Phishing i podszywanie się pod firmę: jak rozpoznać kampanię i chronić klientów

Phishing wymierzony w markę firmy to atak, w którym przestępcy podszywają się pod Twój sklep, bank, kuriera lub urząd, żeby wyłudzić od Twoich klientów dane logowania, kod BLIK albo płatność. Cierpi na tym klient, ale to Twoja nazwa widnieje na fałszywej wiadomości, więc to Ty tracisz zaufanie, a często także przychody.

W skrócie:

• Wejście w ten proceder jest tanie. Zestawy phishingowe w darknecie kosztowały w 2020 roku około 35 USD razem z instrukcją obsługi, więc kampanię może uruchomić praktycznie każdy.
• Phishing jest największą kategorią zagrożeń obsługiwanych przez zespół CERT Orange Polska: w 2025 roku to ponad 47% przypadków.
• Dziś kampanie są zautomatyzowane i wspierane przez AI. Dawne wskazówki typu „szukaj błędów językowych” już nie wystarczają.
• Najskuteczniejsza obrona to połączenie trzech rzeczy: uwierzytelnienia domeny (SPF, DKIM, DMARC), monitoringu fałszywych domen i jasnej komunikacji z klientami o tym, czego firma nigdy nie robi.

‍

Jak duży jest problem w Polsce w 2026 roku

W 2025 roku oszustwa komputerowe stanowiły 97% wszystkich incydentów zarejestrowanych przez CERT Polska, a dominowały w nich phishing i fałszywe inwestycje. Według opisu raportu rocznego CERT Polska za 2025 rok zespół przyjął 658 320 zgłoszeń (o 10% więcej niż rok wcześniej) i odnotował 260 783 unikalne incydenty, czyli o 152% więcej niż w 2024 roku. CERT tłumaczy część tego skoku lepszą wykrywalnością i większą liczbą zgłoszeń od użytkowników, więc nie czytaj tej liczby jako dokładnego wzrostu liczby ataków.

Pełny raport jest dostępny na stronie CERT Polska. Z danych wynika kilka rzeczy, które wprost dotyczą firm:

• Fałszywe domeny powstają masowo. Na Liście Ostrzeżeń CERT Polska pojawiło się w 2025 roku prawie 250 tys. nowych domen (o 166% więcej niż w 2024). Operatorzy zablokowali dzięki niej 140 mln prób wejścia na niebezpieczne strony.
• Smishing jest automatyczny. Pod numer 8080 użytkownicy zgłosili ponad 350 tys. wiadomości, z czego ponad 80 tys. uznano za szkodliwe. CERT opracował 790 wzorców kampanii i zablokował blisko 1,88 mln złośliwych SMS-ów.
• Phishing to największa kategoria zagrożeń po stronie operatora. W raporcie CERT Orange Polska za 2025 rok phishing stanowi ponad 47% zagrożeń. Fałszywe inwestycje to niemal 70% oszustw phishingowych, wobec 28% dwa lata wcześniej.
• Zmienia się sposób działania. Dawniej fałszywe domeny przygotowywano pod konkretną ofiarę, dziś cały proces jest zautomatyzowany, a atakujący korzystają z asystentów AI, żeby dopasowywać techniki do ataku masowego.

‍

Jak wygląda kampania podszywająca się pod firmę

Przestępcy rzadko działają jednorazowo. Kampania to powtarzalny proces, który można uruchomić w kilka godzin i skalować na tysiące odbiorców. Jeśli chcesz zobaczyć ten mechanizm opisany też z perspektywy ofiary, więcej o tym, jak działa phishing, znajdziesz w osobnym materiale. Poniżej wersja z perspektywy właściciela marki:

1. Wybór marki i domeny. Atakujący rejestruje adres podobny do Twojego, na przykład z dopiskiem „logowanie”, „platnosc” albo z literą zmienioną na podobną. Dostaje też certyfikat HTTPS, więc kłódka w przeglądarce niczego nie dowodzi.
2. Kopia strony z gotowego zestawu. Szablon odtwarza Twoje logo, kolory i formularz płatności. Taki zestaw nie wymaga umiejętności programistycznych.
3. Dystrybucja. Link trafia do ofiar e-mailem, SMS-em, przez komunikator, w reklamie w mediach społecznościowych albo jako kod QR. CERT Orange Polska zwraca uwagę, że coraz więcej fałszywych SMS-ów wysyła się ze specjalnych aplikacji do masowej wysyłki.
4. Presja i wiarygodny pretekst. Najczęstsze scenariusze to dopłata do paczki, opłata za mandat lub subskrypcję streamingową oraz „blokada konta”, czyli sytuacje, w których ofiara chce działać szybko.
5. Przechwycenie danych na żywo. Fałszywy formularz przekazuje to, co wpisze ofiara (login, numer karty, kod BLIK, kod z SMS), atakującemu od razu, więc kod jednorazowy może zostać użyty, zanim wygaśnie.
6. Wypłata i zacieranie śladów. Środki trafiają na rachunki pośredników, a domena jest szybko porzucana i zastępowana nową, bo operatorzy i CERT blokują znane adresy. Orange opisuje to jako wielowarstwowe ukrywanie oszustw.

