Dostajesz SMS, że paczka czeka na dopłatę 1,99 zł, albo e-mail z banku, że konto zostanie zablokowane, jeśli nie klikniesz w link? To przykłady phishingu. Phishing to oszustwo, w którym przestępca podszywa się pod zaufaną firmę, urząd albo osobę, żeby wyłudzić Twoje dane, pieniądze albo nakłonić Cię do zainstalowania aplikacji, która da mu dostęp do telefonu.
Nazwa pochodzi od angielskiego słowa „fishing”, czyli łowienie ryb. Po polsku mówi się o wyłudzaniu danych. Oszust zarzuca przynętę i czeka, aż ktoś się na nią złapie. Skala jest duża: według raportu CERT Polska w 2025 r. odnotowano 78 391 incydentów phishingu, a oszustwa komputerowe stanowiły 97% wszystkich obsłużonych zdarzeń. Sprawdź jak się przed tym chronić.
Phishing – w pigułce
| Pytanie | Krótka odpowiedź |
|---|---|
| Co to jest phishing? | oszustwo polegające na podszywaniu się pod zaufaną instytucję lub osobę |
| Czego chcą oszuści? | loginów, haseł, danych karty, kodów BLIK i SMS, pieniędzy |
| Jak zgłosić podejrzany SMS? | przekazać go bezpłatnie na numer 8080 |
| Gdzie zgłosić stronę lub e-mail? | na incydent.cert.pl |
| Co zrobić po podaniu danych? | od razu zadzwonić do banku i zablokować dostęp |
Na czym polega phishing
Phishing wykorzystuje emocje i pośpiech. Oszuści piszą tak, żeby wywołać strach, ciekawość albo poczucie okazji: blokada konta, niezapłacona faktura, zwrot podatku, wygrana, inwestycja z gwarantowanym zyskiem. Wiadomość zawiera link do strony, która wygląda jak prawdziwa, np. strona banku, sklepu czy serwisu ogłoszeniowego. Wszystko, co wpiszesz na takiej stronie, trafia do przestępcy.
Według raportu CERT Polska za 2025 r. najwięcej fałszywych stron dotyczyło rzekomych inwestycji, a wśród marek oszuści podszywali się przede wszystkim pod OLX, Allegro i Orlen.
| Cel podszywania się | Liczba domen na Liście Ostrzeżeń w 2025 r. | W 2024 r. |
|---|---|---|
| Fałszywe inwestycje | 98 663 | 42 172 |
| OLX | 28 562 | 9 714 |
| Allegro | 22 613 | 4 074 |
| Orlen | 16 977 | 972 |
| TVN | 11 644 | 7 |
Źródło: CERT Polska, Raport roczny 2025. Łącznie w 2025 r. na Listę Ostrzeżeń CERT Polska trafiło 244 341 domen.
Rodzaje phishingu
Phishing ma kilka odmian, które różnią się kanałem i sposobem działania.
| Rodzaj | Kanał | Na czym polega |
|---|---|---|
| Phishing e-mailowy | wiadomość podszywająca się pod bank, sklep, urząd z linkiem lub załącznikiem | |
| Smishing | SMS | SMS od rzekomego kuriera, operatora czy urzędu z linkiem do fałszywej strony |
| Vishing | telefon | rozmowa z rzekomym pracownikiem banku, policji lub firmy, która nakłania do przelewu albo instalacji aplikacji |
| Spear phishing | e-mail, komunikator | atak przygotowany pod konkretną osobę lub firmę, z wykorzystaniem prawdziwych informacji o niej |
| Phishing w komunikatorach | Messenger, WhatsApp | wiadomość od przejętego konta znajomego z prośbą o kod BLIK lub pieniądze |
| Fałszywe ogłoszenia i płatności | serwisy ogłoszeniowe | link do rzekomej „bezpiecznej płatności”, który ma przejąć dane karty |
Polskie prawo definiuje wprost dwa zjawiska. Smishing polega na wysłaniu SMS-a, w którym nadawca podszywa się pod inną osobę lub instytucję, aby nakłonić odbiorcę np. do podania danych, wykonania przelewu, otwarcia strony internetowej albo zainstalowania oprogramowania. CLI spoofing to z kolei podszywanie się pod inny numer telefonu podczas połączenia głosowego. Dzięki temu na ekranie odbiorcy może wyświetlić się np. numer banku.
Spoofing a phishing – czym się różnią?
Spoofing to technika polegająca na podszywaniu się pod kogoś innego, np. przez fałszowanie numeru telefonu, adresu e-mail lub nazwy nadawcy SMS-a. Phishing to atak, którego celem jest wyłudzenie danych lub pieniędzy. Spoofing może być więc jednym z narzędzi phishingu. Oszust może na przykład podrobić numer telefonu banku, aby uwiarygodnić rozmowę.
