Wiadomości phishingowe coraz trudniej odróżnić od prawdziwej korespondencji — warto znać kilka sygnałów, które powinny wzbudzić czujność.

Na co zwrócić uwagę

Podejrzane bywają wiadomości wywołujące presję czasową, proszące o podanie danych logowania oraz zawierające adres nadawcy niepasujący do treści komunikatu.

Co warto zrobić

Warto sprawdzić rzeczywisty adres nadawcy oraz nie klikać w linki i załączniki z wiadomości budzących wątpliwości.

Kiedy warto skorzystać z pomocy

Jeśli klient obawia się, że kliknął w podejrzany link, warto jak najszybciej skonsultować się z serwisem.

Warunki

Diagnoza wstępna i wycena są bezpłatne, a wykonana usługa objęta jest gwarancją do 12 miesięcy.

Mechanizmy techniczne i warianty phishingu pocztowego

Ataki phishingowe (metoda oszustwa polegająca na podszywaniu się pod zaufane podmioty w celu wyłudzenia poufnych informacji) przybierają zróżnicowane formy techniczne. Współczesne kampanie rzadko opierają się wyłącznie na masowej wysyłce prostych komunikatów z błędami językowymi. Cyberprzestępcy stosują zaawansowane metody socjotechniczne oraz techniczne manipulacje strukturą wiadomości, aby ominąć filtry antyspamowe i uśpić czujność odbiorcy.

Wyróżnia się kilka głównych wariantów zagrożenia pocztowego:

Spear phishing – atak ukierunkowany na konkretną osobę, firmę lub instytucję. Przestępcy zbierają wcześniej informacje o ofierze z mediów społecznościowych, forów branżowych lub publicznych rejestrów, tworząc spersonalizowaną wiadomość nawiązującą do rzeczywistych projektów, stanowisk bądź relacji służbowych.
Whaling – odmiana ataku celowanego skierowana bezpośrednio w kadrę zarządzającą, dyrektorów finansowych lub głównych księgowych. Wiadomości te często dotyczą pilnych transferów środków, fuzji przedsiębiorstw lub poufnych audytów prawnych.
Business Email Compromise (BEC) – atak polegający na przejęciu autentycznego konta pocztowego pracownika lub kontrahenta, a następnie włączeniu się w trwający wątek korespondencji biznesowej. W takim scenariuszu oszuści podmieniają numer rachunku bankowego na fakturze w formacie PDF (Portable Document Format) lub zlecają zmianę danych do przelewu.
Phishing masowy – szeroko zakrojone kampanie wysyłane do tysięcy odbiorców jednocześnie. Wykorzystują one motyw popularnych usług kurierskich, dostawców energii elektrycznej, operatorów telekomunikacyjnych, platform e-commerce lub serwisów płatności elektronicznych. Komunikaty informują z reguły o konieczności dopłaty niewielkiej kwoty do przesyłki, niedopłacie do faktury lub rzekomym zablokowaniu konta użytkownika.
Clone phishing – sklonowanie autentycznej wiadomości, którą odbiorca otrzymał w przeszłości od zaufanego nadawcy. Oszuści kopiują układ graficzny, stopkę oraz treść, podmieniając jedynie zawarte w niej załączniki lub odnośniki na wersje złośliwe.

Szczegółowe elementy wiadomości zdradzające próbę manipulacji

Dokładna analiza techniczna wiadomości e-mail pozwala na identyfikację niebezpieczeństwa jeszcze przed podjęciem jakiejkolwiek interakcji z jej zawartością. Podstawowym elementem podlegającym weryfikacji powinna być rozbieżność między nazwą wyświetlaną a rzeczywistym adresem skrzynki pocztowej nadawcy. Mechanizm ten, określany jako podszywanie się pod nazwę wyświetlaną (display name spoofing), polega na wpisaniu w polu nadawcy nazwy znanej instytucji, podczas gdy właściwy adres techniczny pochodzi z bezpłatnego, anonimowego serwera pocztowego.