‍

Jak rozpoznać fałszywą wiadomość i stronę

Błędy językowe przestają być wiarygodnym sygnałem, bo narzędzia AI pomagają pisać poprawne teksty po polsku. Większą wartość ma sprawdzanie kontekstu i adresu.

Pierwszym sygnałem ostrzegawczym jest alarm połączony z presją czasu, na przykład „masz nieopłaconą fakturę”, „ostatnie ostrzeżenie” albo „konto zostanie zablokowane”. Gdy taką wiadomość dostaniesz, zatrzymaj się i wejdź na stronę firmy samodzielnie, bez klikania w link. Drugim sygnałem jest podobna domena, na przykład infakt-logowanie.pl zamiast infakt.pl, dlatego porównuj cały adres, a nie tylko jego początek, i adres logowania wpisuj ręcznie. Link często ukrywa się pod przyciskiem w rodzaju „Zapłać teraz”, więc najedź na niego kursorem (na telefonie przytrzymaj link) i sprawdź, dokąd prowadzi. Podobnie traktuj kody QR umieszczone na naklejkach, ulotkach lub w mailach jako obrazek: to też link, więc sprawdź jego cel, zanim go otworzysz. Uważaj również na telefon od rzekomego konsultanta, który prosi o kod BLIK lub dane logowania. Rozłącz się i oddzwoń na numer z oficjalnej strony. Wreszcie nie otwieraj nieoczekiwanych załączników, na przykład faktury lub „potwierdzenia” od nieznanego nadawcy, tylko zapytaj nadawcę innym kanałem.

Jeśli ktoś już kliknie: nie podaje żadnych danych, zmienia hasło, włącza uwierzytelnianie dwuskładnikowe i sprawdza ostatnie logowania w ustawieniach konta. Te kroki polecają m.in. poradniki inFakt o rozpoznawaniu phishingu.

‍

‍

Zagrożenia, o których rzadko się pisze

Większość poradników kończy się na „nie klikaj w podejrzane linki”. Tymczasem kilka wzorców omija tę radę całkowicie.

‍

Kody QR (quishing)

Kod QR nie zawiera klikalnego linku, więc wiele filtrów poczty i programów antywirusowych nie analizuje obrazków z kodami. Według opisu Malwarebytes cytowanego przez Telepolis tak właśnie atakowano użytkowników Outlooka (komunikat o „weryfikacji konta” prowadzący na stronę wyłudzającą hasła). CERT Polska ostrzegał też przed fałszywymi kodami na parkomatach w Warszawie. Jeśli naklejasz kody QR na ulotkach lub paczkach, pamiętaj, że ktoś może zaklejić je własnymi.

‍

Smishing i BLIK

SMS trafia prosto na telefon, a pretekst (dopłata do paczki, mandat) pasuje do niemal każdego odbiorcy. CERT Polska przez numer 8080 i wzorce kampanii blokuje takie wiadomości u operatorów, ale obrona po stronie firmy również ma znaczenie: poinformuj klientów, że nigdy nie prosisz o kod BLIK ani o dopłatę przez link w SMS-ie.

‍

Fałszywa CAPTCHA i podszywanie się pod instytucje

W raporcie za 2024 rok CERT Polska wskazywał nowe schematy: fałszywą CAPTCHę, złośliwe kody QR, podszywanie się pod Komendę Główną Policji oraz oszustwo „na dziecko” przez WhatsApp (omawia to ITwiz). Sprawdzenie, czy strona jest „prawdziwa”, nie wystarczy, jeśli każą Ci tam skopiować i uruchomić polecenie lub zainstalować „aktualizację”.

‍

Płatności w podróży i przy rezerwacjach

Wynajem samochodu, hotele i bilety to ulubione scenariusze oszustów, bo klient spodziewa się maila z linkiem do płatności lub kaucji. Praktyczne wskazówki, jak wyglądają bezpieczne płatności przy wynajmie auta i w podróży, obejmują m.in. karty wirtualne i płatności mobilne, które ograniczają skutki wycieku danych.

‍

Fałszywe inwestycje pod Twoją marką

Fałszywe inwestycje to niemal 70% oszustw phishingowych w danych CERT Orange Polska. Jeśli Twoja marka jest rozpoznawalna, ktoś może jej użyć jako „wiarygodnej” oprawy takiej oferty, więc warto regularnie sprawdzać reklamy i profile, które używają Twojej nazwy.

‍

Jak chronić klientów i markę

Obrona składa się z czterech warstw. Żadna z nich osobno nie wystarczy.

