizowanym, jednak jego celem jest kadra zarządzająca najwyższego szczebla, np. dyrektor generalny (CEO). Poprzez branie na cel osób na stanowiskach kierowniczych oszuści mają nadzieję na zdobycie bardziej wartościowych informacji lub uzyskanie dostępu do kont finansowych.

Podobnie jak w przypadku spear phishingu, ofiary mogą łatwo dać się nabrać, ponieważ wiadomość może być wysoce spersonalizowana i przekonująca — rzekomo pochodząca od kogoś, komu ufają.

Vishing i smishing

Vishing to rodzaj phishingu wykorzystujący fałszywe połączenia telefoniczne lub wiadomości głosowe. Oszuści podający się za przedstawicieli legalnej firmy dzwonią do Ciebie (osobiście lub za pomocą automatu) i proszą o podanie danych osobowych.

Mogą na przykład zadzwonić, podając się za Twojego „dostawcę internetu”, i twierdzić, że wystąpił problem z Twoim kontem. Aby „rozwiązać problem”, mogą poprosić Cię o podanie imienia i nazwiska, numeru ubezpieczenia społecznego lub danych karty płatniczej.

Smishing to po prostu phishing, w którym zamiast wiadomości e-mail wykorzystuje się SMS-y. Podobnie jak w przypadku e-maili phishingowych, wiadomość tekstowa może zawierać złośliwy link do fałszywej strony internetowej służącej do kradzieży danych osobowych. Link ten może również spowodować pobranie złośliwego oprogramowania na Twoje urządzenie.

Angler phishing (w mediach społecznościowych)

Angler phishing (wyłudzanie informacji metodą „na wędkarza”) polega na tym, że oszuści zakładają konta w mediach społecznościowych, podszywając się pod pracownika obsługi klienta danej firmy. Przechwytując skargę lub zapytanie klienta w mediach społecznościowych, mogą poprosić ofiarę o podanie danych osobowych w celu „zbadania problemu”.

Inną metodą jest stworzenie fałszywej strony internetowej przypominającej stronę logowania do mediów społecznościowych. Oszuści mogą również wysyłać wiadomości phishingowe, które wyglądają, jakby pochodziły z serwisu społecznościowego, z prośbą o „zaktualizowanie” lub „potwierdzenie” swoich danych osobowych.

Oszustwa e-mailowe związane z przestrzenią dyskową w chmurze

Oszustwa e-mailowe związane z przestrzenią dyskową w chmurze polegają na podszywaniu się pod usługi takie jak Google Drive, Dropbox lub Microsoft OneDrive z ostrzeżeniem, że Twoja przestrzeń dyskowa jest pełna lub wkrótce wygaśnie. Wiadomość nakłania Cię do natychmiastowego kliknięcia linku w celu ulepszenia planu lub zweryfikowania konta — w przeciwnym razie ryzykujesz utratę plików.

Kliknięcie linku zazwyczaj prowadzi do fałszywej strony logowania lub płatności, zaprojektowanej w celu kradzieży Twoich danych logowania lub danych karty płatniczej. Jeśli naprawdę martwisz się o swoją przestrzeń dyskową, przejdź bezpośrednio na stronę internetową usługi, wpisując jej adres w przeglądarce, lub zaloguj się za pomocą oficjalnych aplikacji. Nigdy nie korzystaj z linków w wiadomości e-mail.

Jak rozpoznać wiadomość phishingową

Choć niektóre wiadomości phishingowe wyglądają, jakby pochodziły z wiarygodnego źródła, wiele z nich zawiera wyraźne oznaki, że są fałszywe.

Zwróć uwagę na poniższe ostrzeżenia. Jeśli zauważysz którekolwiek z nich w wiadomości, istnieje duże prawdopodobieństwo, że jest to próba wyłudzenia informacji:

Przykład wiadomości phishingowej podszywającej się pod PayPal, pokazujący sygnały ostrzegawcze przed phishingem
Sygnały ostrzegawcze phishingu

1. Nieoficjalny adres nadawcy:

Nadawca w polu Od to security@paypal.com, ale rzeczywisty adres e-mail to . Nieoficjalny adres @paypat483576.com zamiast @paypal.com to wyraźny znak, że wiadomość jest fałszywa.

