Zaktualizowano 6 listopada 2026

Jak rozpoznać phishing: sygnały w wiadomościach e-mail i SMS

Jak rozpoznać phishing? Najpewniej po adresie, a nie po wyglądzie wiadomości. Logo i układ da się skopiować bez trudu, a wiadomości bywają napisane poprawną polszczyzną. Domeny prawdziwej strony nie da się podrobić, można za to zarejestrować łudząco podobną. Ostrzegają też presja czasu, drobna dopłata, prośba o hasło, kod BLIK lub dane karty oraz nieoczekiwany załącznik. Jeśli wiadomość dotyczy pieniędzy albo danych, trzeba ją potwierdzić inną drogą niż ta, którą przyszła.

CERT Polska, zespół działający w strukturach NASK, zwraca w poradniku o rozpoznawaniu phishingu uwagę, że samo kliknięcie w link zwykle nie jest niebezpieczne. Kłopot zaczyna się wtedy, gdy na otwartej stronie ktoś poda dane, przepisze kod, potwierdzi operację albo zainstaluje aplikację. Zamiast pytać, czy link jest bezpieczny, lepiej sprawdzić, czy strona, na której trzeba coś wpisać, jest tą, za którą się podaje.

W raporcie rocznym za 2025 rok CERT Polska podaje 78 391 incydentów phishingu, czyli 30 % wszystkich zarejestrowanych zdarzeń. Na Listę Ostrzeżeń trafiło w tym czasie prawie 245 tys. domen.

Sygnały w wiadomości e-mail

W polu nadawcy można wpisać dowolną treść, na przykład nazwę banku albo imię znajomego, dlatego liczy się pełny adres e-mail, w części programów widoczny dopiero po kliknięciu nazwy nadawcy lub najechaniu na nią kursorem. Skrócone odnośniki portal gov.pl radzi sprawdzać, najeżdżając na nie wskaźnikiem myszy bez klikania.

Portal gov.pl wymienia jako sygnał błędy językowe i brak polskich znaków. Raport CERT Polska za 2025 rok zauważa jednak, że materiały phishingowe mają coraz wyższą jakość wykonania, w tym poprawną polszczyznę i wierne kopie oryginalnych interfejsów. Brak błędów niczego więc nie dowodzi.

Osobny temat to załączniki opisane jako faktura, potwierdzenie zamówienia czy pismo z urzędu. CERT Polska wskazuje kilka sygnałów:

• Archiwum z hasłem w treści maila. Tłumaczenie o ochronie danych nie ma sensu, bo kto widzi wiadomość, widzi też hasło. Szyfrowanie utrudnia filtrom pocztowym sprawdzenie zawartości.
• Przycisk „Włącz zawartość” w dokumencie Worda lub Excela. Może uruchomić makra, więc dokument należy zamknąć.
• Podwójne rozszerzenie. Plik faktura.pdf.exe może wyglądać jak faktura.pdf, bo Eksplorator plików domyślnie ukrywa rozszerzenia znanych typów. Pliki .exe, .scr czy .bat od razu uruchamiają zapisany w nich kod.
• Inny numer konta niż zwykle. Zmianę trzeba potwierdzić pod znanym numerem telefonu, także gdy faktury się spodziewano.

SMS: dopłata do paczki, kod BLIK i fałszywy bank

Pole nadawcy SMS-a można sfałszować tak samo jak nadawcę e-maila, więc nazwa firmy kurierskiej nad wiadomością niczego nie dowodzi. Według CERT Polska większość wejść na strony phishingowe następuje w ciągu 15 minut od otrzymania wiadomości.

Kod z SMS-a lub potwierdzenie w aplikacji bankowej to ostatnia bariera, o ile ktoś przeczyta opis operacji, a nie tylko cyfry. KNF wyjaśnia, że dane wpisane na fałszywej stronie trafiają do przestępców, którzy logują się nimi do prawdziwego banku. Jeśli komunikat dotyczy dodania nowego urządzenia albo zaufanego odbiorcy, a nie zakupu, operację trzeba przerwać. Przy dopłacie 2 zł kwota w komunikacie nie powinna wynosić 20 ani 200 zł.