• Uwierzytelnij swoją domenę pocztową (SPF, DKIM, DMARC). Od 5 maja 2025 roku Microsoft wymaga od nadawców wysyłających 5000 lub więcej wiadomości dziennie na konta Outlook.com, Hotmail.com i Live.com przejścia weryfikacji SPF i DKIM oraz rekordu DMARC (co najmniej p=none) zgodnego z jednym z nich. Wiadomości niezgodne są odrzucane, a nie wrzucane do spamu (wyjaśnia to dmarcian). Podobne wymagania od 2024 roku wprowadziły Google i Yahoo. Docelowo ustaw politykę p=quarantine, a potem p=reject, żeby nikt nie wysłał maila z dokładnie Twojej domeny.
• Pamiętaj, że DMARC nie chroni przed domenami „pół kroku obok”. Fałszywy adres z dopiskiem „logowanie” przejdzie wszystkie testy, bo należy do przestępcy. Dlatego monitoruj nowe domeny podobne do Twojej, na przykład przez logi przejrzystości certyfikatów, i wykup najbardziej oczywiste warianty. Pomocne jest też bezpłatna usługa moje.cert.pl, która monitoruje strony i zgłasza podatności oraz wycieki haseł.
• Zgłaszaj fałszywe strony. Zgłoszenie do CERT Polska przez incydent.cert.pl może doprowadzić do wpisania domeny na Liście Ostrzeżeń, a wtedy blokują ją operatorzy. Równolegle napisz do rejestratora domeny i dostawcy hostingu.
• Powiedz klientom, czego nigdy nie robisz. Na stronie i w stopce maili napisz wprost: nie prosimy o kod BLIK, hasło ani dopłatę do paczki przez link w SMS-ie. To najtańsza i najczęściej pomijana forma ochrony.
• Używaj uwierzytelniania odpornego na phishing. Kody z SMS-a można przekazać na żywo przez fałszywą stronę, a klucze sprzętowe i passkeys są związane z prawdziwą domeną i nie zadziałają na podrobionej.

‍

Przetestuj własnych pracowników

Kontrolowana kampania phishingowa przeciwko własnemu zespołowi to najlepszy sprawdzian procedur. Zanim zamówisz usługę, warto znać różnicę, bo skan podatności czy pentest to dwie różne rzeczy: skaner znajdzie przestarzałe oprogramowanie, ale nie sprawdzi, czy pracownik poda hasło w fałszywym formularzu. Kontrolowane testy socjotechniczne wykonuje się wyłącznie na podstawie pisemnej zgody i umowy o zakresie prac.

‍

Co zrobić, gdy ktoś podszywa się pod Twoją firmę

1. Zabezpiecz dowody. Zrób zrzuty ekranu fałszywej strony i wiadomości, zapisz pełny adres URL i nagłówki maila.
2. Zgłoś incydent do CERT Polska przez incydent.cert.pl. Podejrzane SMS-y można też przesłać na numer 8080.
3. Napisz do rejestratora domeny i dostawcy hostingu z prośbą o wyłączenie strony oraz zgłoś ją jako phishing w przeglądarkach, żeby użytkownicy zobaczyli ostrzeżenie.
4. Ostrzeż klientów tym samym kanałem, którym trafia do nich atak. Krótki komunikat na stronie, w mediach społecznościowych i w mailu ogranicza liczbę ofiar.
5. Zgłoś sprawę na policję, zwłaszcza gdy klienci stracili pieniądze, i zachęć ich do natychmiastowego kontaktu z bankiem.
6. Jeśli dane wyciekły z Twoich systemów, a nie tylko z fałszywej strony, sprawdź obowiązek zgłoszenia naruszenia ochrony danych osobowych do UODO w ciągu 72 godzin (art. 33 RODO).

Klientowi, który już podał dane, poradzisz to samo co w poradniku inFakt: zmień hasło, włącz 2FA, sprawdź ostatnie logowania i skontaktuj się z bankiem.

‍

Najczęstsze pytania (FAQ)

Czym jest phishing i czym różni się od smishingu? Phishing to wyłudzanie danych przez podszywanie się pod zaufaną instytucję lub firmę. Smishing to ten sam mechanizm, ale w SMS-ie.

Czy kłódka HTTPS w przeglądarce oznacza, że strona jest bezpieczna? Nie. Certyfikat HTTPS potwierdza tylko szyfrowanie połączenia, a nie to, kto prowadzi stronę. Fałszywe domeny też go mają.

Czy DMARC wystarczy, żeby nikt nie podszywał się pod moją firmę? Nie. Chroni przed wysyłką maili z dokładnie Twojej domeny, ale nie przed domenami o podobnej nazwie.

Gdzie zgłosić fałszywą stronę lub SMS? Stronę przez formularz incydent.cert.pl, a podejrzany SMS można przesłać na numer 8080.

Co zrobić, jeśli klient podał dane na fałszywej stronie? Zmienić hasło, włączyć uwierzytelnianie dwuskładnikowe, sprawdzić ostatnie logowania i od razu skontaktować się z bankiem.

‍