2. Ogólne powitanie

Podczas gdy wiarygodne wiadomości zazwyczaj witają Cię po imieniu, np. „Cześć Alicja” lub „Witaj Jan Kowalski”, oszuści często zaczynają od ogólnego powitania, takiego jak „Drogi Kliencie” lub „Cześć”, po którym następuje Twój adres e-mail. Czasami w ogóle rezygnują z powitania.

3. Pilne prośby, groźby lub nagrody

Wiadomości phishingowe często udają, że Twoje konto zostało zagrożone. Nakłaniają Cię do podjęcia pilnych działań w celu „zweryfikowania” lub „potwierdzenia” Twoich danych osobowych, pod groźbą zawieszenia lub zamknięcia konta.

Inne informują o miłej niespodziance dla Ciebie: „zwrocie podatku”, „wygranej na loterii” lub „ofercie specjalnej”, która jest dostępna tylko przez ograniczony czas. Albo przypadkowy przystojny mężczyzna lub piękna kobieta na fałszywej stronie dla dorosłych niespodziewanie wybrała Cię na partnera.

4. Błędy gramatyczne lub ortograficzne

Oszuści nie zawsze piszą poprawnie, więc zwracaj uwagę na błędy. Może to być zwykła wielka litera w środku zdania, np. „My”, lub błędna pisownia nazwy firmy: „Pay-pal” zamiast „PayPal”.

5. Linki, przyciski lub niezamówione załączniki

Wiadomości phishingowe często zachęcają do kliknięcia przycisku lub linku w celu wpisania danych osobowych lub dokonania płatności. Jeśli korzystasz z komputera, najedź kursorem myszy na link (nie klikaj go!), a zobaczysz, że adres URL (https://www.flyt.it) różni się od linku (https://www.paypal.com).

Wiadomości mogą również zawierać załącznik, np. fałszywą fakturę, zawierający złośliwe oprogramowanie, które po pobraniu zainfekuje Twój komputer.

Pamiętaj, że niektóre wiadomości phishingowe mogą wyglądają zupełnie normalnie; jedyną wskazówką może być ich podejrzany cel.

Na przykład załóżmy, że pracujesz jako księgowy w firmie, a „Twoja szefowa Sally” (w rzeczywistości oszust) wysyła Ci wiadomość e-mail z prośbą o wykonanie pilnego przelewu na nieznane konto bankowe. Wiadomość wygląda na wysłaną przez Sally, ale czy naprawdę by to zrobiła? Czy to jej styl pisania? W razie wątpliwości zadzwoń do niej lub napisz SMS-a.

Trzy kroki do rozpoznania phishingu

Wszystko to są wyraźne oznaki phishingu, ale nie wszystkie fałszywe wiadomości e-mail są tak łatwe do wykrycia.

Dlatego zalecamy wykonanie poniższych kroków po otrzymaniu jakiejkolwiek wiadomości e-mail zawierającej przycisk, link, załącznik lub prośbę o podanie danych osobowych, zwłaszcza jeśli wymaga ona pilnego działania:

Trzy kroki, aby sprawdzić, czy wiadomość to phishing, po otrzymaniu podejrzanego e-maila
Trzy kroki do rozpoznania phishingu

Pamiętaj, że tylko oszuści kontaktują się bez zapowiedzi i żądają natychmiastowego działania pod groźbą konsekwencji. Ponadto wiarygodne firmy nie proszą o podanie poufnych informacji drogą e-mailową.

Jeśli obawiasz się na przykład „pilnej” wiadomości od swojego banku, zaloguj się na swoje konto lub skontaktuj się bezpośrednio z bankiem, aby to sprawdzić. Nie korzystaj jednak z danych kontaktowych ani linków logowania zawartych w tej wiadomości.

Jak zapobiegać atakom phishingowym

Zachowanie czujności wobec oznak phishingu to tylko jeden ze sposobów ochrony. Oto jak zminimalizować ryzyko phishingu na wszystkich swoich urządzeniach:

1. Zabezpiecz swoją pocztę e-mail

Korzystaj z bezpiecznego dostawcy poczty e-mail z inteligentnym filtrowaniem spamu, takiego jak Proton Mail. Proton Mail automatycznie filtruje spam do folderu ze spamem i oferuje zaawansowaną ochronę przed phishingiem PhishGuard, która oznacza potencjalne próby wyłudzenia informacji.