Drugim istotnym czynnikiem jest konstrukcja domeny internetowej. Przestępcy rejestrują domeny łudząco podobne do oryginału, wykorzystując technikę typosquattingu (rejestracja adresów z drobnymi literówkami, pominiętymi znakami lub zamienionym szykiem liter) oraz ataki homograficzne (zastępowanie liter alfabetu łacińskiego identycznie wyglądającymi znakami z cyrylicy lub alfabetu greckiego). Przykładowo, litera „o” może zostać zastąpiona cyrylicznym znakiem o tym samym kształcie, co w programie pocztowym wygląda identycznie, lecz prowadzi do całkowicie innego serwera pod kontrolą atakujących.

Kolejnym obszarem kontroli są nagłówki techniczne wiadomości (header e-mail, czyli ukryty zestaw metadanych zawierający pełną ścieżkę serwerów pośredniczących w transmisji). W nagłówkach zapisane są wyniki testów uwierzytelniania poczty elektronicznej:

SPF (Sender Policy Framework) – mechanizm weryfikujący, czy serwer wysyłający pocztę ma autoryzację właściciela domeny do nadawania wiadomości w jego imieniu.
DKIM (DomainKeys Identified Mail) – podpis cyfrowy oparty na kryptografii asymetrycznej, gwarantujący, że treść wiadomości i jej nagłówki nie uległy modyfikacji podczas przesyłania.
DMARC (Domain-based Message Authentication, Reporting and Conformance) – polityka bezpieczeństwa określająca, jak serwer odbiorcy powinien traktować wiadomości niespełniające warunków SPF lub DKIM (odrzucenie, skierowanie do folderu spam lub przyjęcie z raportem).

Brak pozytywnej weryfikacji DMARC lub SPF w nagłówku jest bezpośrednim sygnałem, że wiadomość nie pochodzi z autoryzowanego serwera danej organizacji.

Znaczącym zagrożeniem są także spreparowane odnośniki hipertekstowe (URL). Tekst wyświetlany w treści maila jako bezpieczny link może w kodzie HTML (HyperText Markup Language) prowadzić pod zupełnie inny adres docelowy. Najechanie kursorem myszy na odnośnik bez klikania pozwala podejrzeć właściwy cel przekierowania w pasku stanu programu pocztowego lub przeglądarki. Oszuści często stosują również serwisy skracające linki, ukrywając faktyczną strukturę adresu, lub tworzą wielopoziomowe subdomeny, w których nazwa znanej instytucji jest jedynie członem początkowym, a główna domena należy do przestępców.

Szczególną uwagę należy zwrócić na dołączone pliki. Zagrożenie stanowią nie tylko bezpośrednie pliki wykonywalne z rozszerzeniami .exe, .scr, .bat czy .cmd, ale również:

Archiwa skompresowane .zip, .rar, .7z lub .tar, często zabezpieczone hasłem podanym w treści maila w celu uniemożliwienia skanowania przez automatyczne silniki antywirusowe na serwerze pocztowym.
Obrazy dysków w formatach .iso, .img lub .vhd, które po dwukrotnym kliknięciu montują się w systemie Windows jako wirtualne napędy, omijając mechanizm oznaczania plików pobranych z sieci (Mark of the Web – MOTW).
Dokumenty pakietów biurowych .docm, .xlsm, .pptm zawierające złośliwe makra VBA (Visual Basic for Applications – język skryptowy automatyzujący zadania biurowe), które po włączeniu uruchamiają skrypty pobierające oprogramowanie złośliwe.
Pliki skrótów .lnk oraz pliki skryptowe .vbs, .js, .wsf i .hta podszywające się pod ikony dokumentów tekstowych lub arkuszy kalkulacyjnych.

Typowe błędy popełniane podczas konfrontacji z podejrzaną korespondencją

Reakcja użytkownika na podejrzany e-mail często decyduje o skali ewentualnych szkód. W praktyce obserwuje się powtarzalne schematy zachowań, które zamiast chronić przed zagrożeniem, dodatkowo pogarszają sytuację techniczną.

