Phishing: jak rozpoznać fałszywą wiadomość i co zrobić po kliknięciu linku
By Kamil Rogowski
Spis treści
Phishing to nie tylko wiadomość z oczywistym błędem językowym. To próba skłonienia Cię do konkretnego działania: kliknięcia w link, zalogowania się na podstawionej stronie, podania danych karty, wykonania przelewu albo zainstalowania programu. Najważniejsza zasada brzmi: przerwij presję i sprawdź sprawę niezależnym kanałem. Jeżeli już kliknąłeś, nie zakładaj automatycznie ani że doszło do włamania, ani że nic się nie stało — dalsze kroki zależą od tego, co zrobiłeś później.
Phishing — co to właściwie znaczy?
Phishing wykorzystuje podszywanie się pod bank, kuriera, sklep, urząd, operatora lub znajomą osobę. Wiadomość może przyjść e-mailem, SMS-em, komunikatorem albo przez portal społecznościowy. Jej autor chce wywołać emocję: strach przed blokadą konta, pośpiech związany z dopłatą do przesyłki lub obietnicę szybkiego zwrotu pieniędzy.
Celem nie jest samo wysłanie komunikatu. Wiadomość ma doprowadzić do czynności, która daje oszustowi dostęp do informacji lub pieniędzy. Może to być wpisanie loginu i hasła, podanie kodu jednorazowego, danych karty, instalacja aplikacji albo otwarcie pliku. Dlatego oceniaj nie tylko wygląd logo i treść, lecz także to, czego komunikat od Ciebie żąda.
Jak rozpoznać phishing przed kliknięciem?
Nie istnieje jeden znak, który zawsze rozstrzyga sprawę. Kilka sygnałów naraz powinno jednak wystarczyć, żeby nie korzystać z linku z wiadomości:
- presja czasu, groźba blokady lub żądanie natychmiastowej płatności;
- prośba o hasło, PIN, kod SMS, dane karty albo pełne dane osobowe;
- adres nadawcy lub domena różniąca się od oficjalnej choćby jednym znakiem;
- skrócony link, nieoczekiwane przekierowanie albo adres, którego nie potrafisz powiązać z usługą;
- załącznik lub aplikacja, której nie zamawiałeś, szczególnie plik wykonywalny albo dokument proszący o włączenie zawartości;
- wiadomość pasująca do aktualnego problemu, ale otrzymana bez wcześniejszego kontaktu — na przykład dopłata do przesyłki, której się spodziewasz.
Poprawna polszczyzna nie jest dowodem autentyczności. Oszuści mogą przygotować starannie wyglądający komunikat, a pole nadawcy w SMS-ie może być sfałszowane. Zamiast odpowiadać na wiadomość, otwórz aplikację usługi albo ręcznie wpisz znany adres. Taką metodę weryfikacji i sprawdzanie rzeczywistego URL opisuje poradnik CERT Polska na gov.pl.
Jak sprawdzić link i stronę bez podejmowania ryzyka?
Na komputerze możesz najechać kursorem na link i odczytać adres wyświetlony w przeglądarce, ale samo oglądanie adresu nie daje pełnej pewności. Sprawdź przede wszystkim właściwą domenę, a nie tylko fragment nazwy widoczny na początku długiego adresu. Na telefonie nie otwieraj linku tylko po to, żeby go „zobaczyć” — bezpieczniej użyć oficjalnej aplikacji lub samodzielnie wpisać adres usługi.
Jeżeli wiadomość rzekomo pochodzi z banku, nie loguj się przez otrzymany odnośnik. Wejdź do aplikacji bankowej albo wpisz adres banku ręcznie. Jeżeli po zalogowaniu oficjalnym kanałem nie ma żadnego komunikatu, to ważna wskazówka, choć nie jedyny dowód. Nie dzwoń też na numer podany w podejrzanej wiadomości; znajdź numer na oficjalnej stronie lub na karcie bankowej.
Czy samo kliknięcie w link oznacza włamanie?
Nie zawsze. W typowym scenariuszu kliknięcie przenosi na fałszywą stronę, która dopiero prosi o hasło, dane karty lub instalację. To jednak nie jest powód, żeby ignorować zdarzenie: mogło rozpocząć pobieranie pliku albo przekierować Cię do strony wykorzystującej podatność urządzenia. Ministerstwo Cyfryzacji zaleca natychmiastową zmianę haseł po ujawnieniu danych, kontakt z bankiem przy danych finansowych oraz włączenie MFA.
| Co się wydarzyło? | Pierwszy krok | Czego nie robić? |
|---|---|---|
| Tylko otworzyłeś stronę i nic nie wpisałeś | Zamknij ją, nie pobieraj plików i sprawdź urządzenie | Nie wracaj do strony, żeby testować jej autentyczność |
| Wpisałeś hasło lub login | Zmień hasło z bezpiecznego urządzenia i zakończ obce sesje | Nie używaj ponownie tego hasła w innych usługach |
| Podałeś dane karty lub zatwierdziłeś płatność | Natychmiast skontaktuj się z bankiem oficjalnym kanałem | Nie czekaj na kolejną wiadomość od „konsultanta” |
| Pobrałeś plik lub zainstalowałeś aplikację | Odłącz urządzenie od sieci i skorzystaj z pomocy technicznej | Nie wpisuj na nim kolejnych haseł ani nie nadaj nowych uprawnień |
Co zrobić po kliknięciu w phishingowy link?