Jak rozpoznać phishing?
Zwróć uwagę na sygnały ostrzegawcze. Nawet jeden z nich powinien skłonić Cię do ostrożności.
- Presja czasu, np. komunikat: „Twoje konto zostanie zablokowane w ciągu 24 godzin”.
- Prośba o poufne dane, których prawdziwa instytucja nie powinna zbierać w ten sposób, np. login, PIN, kod SMS lub kod BLIK.
- Podejrzany adres strony, który przypomina prawdziwy, ale zawiera np. dodatkową literę, myślnik lub inną końcówkę domeny.
- Skrócony link, który utrudnia sprawdzenie rzeczywistego adresu strony.
- Niepasujący adres nadawcy, np. adres e-mail niezwiązany z daną instytucją lub podpis, który nie zgadza się z adresem.
- Błędy językowe, brak polskich znaków lub ogólne powitanie zamiast zwrotu po imieniu.
- Podejrzanie atrakcyjna oferta, np. inwestycja z gwarantowanym wysokim zyskiem.
- Prośba o zainstalowanie aplikacji do zdalnego dostępu lub przelanie pieniędzy na tzw. bezpieczne konto.
Jeśli coś wzbudzi Twoje podejrzenia, nie klikaj w link. Zamiast tego samodzielnie wpisz adres banku lub sklepu w przeglądarce albo zadzwoń pod numer podany na karcie płatniczej lub oficjalnej stronie instytucji.
Co zrobić po kliknięciu w link lub podaniu danych?
W takiej sytuacji liczy się czas. Im szybciej zareagujesz, tym większa szansa na ograniczenie strat.
- Skontaktuj się z bankiem. Zadzwoń pod numer z karty płatniczej lub oficjalnej strony. Zastrzeż kartę albo zablokuj dostęp do bankowości, jeśli istnieje takie ryzyko.
- Zmień hasła. Zacznij od bankowości i poczty elektronicznej, a następnie zmień hasła do innych kont, w których używasz tych samych danych. Włącz też logowanie dwuskładnikowe.
- Zabezpiecz urządzenie. Jeśli na prośbę oszusta zainstalowałeś aplikację do zdalnego dostępu, odłącz telefon od internetu i ją odinstaluj. Rozważ również przywrócenie ustawień fabrycznych.
- Zastrzeż PESEL i dowód osobisty, jeśli to konieczne. Jeśli doszło do ujawnienia danych z dowodu, zastrzeż dokument. Możesz też zastrzec PESEL w aplikacji mObywatel. Więcej na ten temat przeczytasz w artykule „Kredyt na PESEL: jak się chronić”.
- Zgłoś oszustwo. Powiadom policję i CERT Polska za pośrednictwem strony incydent.cert.pl. Podejrzany SMS możesz przekazać na numer 8080.
- Sprawdź rachunek i historię kredytową. W kolejnych tygodniach kontroluj historię transakcji i raport BIK. Jak sprawdzić, czy ktoś zaciągnął kredyt na Twoje dane, wyjaśniamy w artykule „Jak sprawdzić, czy ktoś wziął na mnie kredyt”.
Czy bank zwróci pieniądze po phishingu?
To zależy przede wszystkim od tego, czy transakcja została przez Ciebie autoryzowana. Jeśli pieniądze zniknęły z konta bez Twojej zgody, np. po przejęciu danych przez oszusta, może chodzić o transakcję nieautoryzowaną. Zgłoś ją bankowi niezwłocznie.
Bank powinien zwrócić pieniądze najpóźniej do końca następnego dnia roboczego po stwierdzeniu nieautoryzowanej transakcji lub otrzymaniu zgłoszenia. Wyjątkiem jest sytuacja, w której bank ma uzasadnione i udokumentowane podstawy, by podejrzewać oszustwo ze strony klienta i zawiadomi o tym organy ścigania. To bank musi udowodnić, że transakcja została autoryzowana.
Ta ochrona ma jednak swoje granice.
| Sytuacja | Twoja odpowiedzialność |
|---|---|
| Transakcja wykonana utraconą, skradzioną lub przywłaszczoną kartą albo innym instrumentem płatniczym | do równowartości 50 euro |
| Umyślne działanie albo rażące niedbalstwo, np. przekazanie danych do logowania lub zwłoka w zgłoszeniu utraty karty | w pełnej wysokości |
| Transakcje po zgłoszeniu utraty bankowi | brak, chyba że działanie było umyślne |
| Brak zgłoszenia przez 13 miesięcy od obciążenia rachunku | roszczenia wobec banku wygasają |
Inaczej wygląda sytuacja, gdy sam zlecisz przelew albo podasz kod BLIK, wierząc oszustowi. Bank może wtedy uznać transakcję za autoryzowaną i odmówić zwrotu. W takim przypadku złóż reklamację, zawiadom policję i, jeśli bank odmówi, skontaktuj się z Rzecznikiem Finansowym.