Fałszywa strona: adres, kłódka i inne kanały

Przeglądarka wyróżnia domenę w pasku adresu, a resztę adresu pokazuje bledszym kolorem. Jeśli w wyróżnionym fragmencie nie ma nazwy banku czy sklepu, to nie jest jego strona, nawet gdy nazwa pojawia się gdzieś indziej w adresie. KNF dodaje, że adres bywa zapisany z literówkami lub znakami z innych alfabetów.

Kłódka przy adresie oznacza tylko szyfrowane połączenie, z którego korzystają też fałszywe strony. Znaczki „Bezpieczne zakupy”, logo banków i opinie na stronie sklepu to treści, o których decyduje właściciel witryny, więc oszust może je podrobić.

Link do takiej strony nie musi przyjść SMS-em. CERT Polska wymienia reklamy w mediach społecznościowych z wizerunkiem znanej osoby, płatne reklamy nad wynikami wyszukiwania, gdy szuka się infolinii banku, oraz kod QR naklejony na parkomacie. Jeśli reklama dotyczy znanego sklepu, lepiej samodzielnie otworzyć jego stronę lub aplikację.

Menedżer haseł przypisuje hasło do domeny, więc na stronie oszusta go nie podpowie, a brak autouzupełniania w znanym miejscu jest ostrzeżeniem. Passkeys i klucze sprzętowe FIDO2 są kryptograficznie powiązane z konkretną witryną, dlatego fałszywa strona nie ma jak ich wyłudzić. Kod z SMS-a lub z aplikacji da się natomiast wyłudzić tak samo jak hasło.

Co zrobić po kliknięciu lub podaniu danych

Samo otwarcie linku zwykle nie wymaga działania, liczy się to, co zrobiono na stronie. Kroki, które zaleca CERT Polska, zależą od tego, co trafiło do oszusta:

1. Dane karty lub logowania do banku. Jak najszybciej skontaktować się z bankiem i poprosić o zablokowanie karty lub dostępu do bankowości.
2. Hasło. Zmienić je w serwisie, którego dotyczyło oszustwo, i wszędzie tam, gdzie użyto tego samego. Wylogować aktywne sesje, włączyć uwierzytelnianie dwuskładnikowe i sprawdzić, czy do konta nie podpięto nieznanych aplikacji lub urządzeń.
3. Dane dokumentu. Po przekazaniu danych dowodu lub numeru PESEL zastrzec PESEL w aplikacji mObywatel, na mobywatel.gov.pl albo w urzędzie gminy. Według gov.pl usługa jest bezpłatna i realizowana od razu.
4. Utrata pieniędzy. Zgłosić sprawę na policję. Po zakupie w fałszywym sklepie CERT Polska wskazuje też komisariat lub zarząd terenowy Centralnego Biura Zwalczania Cyberprzestępczości: im szybciej, tym większa szansa na odzyskanie pieniędzy.
5. Złośliwe oprogramowanie typu infostealer. Zmienić hasła z innego, niezainfekowanego systemu i przeprowadzić pełną reinstalację systemu na zainfekowanym urządzeniu.

Jak zgłosić podejrzaną wiadomość (stan na listopad 2026)

• SMS: przekazać całą wiadomość, bez wycinania linku i treści, na bezpłatny numer 8080, funkcją „przekaż” lub „udostępnij”. Według gov.pl z jednego numeru można zgłosić najwyżej 3 wiadomości w ciągu 4 godzin, a poza Polską koszt zależy od taryfy operatora.
• E-mail lub strona: formularz na incydent.cert.pl, wiadomość na adres cert@cert.pl albo usługa „Bezpiecznie w sieci” w aplikacji mObywatel.
• Policja: zawiadomienie o przestępstwie można złożyć w dowolnej jednostce policji lub prokuratury.

W 2025 roku CERT Polska przyjął 295 169 zgłoszeń SMS, z czego 81 395 uznał za złośliwe. Według szacunków CERT Polska 790 wzorców opracowanych na podstawie zgłoszeń pozwoliło operatorom zablokować w tym czasie 1 883 610 złośliwych SMS-ów.