1. Tylko kliknięcie, bez danych
Zamknij kartę i nie pobieraj niczego ze strony. Jeśli przeglądarka pobrała plik, nie otwieraj go i usuń go dopiero po zanotowaniu nazwy oraz lokalizacji, jeżeli może to pomóc w dalszej diagnozie. Zaktualizuj przeglądarkę i system. Jeżeli nic nie zostało pobrane ani wpisane, nie zmieniaj w panice wszystkich haseł, ale obserwuj powiadomienia o logowaniu i zgłoś stronę.
2. Login lub hasło na fałszywej stronie
Przejdź do prawdziwej usługi przez aplikację lub ręcznie wpisany adres. Zmień hasło, wyloguj inne sesje i sprawdź dane odzyskiwania konta. To samo zrób w każdej usłudze, w której użyto identycznego hasła. Włącz MFA, jeśli jest dostępne, ale pamiętaj, że MFA ogranicza skutki przejęcia samego hasła i nie zastępuje zmiany hasła ani przeglądu sesji.
3. Dane karty, rachunku lub zatwierdzona płatność
Skontaktuj się z bankiem natychmiast, korzystając z numeru znalezionego w oficjalnej aplikacji, na stronie banku lub na karcie. Powiedz, jakie dane podano i czy zatwierdzono transakcję. Bank może wskazać właściwe działania dotyczące karty, rachunku lub transakcji. Zachowaj wiadomość, adres strony, potwierdzenia i godziny zdarzeń. Jeżeli doszło do straty albo próby oszustwa, rozważ także zawiadomienie policji lub prokuratury.
4. Pobrany plik lub zainstalowana aplikacja
Przerwij korzystanie z urządzenia do logowania i odłącz je od sieci, jeśli podejrzewasz złośliwe działanie. Nie nadaj aplikacji kolejnych uprawnień i nie próbuj „naprawiać” sytuacji przez instalowanie przypadkowych narzędzi z reklamy. W przypadku telefonu usuń aplikację tylko wtedy, gdy wiesz, że nie utrudni to zebrania informacji potrzebnych do diagnozy; przy niepewności skorzystaj z pomocy specjalisty. Po oczyszczeniu urządzenia zmień hasła z innego, zaufanego urządzenia.
Gdzie zgłosić phishing?
Podejrzaną stronę zgłoś przez formularz CERT Polska. Podejrzany SMS z linkiem możesz przekazać na numer 8080. Zgłoszenie pomaga analitykom ocenić adres, ale nie zastępuje kontaktu z bankiem, jeżeli podano dane finansowe. W przypadku szkody lub podejrzenia przestępstwa złóż zawiadomienie na policji albo w prokuraturze. Zachowaj oryginalną wiadomość i dowody, nie przesyłaj jej dalej znajomym bez ostrzeżenia.
Krótka checklista przed kliknięciem
- Odłóż działanie, jeśli wiadomość wymusza pośpiech.
- Sprawdź, czego naprawdę żąda komunikat: hasła, kodu, płatności czy instalacji.
- Zweryfikuj nadawcę i adres, ale nie traktuj poprawnego logo jako dowodu.
- Wejdź do usługi niezależnym kanałem, bez używania linku z wiadomości.
- Jeśli doszło do błędu, wybierz scenariusz z tabeli i działaj w tej kolejności.
Podstawowe zasady warto połączyć z szerszą checklistą cyberbezpieczeństwa dla domu. Jeśli chcesz zobaczyć inne rodzaje zagrożeń, przeczytaj także materiał o rozpoznawaniu zagrożeń cyberbezpieczeństwa.
Źródła
Najczęściej zadawane pytania
Czy samo kliknięcie w link oznacza, że konto zostało przejęte?
Nie. Ryzyko zależy od tego, co stało się później: czy wpisano dane, zatwierdzono płatność, pobrano plik albo zainstalowano aplikację. W każdym przypadku przerwij kontakt i przejdź do odpowiedniego scenariusza reakcji.
Czy kliknięcie linku trzeba zgłosić do CERT Polska?
Warto zgłosić podejrzaną stronę lub wiadomość, zwłaszcza gdy prowadziła do wyłudzenia danych. Stronę zgłosisz przez formularz CERT Polska, a podejrzany SMS możesz przekazać na numer 8080.
Co zrobić najpierw po podaniu hasła na fałszywej stronie?
Zmień hasło z bezpiecznego urządzenia i zakończ podejrzane sesje, a następnie włącz MFA, jeśli usługa je oferuje. Jeżeli to samo hasło było używane gdzie indziej, zmień je także tam.
Autor Artykułu
Kamil Rogowski
Kamil Rogowski - to pasjonat technologii i sprzętu komputerowego, który od lat śledzi rozwój PC, podzespołów i gamingu. Na pcarena.pl dzieli się testami, opiniami oraz praktycznymi poradami, pomagając czytelnikom wybrać najlepszy sprzęt do pracy i rozrywki. Jego artykuły łączą wiedzę techniczną z lekkim, przystępnym stylem.