Czerwony baner ostrzegawczy Proton Mail informujący, że ta wiadomość e-mail została oznaczona jako próba wyłudzenia informacji
Ostrzeżenie przed phishingem w Proton Mail

Ułatwiamy również zgłaszanie prób wyłudzenia informacji w aplikacji internetowej i mobilnej Proton Mail.

Nie klikaj linków ani nie pobieraj załączników w wiadomościach e-mail, SMS-ach ani mediach społecznościowych od nieznanych nadawców.

Jeśli korzystasz z komputera, możesz najechać kursorem myszy na link (nie klikaj go!), aby sprawdzić docelowy adres URL. W tym fałszywym e-mailu phishingowym podszywającym się pod UPS adres URL (https://zpr.io/xxx) wyraźnie nie ma nic wspólnego z firmą UPS.

Pokazanie, jak najechać kursorem myszy na link w e-mailu, aby sprawdzić, czy docelowy adres URL jest prawdziwy
Najedź na link, aby go sprawdzić

W Proton Mail możesz korzystać z potwierdzania linków, aby sprawdzić, czy linki w e-mailach są prawdziwe, tak jak w przypadku tego linku z serwisu eBay UK (ebay.co.uk).

Funkcja potwierdzania linków w Proton Mail, która pozwala sprawdzać linki w wiadomościach e-mail pod kątem oznak phishingu
Potwierdzanie linków w Proton Mail

3. Nie odpowiadaj na spam

Nie otwieraj wiadomości będących spamem ani w żaden sposób na nie nie odpowiadaj. Odpowiadając na e-maile ze spamem lub SMS-y (na przykład klikając anuluj subskrypcję lub wysyłając SMS-a o treści STOP), dajesz spamerom znać, że Twój adres e-mail lub numer telefonu jest aktywny. Po prostu je usuń.

Otwieranie e-maili może również umożliwić elementom śledzącym śledzenie Cię w sieci. Korzystaj z Proton Mail z rozszerzoną ochroną przed śledzeniem, aby blokować elementy śledzące.

Przycisk Utwórz darmowe konto Proton

4. Zainstaluj oprogramowanie antywirusowe

Oprogramowanie antywirusowe lub zabezpieczające przed zagrożeniami z internetu może zawierać filtry antyspamowe blokujące potencjalne wiadomości phishingowe, a wiele subskrypcji obejmuje zarówno komputery, jak i urządzenia mobilne. Upewnij się, że oprogramowanie pochodzi od renomowanego producenta i jest zaktualizowane o najnowsze definicje wirusów oraz złośliwego oprogramowania.

Jeśli przypadkowo klikniesz link służący do wyłudzenia informacji i pobierzesz złośliwe oprogramowanie, Twoje oprogramowanie zabezpieczające może je wykryć i wyłączyć.

5. Dbaj o aktualność swoich urządzeń

Dbaj o to, aby systemy operacyjne Twojego komputera lub telefonu, przeglądarki, wtyczki do przeglądarek i inne aplikacje były zaktualizowane do najnowszych wersji z poprawkami bezpieczeństwa.

Może to chronić Cię przed próbami wyłudzenia informacji, które wykorzystują luki w systemie operacyjnym.

6. Używaj silnych haseł i uwierzytelniania dwustopniowego (2FA)

Upewnij się, że używasz silnych, unikalnych haseł we wszystkich swoich kontach online. Zalecamy korzystanie z dobrego, otwartego menedżera haseł, który pomoże Ci tworzyć i zapamiętywać silne hasła.

Włącz też uwierzytelnianie dwustopniowe (2FA) wszędzie, gdzie to możliwe. W ten sposób, jeśli Twoje nazwy użytkownika lub hasła zostaną kiedykolwiek ujawnione w wyniku próby wyłudzenia informacji, oszuści nie będą mogli uzyskać dostępu do Twoich kont.

7. Twórz kopie zapasowe swoich danych

Regularnie twórz kopie zapasowe swoich danych, w tym kopie zapasowe offline. W ten sposób zawsze możesz przywrócić swoje dane, jeśli Twoje urządzenie zostanie zainfekowane oprogramowaniem ransomware lub innym złośliwym oprogramowaniem, które prowadzi do utraty danych.

Chroń swoją firmę przed próbami wyłudzenia informacji

Firmy w USA straciły ponad 2,7 miliarda dolarów w wyniku przejęcia firmowej poczty e-mail(nowe okno) w 2022 roku. Spośród firm w Wielkiej Brytanii, które zgłosiły cyberatak w tym samym roku, 83% stwierdziło, że atak był próbą wyłudzenia informacji(nowe okno).