Jednym z najczęstszych błędów jest odpowiadanie na podejrzaną wiadomość z prośbą o wyjaśnienie lub potwierdzenie tożsamości nadawcy. Wysłanie odpowiedzi potwierdza przestępcom, że dany adres e-mail jest aktywny, regularnie odczytywany i obsługiwany przez człowieka. Skutkuje to natychmiastowym wpisaniem adresu na listę celów kolejnych, bardziej dopracowanych ataków socjotechnicznych.

Równie ryzykownym zachowaniem jest klikanie w linki rzekomo umożliwiające wypisanie się z subskrypcji (odnośniki typu „Unsubscribe” lub „Wypisz się”). W wiadomościach phishingowych odnośniki te są pułapką – prowadzą bezpośrednio do formularzy wyłudzających dane lub uruchamiają pobieranie skryptów infekujących przeglądarkę internetową.

Błędem jest również próba samodzielnego testowania podejrzanych stron logowania poprzez wpisywanie nieprawdziwych danych uwierzytelniających. Nowoczesne panele phishingowe wykorzystują skrypty rejestrujące każde naciśnięcie klawisza w polach formularza w czasie rzeczywistym, jeszcze przed kliknięciem przycisku logowania. Ponadto wejście na stronę pozwala atakującym na zebranie cyfrowego odcisku przeglądarki (browser fingerprinting, czyli zestawu parametrów systemowych i sprzętowych) oraz próbę wykorzystania luk w niezałatanych wtyczkach lub silniku przeglądarki.

Częstą praktyką w środowiskach biurowych jest masowe przekazywanie podejrzanego maila do współpracowników z pytaniem, czy ktoś z nich zna sprawę. Przekazanie wiadomości bez zneutralizowania załączników i linków zwiększa ryzyko, że inna osoba w organizacji przez nieuwagę otworzy złośliwy plik na własnym stanowisku roboczym.

Nie należy także polegać wyłącznie na wbudowanych ostrzeżeniach programu pocztowego. Brak czerwonego paska ostrzegawczego nie oznacza, że korespondencja jest bezpieczna – nowe domeny i serwery wykorzystywane przez grupy przestępcze mogą nie figurować jeszcze na globalnych czarnych listach (RBL – Real-time Blackhole List).

Procedura postępowania w przypadku otwarcia złośliwego odnośnika lub pliku

W sytuacji, gdy doszło do kliknięcia w podejrzany link, wprowadzenia danych logowania lub uruchomienia załącznika, kluczowe znaczenie ma szybkie podjęcie kroków minimalizujących skutki incydentu:

Odłączenie urządzenia od sieci – należy natychmiast odpiąć kabel sieciowy Ethernet (RJ-45) lub wyłączyć łączność bezprzewodową Wi-Fi w systemie operacyjnym. Przerwanie połączenia sieciowego uniemożliwia złośliwemu oprogramowaniu komunikację z serwerem dowodzenia (C&C – Command and Control), pobranie kolejnych modułów szkodliwego kodu oraz rozprzestrzenianie się infekcji na inne komputery w sieci lokalnej.
Pozostawienie włączonego komputera bez restartu – nie zaleca się natychmiastowego wyłączania zasilania ani restartowania systemu, jeśli planowana jest profesjonalna analiza incydentu. W pamięci operacyjnej RAM (Random Access Memory) znajdują się ulotne ślady działania procesów, niezaszyfrowane fragmenty kodu oraz adresy sieciowe, które ulegną bezpowrotnemu skasowaniu po odcięciu zasilania.
Zmiana haseł z innego, bezpiecznego urządzenia – jeśli na sfałszowanej stronie wprowadzono dane dostępowe do konta pocztowego, bankowości, platformy ERP lub domeny firmowej, należy natychmiast dokonać zmiany haseł, korzystając z innego komputera lub telefonu niepodłączonego do zainfekowanej sieci.
Unieważnienie aktywnych sesji – w panelach administracyjnych usług (takich jak skrzynki pocztowe czy panele kont użytkowników) należy wybrać opcję wylogowania ze wszystkich aktywnych sesji i urządzeń. Krok ten unieważnia tokeny sesyjne (ciasteczka sesyjne i tokeny autoryzacyjne OAuth), które mogły zostać przechwycone przez atakujących w celu ominięcia dwuskładnikowego uwierzytelniania (2FA – Two-Factor Authentication).
Zgłoszenie zdarzenia specjalistom – komputer powinien zostać poddany szczegółowej analizie pod kątem obecności oprogramowania szpiegującego (spyware), rejestratorów klawiszy (keyloggerów) oraz modyfikacji w rejestrze systemowym i harmonogramie zadań.