Jak chronić się przed phishingiem?
Kilka prostych nawyków pomaga zmniejszyć ryzyko ataku:
- Nie klikaj w linki z SMS-ów i e-maili dotyczących dopłat, blokad konta czy zwrotów. Zamiast tego sprawdź sprawę samodzielnie w aplikacji lub na oficjalnej stronie.
- Nie podawaj nikomu kodów BLIK, kodów SMS ani PIN-u, nawet jeśli rozmówca przedstawia się jako pracownik banku lub policji.
- Włącz logowanie dwuskładnikowe do poczty i innych ważnych serwisów.
- Zastrzeż PESEL, jeśli nie planujesz zaciągać kredytu.
- Nie instaluj aplikacji do zdalnego dostępu na prośbę osoby, która do Ciebie dzwoni.
- Korzystaj z ochrony przed złośliwymi stronami. Lista Ostrzeżeń CERT Polska pomaga blokować dostęp do znanych fałszywych domen u operatorów, którzy z niej korzystają.
Phishing zagraża również osobom szukającym pożyczki. Uważaj na wiadomości i strony, które wymagają opłaty przed wypłatą pieniędzy lub proszą o login do bankowości internetowej „w celu weryfikacji”. Więcej o bezpiecznej weryfikacji za pomocą konta przeczytasz w artykule „Kontomatik: co to jest i czy jest bezpieczny”.
Kiedy sama ostrożność nie wystarczy
Nawet uważna osoba może paść ofiarą dobrze przygotowanego ataku, na przykład spear phishingu lub połączenia z podrobionego numeru. Dlatego oprócz ostrożności warto zadbać o dodatkowe zabezpieczenia: zastrzec PESEL, włączyć logowanie dwuskładnikowe, ustawić limity transakcji w bankowości i aktywować powiadomienia o operacjach na koncie.
Jeśli mimo tych zabezpieczeń stracisz pieniądze, postępuj zgodnie z instrukcjami opisanymi w tym artykule i jak najszybciej zgłoś sprawę.
FAQ – Najczęściej zadawane pytania
Co to jest phishing w prostych słowach?
To oszustwo, w którym przestępca podszywa się pod bank, firmę, urząd albo znajomego, żeby wyłudzić Twoje dane lub pieniądze.
Jak działają ataki phishingowe?
Oszust wysyła wiadomość, która wywołuje emocje, np. strach przed blokadą konta, i zawiera link do fałszywej strony. Dane wpisane na tej stronie trafiają do przestępcy.
Jak zgłosić phishing?
Podejrzany SMS przekaż bezpłatnie na numer 8080. Stronę lub e-mail zgłoś na incydent.cert.pl. Jeśli doszło do utraty pieniędzy, zgłoś to bankowi i policji.
Czy bank zwróci pieniądze po phishingu?
Przy transakcji nieautoryzowanej bank powinien zwrócić pieniądze do końca następnego dnia roboczego po zgłoszeniu, z wyjątkami przewidzianymi w przepisach. Gdy przelew zlecono samodzielnie, zwrot jest trudniejszy.
Skąd oszuści mają mój numer telefonu?
Mogą go mieć np. z wycieków danych, z publicznych ogłoszeń albo z losowego generowania numerów. Dlatego sam fakt, że ktoś zna Twój numer lub imię, nie świadczy o tym, że dzwoni z prawdziwej instytucji.
Jak jest phishing po polsku?
Po polsku mówi się o wyłudzaniu danych. Nazwa pochodzi od angielskiego „fishing”, czyli łowienie ryb.
Bibliografia
- CERT Polska, Raport roczny 2025 (PDF)
- Gov.pl, Czym jest phishing i jak nie dać się nabrać na podejrzane wiadomości e-mail oraz SMS-y
- CERT Polska, Zgłoś incydent
- Ustawa z dnia 28 lipca 2023 r. o zwalczaniu nadużyć w komunikacji elektronicznej (t.j. Dz.U. 2024 poz. 1803), ISAP
- Ustawa z dnia 19 sierpnia 2011 r. o usługach płatniczych (t.j. Dz.U. 2026 poz. 623), ISAP
- Ustawa z dnia 6 czerwca 1997 r. Kodeks karny (t.j. Dz.U. 2026 poz. 1342), ISAP