Padnij ofiarą próby wyłudzenia informacji, a możesz narazić się na wyciek danych lub atak typu ransomware. Oprócz strat finansowych i utraty danych może to zaszkodzić Twojej marce i zaufaniu klientów.

Jeśli więc prowadzisz firmę, podjęcie kroków przeciwko próbom wyłudzenia informacji ma kluczowe znaczenie dla Twojego cyberbezpieczeństwa. Oto jak zminimalizować ryzyko prób wyłudzenia informacji w Twojej firmie:

Włącz filtry spamu i prób wyłudzenia informacji

Upewnij się, że włączasz filtry spamu i prób wyłudzenia informacji w swoim e-mailu i oprogramowaniu zabezpieczającym.

Zarejestruj się w usłudze Proton for Business, a otrzymasz Proton Mail z automatycznym filtrowaniem spamu oraz zaawansowaną ochroną przed próbami wyłudzenia informacji PhishGuard włączonymi domyślnie. Proton Mail zawiera również ochronę przed podszywaniem się pod niestandardowe domeny (anti-spoofing), aby uniemożliwić oszustom używanie domeny Twojej firmy do spamu lub prób wyłudzenia informacji.

Przeszkol swój zespół

Organizuj regularne szkolenia budujące świadomość na temat prób wyłudzenia informacji dla swoich pracowników, aby wiedzieli, jak je rozpoznać. Jeśli dysponujesz zasobami IT, możesz wysyłać im próbne e-maile imitujące próby wyłudzenia informacji, aby dać im praktyczne doświadczenie. Ułatw im zgłaszanie podejrzeń wyłudzenia informacji.

Wymuszaj stosowanie silnych haseł i 2FA

Upewnij się, że Twoje systemy IT wymuszają używanie silnych haseł i 2FA na wszystkich urządzeniach Twojego zespołu. Jeśli jakiekolwiek dane logowania Twojego zespołu zostaną ujawnione w wyniku próby wyłudzenia informacji, 2FA zapewni dodatkową linię obrony.

Zainstaluj antywirus dla firm

Jeśli Twój zespół liczy więcej niż kilka osób, rozważ zakup oprogramowania cyberbezpieczeństwa dla przedsiębiorstw. Firmowe rozwiązania antywirusowe obejmują monitorowanie zagrożeń w czasie rzeczywistym, które koncentruje się na ochronie punktów końcowych(nowe okno) dla całych sieci, a nie tylko poszczególnych urządzeń.

Chroń kluczowe dane

Szyfruj dane swojej firmy, aby się chronić. Rozważ Proton for Business, który zabezpiecza Twoją pocztę e-mail, kalendarz i przestrzeń dyskową online za pomocą szyfrowania end-to-end. Nikt poza Tobą i osobami, które upoważnisz, nie ma dostępu do Twoich danych, nawet jeśli Twoje pliki zostaną ujawnione w wyniku wycieku danych.

Twórz kopie zapasowe swoich danych

Regularnie twórz kopie zapasowe kluczowych informacji swojej firmy, w tym kopie zapasowe offline. W ten sposób, jeśli udana próba wyłudzenia informacji doprowadzi do utraty danych, zawsze możesz odzyskać swoje informacje.

Chroń się przed próbami wyłudzenia informacji

Od masowego spamu po ukierunkowane ataki typu whaling – próby wyłudzenia informacji pozostają jednym z głównych sposobów dokonywania oszustw online przez przestępców, a my wszyscy jesteśmy ich celami.

Ponieważ próby wyłudzenia informacji opierają się na ludzkich błędach, najlepszą obroną jest czujność. Jeśli otrzymasz wiadomość noszącą znamiona próby wyłudzenia informacji, nie otwieraj jej ani na nią nie odpowiadaj. Usuń ją.

Jednak wszyscy jesteśmy ludźmi i nawet doświadczeni eksperci ds. bezpieczeństwa IT mogą czasem dać się nabrać na próbę wyłudzenia informacji. Dlatego musisz podjąć kroki w celu ograniczenia ryzyka.

Zaprojektowaliśmy Proton Mail tak, aby zapewnić Ci jak najlepszą ochronę przed próbami wyłudzenia informacji, w tym:

Uważaj więc na podejrzane wiadomości, korzystaj z Proton Mail i dbaj o bezpieczeństwo!