Kiedy nietypowa wiadomość nie jest atakiem phishingowym

Nie każda nietypowa lub zablokowana przez filtry wiadomość e-mail stanowi próbę wyłudzenia danych. Istnieją sytuacje techniczne, w których w pełni legalna korespondencja biznesowa wykazuje cechy zbliżone do phishingu:

Błędna konfiguracja rekordów DNS u nadawcy – podczas migracji serwerów pocztowych lub zmiany dostawcy hostingu administratorzy nadawcy mogą zapomnieć o aktualizacji rekordów SPF, podpisów DKIM lub wpisów DMARC. W efekcie serwer odbiorcy traktuje autentyczne maile jako nieautoryzowane próby podszywania się pod domenę.
Wysyłka powiadomień z zewnętrznych systemów CRM i ERP – oprogramowanie do zarządzania przedsiębiorstwem, fakturowania lub obsługi klienta często wysyła automatyczne powiadomienia za pośrednictwem dedykowanych bramek SMTP (Simple Mail Transfer Protocol). Jeśli adres w polu nadawcy wskazuje na główną domenę firmy, a serwerem nadawczym jest zewnętrzna infrastruktura dostawcy oprogramowania bez odpowiednich wpisów w SPF, filtr antyspamowy może oznaczyć wiadomość jako próbę fałszerstwa.
Zmiana systemu fakturowania u kontrahenta – partner handlowy wdrażający nową platformę do dystrybucji e-faktur może wysyłać dokumenty z nowego adresu lub w nowym formacie graficznym, co często wzbudza zrozumiały niepokój u odbiorców. W takim przypadku najbezpieczniejszym rozwiązaniem jest telefoniczne potwierdzenie zmiany kanału dystrybucji przy użyciu znanego wcześniej, zaufanego numeru telefonu.
Agregatory newsletterów i platformy marketingowe – masowe wiadomości informacyjne przesyłane przez zewnętrzne platformy mailingowe zawierają linki przekierowujące służące do zliczania kliknięć. Struktura takich odnośników różni się od domeny głównej nadawcy, co bywa mylnie interpretowane jako złośliwe przekierowanie.

Najczęściej zadawane pytania dotyczące phishingu pocztowego

Czy samo wyświetlenie wiadomości e-mail w programie pocztowym może zainfekować komputer?

Współczesne programy pocztowe oraz interfejsy webmail (poczta w przeglądarce) domyślnie blokują automatyczne wykonywanie skryptów JavaScript oraz ładowanie zewnętrznych grafik. Samo otwarcie tekstu wiadomości bez klikania w odnośniki, bez pobierania załączników i bez zezwalania na uruchomienie zawartości aktywnej jest bezpieczne. Wyjątkiem są niezwykle rzadkie ataki wykorzystujące luki bezpieczeństwa w silnikach renderowania HTML samego klienta pocztowego, dlatego tak ważna jest regularna instalacja aktualizacji oprogramowania i systemu operacyjnego.

Czym różni się phishing od tradycyjnego spamu reklamowego?

Tradycyjny spam (niechciana korespondencja masowa) ma charakter czysto komercyjny – jego celem jest nakłonienie odbiorcy do zakupu produktu, skorzystania z usługi lub odwiedzenia legalnej strony internetowej. Phishing jest natomiast działaniem przestępczym ukierunkowanym na kradzież tożsamości, przejęcie haseł logowania, wyłudzenie środków finansowych lub zainfekowanie komputera oprogramowaniem szpiegującym i szyfrującym dane (ransomware).

Jak bezpiecznie sprawdzić rzeczywisty cel odnośnika w wiadomości?

Najprostszą metodą jest najechanie kursorem myszy na badany link bez klikania w niego. W lewym dolnym rogu okna programu pocztowego lub przeglądarki wyświetli się pełny adres URL. Należy zwrócić uwagę na główną domenę znajdującą się bezpośrednio przed pierwszym pojedynczym ukośnikiem. W przypadku urządzeń z ekranem dotykowym można przytrzymać palec na odnośniku do momentu pojawienia się menu kontekstowego z pełnym adresem. W środowiskach firmowych podejrzane adresy można również weryfikować w dedykowanych, izolowanych skanerach online służących do analizy bezpieczeństwa stron.

Co zrobić, gdy wiadomość phishingowa nadeszła z prawdziwego adresu znanego kontrahenta?

Sytuacja taka wskazuje na przejęcie konta pocztowego partnera handlowego przez osoby trzecie lub zainfekowanie jego komputera złośliwym oprogramowaniem rozsyłającym maile do kontaktów z książki adresowej. Nie należy odpowiadać na taką wiadomość mailowo. Wskazany jest natychmiastowy kontakt telefoniczny z kontrahentem za pośrednictwem sprawdzonego, oficjalnego numeru telefonu w celu poinformowania go o naruszeniu bezpieczeństwa jego skrzynki.

Czy oprogramowanie antywirusowe gwarantuje pełną ochronę przed wyłudzeniem danych?

Program antywirusowy jest ważną warstwą ochrony, jednak nie zapewnia stuprocentowego bezpieczeństwa przed atakami socjotechnicznymi. Jeśli użytkownik wejdzie na nowo utworzoną stronę phishingową, która nie trafiła jeszcze do baz sygnatur, i dobrowolnie wpisze tam swój login oraz hasło, antywirus może nie zarejestrować tego zdarzenia jako zagrożenia. Ochrona przed phishingiem wymaga połączenia zabezpieczeń technicznych (filtry pocztowe, oprogramowanie ochronne) ze stałą weryfikacją i czujnością ze strony użytkownika.

Kompleksowa weryfikacja bezpieczeństwa stacji roboczych i usuwanie zagrożeń

W przypadku podejrzenia naruszenia bezpieczeństwa komputera, otwarcia złośliwego załącznika lub przekazania poufnych informacji na sfałszowanej stronie, niezbędne jest przeprowadzenie gruntownej diagnostyki środowiska operacyjnego. Czynności te obejmują usunięcie szkodliwego oprogramowania z pamięci i rejestru systemowego, weryfikację harmonogramu zadań pod kątem ukrytych skryptów uruchamiających, audyt rozszerzeń przeglądarek internetowych oraz kontrolę zainstalowanych w systemie certyfikatów głównych.

Wsparcie techniczne realizowane jest bezpośrednio w siedzibie firmy lub w miejscu wskazanym przez klienta na terenie całej Warszawy oraz okolicznych powiatów w promieniu do 40 kilometrów. Zapewniany jest szybki dojazd serwisanta bez konieczności odłączania i transportowania sprzętu przez użytkownika. W sytuacjach wymagających przeprowadzenia zaawansowanych procedur laboratoryjnych dostępny jest bezpieczny transport w modelu door-to-door. Na czas trwania prac przy laptopie udostępniany jest bezpłatny sprzęt zastępczy z systemem Windows, co pozwala na zachowanie ciągłości pracy biurowej. Wszelkie zrealizowane procedury naprawcze i zabezpieczające objęte są gwarancją do 12 miesięcy, a kontakt z pomocą techniczną możliwy jest pod numerem telefonu 22 378 48 09 przez całą dobę we wszystkie dni tygodnia.

22 378 48 09

Jak rozpoznać phishing w wiadomości e-mail