12 - 02 - 2026

Phishing i fałszywe inwestycje: sprawdź, jak nie dać się oszukać

Phishing, fałszywe strony, obietnice olbrzymich zysków z inwestycji - zespoły CSIRT odnotowują stały wzrost zagrożeń w sieci. Cyberprzestępcy podszywają się pod banki, firmy kurierskie, operatorów i instytucje publiczne, żeby wyłudzić dane i pieniądze. Z okazji Dnia Bezpiecznego Internetu przedstawiamy najczęstsze scenariusze oszustw i proste zasady, które pomagają się przed nimi chronić. Podpowiadamy też, gdzie zgłosić podejrzaną wiadomość lub fałszywą stronę.

– Rzeczywistość cyfrowa każdego dnia stawia przed nami nowe wyzwania. Cyberprzestępcy nie śpią: cały czas szukają nowych sposobów, jak wyłudzić nasze dane i pieniądze, dlatego tak ważna jest edukacja i profilaktyka. W sieci nie wygrywa ten, kto działa najszybciej, tylko ten, kto potrafi się zatrzymać i zweryfikować informacje. Świadomość zagrożeń i wiedza, jak reagować, to najsilniejsza tarcza w świecie cyfrowym. Dzień Bezpiecznego Internetu jest doskonałą okazją, żeby o tym przypomnieć – powiedział wicepremier i minister cyfryzacji Krzysztof Gawkowski.

Czym jest phishing?

Phishing to jedna z najczęstszych form oszustw internetowych. Polega na podszywaniu się pod wiarygodne instytucje lub osoby za pomocą wiadomości e-mail, SMS-ów czy rozmów telefonicznych. Celem przestępców jest wyłudzenie danych lub pieniędzy.

Przykłady oszustw

W ostatnim czasie zespoły reagowania na incydenty bezpieczeństwa komputerowego (tj. zespoły CSIRT) odnotowują znaczącą liczbę fałszywych reklam, przypadków podszywania się pod firmy i instytucje publiczne oraz innych prób oszustw w internecie. Przykłady takich działań to m.in.:

reklamy fałszywych inwestycji, które w rzeczywistości mogą doprowadzić do wysokich strat finansowych. Przestępcy niejednokrotnie wykorzystują przy tym wizerunek znanych osób, aby uwiarygodnić swój przekaz. Fałszywe reklamy przekierowują na stronę phishingową, wyłudzającą dane użytkowników;
wiadomości e-mail imitujące komunikaty bankowe zachęcające do kliknięcia i logowania na fałszywej stronie;
wiadomości informujące o rzekomym mandacie, zawierające link do strony wyłudzającej dane karty płatniczej;
podszywanie się pod firmę kurierską – w wiadomościach e-mail przestępcy informują klienta, że przesyłka wymaga przejścia przez odprawę celną, co jest związane z uiszczeniem niewielkiej opłaty. Po kliknięciu w link klient trafia na fałszywy formularz, który służy do wyłudzenia danych karty płatniczej;
informacje o rzekomej korekcie rachunku za energię – pod pozorem zwrotu nadpłaty użytkownicy są kierowani do strony phishingowej, wyłudzającej dane logowania oraz informacje o kartach płatniczych;
wiadomości podszywające się pod operatorów komórkowych, zawierające informacje o rzekomym dwukrotnym opłaceniu ostatniej faktury i należnym zwrocie pieniędzy. Link kieruje na stronę phishingową, na której użytkownik jest proszony o podanie danych kontaktowych i karty płatniczej.

Przestępcy wyłudzają dane użytkowników, aby następnie dokonywać nieautoryzowanych transakcji na rachunkach poszkodowanych osób, co może doprowadzić do kradzieży ich pieniędzy.

Jak chronić się przed oszustem?

Fałszywe oferty inwestycyjne, podszywanie się pod banki, rzekome zadłużenia czy nadpłaty to dobrze znane scenariusze wykorzystywane przez cyberprzestępców. Nadal udaje im się w ten sposób oszukać wiele osób, dlatego tak ważna jest ostrożność użytkowników – szczególnie wobec wiadomości zachęcających do kliknięcia w link lub podania danych. Naszą czujność powinny wzbudzać m.in.:

wiadomości, które wywierają presję czasu, nakłaniając do pilnego działania;
wiadomości zawierające błędy językowe;
adres URL oraz adres e-mail nadawcy – jeśli wykorzystują np. rozszerzenia charakterystyczne dla darmowych domen z egzotycznych krajów;
podejrzane załączniki, szczególnie te, które pochodzą od nieznanego nadawcy i mają rozszerzenia takie jak .exe, .js, .iso, .img, .htm, .html – nie należy ich pobierać ani uruchamiać, ponieważ mogą zawierać złośliwe oprogramowanie;
prośby o podanie kodu PIN do karty płatniczej – przedstawiciele banku nigdy nie poproszą o PIN ani na stronie internetowej, ani podczas rozmowy telefonicznej;
prośby o podanie loginu, hasła czy danych osobowych – instytucje i firmy nie proszą o te informacje poza oficjalną stroną lub aplikacją.

Co zrobić, jeśli padło się ofiarą phishingu?

Jeśli otrzymaliśmy podejrzaną wiadomość, warto zachować spokój, unikać podejmowania decyzji pod presją i dokładnie weryfikować każdą nietypową prośbę. Najważniejsze jest sprawdzanie wiarygodności informacji u źródła, unikanie otwierania podejrzanych załączników i podawania swoich danych na stronach, które mogą wzbudzać wątpliwości. Dzięki zachowaniu ostrożności można skutecznie zmniejszyć ryzyko oszustwa.

W przypadku podejrzenia, że padło się ofiarą phishingu (uruchomiło się podejrzany załącznik lub podało swoje dane na fałszywej stronie), należy natychmiast zmienić hasła do swoich kont. Jeśli zostały podane dane dotyczące kart albo rachunków bankowych, trzeba jak najszybciej skontaktować się z bankiem. Warto także uruchomić uwierzytelnienia dwuskładnikowe we wszystkich serwisach internetowych, które oferują takie rozwiązanie.

Incydent można zgłosić do zespołu CSIRT NASK: