Phishing, vishing, smishing – jak skutecznie chronić swoje pieniądze w sieci?

Phishing, vishing i smishing to techniki cyberprzestępczości, których celem jest użytkownik i jego dane, a nie tylko system czy aplikacja. Oszuści wchodzą w codzienną komunikację, podszywają się pod kuriera, bank, dostawcę energii, a czasem nawet członka rodziny. Łączą kanały kontaktu: e-mail, SMS, telefon, a coraz częściej także kod QR.

Definicje: phishing, smishing, vishing

• Phishing: e-mail podszywający się pod instytucję, którego celem jest wyłudzenie loginów, haseł lub danych karty.
• Smishing: SMS z linkiem do fałszywej płatności, dopłaty albo strony logowania.
• Vishing: oszustwo telefoniczne, rozmowa z rzekomym pracownikiem banku lub innej instytucji, który próbuje zdobyć dane, kody albo skłonić do instalacji aplikacji zdalnego dostępu.

Jak wygląda phishing i na co uważać

Mail może wyglądać wiarygodnie: logo banku, poprawna stopka, znany układ wiadomości. To nadal nie oznacza, że wiadomość jest prawdziwa.

• Adres nadawcy to np. kontakt[@]mbankk.pl zamiast oficjalnej domeny.
• Treść gra emocjami: „Twoje konto zostało zablokowane” albo „potwierdź dane w 15 minut”.
• Link prowadzi na fałszywą stronę, np. www.banklogowanie[.]online.
• Po wpisaniu danych przestępcy przejmują dostęp do konta lub skrzynki e-mail.

Smishing: fałszywy SMS w legalnym wątku wiadomości

Przykład wiadomości:
„Dopłać 1,20 zł do paczki, inaczej wróci do nadawcy. tiny[.]cc/123-paczka”

Po kliknięciu użytkownik trafia na stronę płatności, która przechwytuje dane karty, login lub kod autoryzacyjny. Taki SMS bywa „doklejony” do legalnego wątku, np. z InPostu, co wzmacnia wiarygodność oszustwa.

Vishing: rozmowa z „bankiem” i presja czasu

Dzwoni „konsultant” bankowy. Twierdzi, że konto jest zagrożone i nakazuje instalację narzędzia zdalnego dostępu. Podaje PESEL lub adres, co zwiększa presję, bo część danych mogła pochodzić z wcześniejszych wycieków.

To klasyczny vishing. W praktyce pojawiają się też warianty z podszywaniem się pod bliską osobę lub pracownika instytucji, w tym z wykorzystaniem przetworzonego głosu. Mechanizm pozostaje ten sam: lęk, presja czasu i pozorny autorytet.

Statystyki: skala problemu w Polsce

W 2024 r. CERT Polska obsłużył 103 449 incydentów cyberbezpieczeństwa, co oznacza wzrost o około 29% r/r. Największą kategorię stanowiły oszustwa komputerowe, w tym phishing. To pokazuje, że problem dotyczy masowych, powtarzalnych schematów socjotechnicznych, a nie wyłącznie zaawansowanych ataków technicznych.

Do danych liczbowych najlepiej odwoływać się do źródeł pierwotnych, czyli raportu rocznego CERT Polska i komunikatów gov.pl, zamiast do omówień medialnych.

Dlaczego to działa: mechanizmy psychologiczne oszustwa

• Reguła autorytetu: „Dzwonię z Departamentu Bezpieczeństwa Banku”.
• Presja czasu: „Masz 15 minut na działanie”.
• Społeczny dowód słuszności: „Wszyscy już zaktualizowali aplikację”.
• Ograniczona dostępność: „To ostatnia szansa na odzyskanie pieniędzy”.

Najgroźniejszy moment to chwila, w której użytkownik przestaje weryfikować fakty i zaczyna wykonywać polecenia pod presją. Dlatego pierwszą reakcją powinno być przerwanie kontaktu i samodzielna weryfikacja.

Zasady bezpieczeństwa: 4 najważniejsze działania

1. Zasada ograniczonego zaufania: nie klikaj w linki z wiadomości, adres wpisuj ręcznie lub wejdź przez aplikację.
2. Zastrzeż PESEL: zrób to na gov.pl albo w aplikacji mObywatel.
3. Dwuskładnikowe logowanie (2FA): najlepiej przez aplikację uwierzytelniającą, a nie tylko SMS, jeśli usługa daje taki wybór.
4. Menedżer haseł: unikalne hasła do każdego serwisu, szczególnie do banku i poczty e-mail.

Jak weryfikować wiadomości, linki i połączenia

• Najedź kursorem na link i sprawdź, dokąd faktycznie prowadzi.
• Na telefonie przytrzymaj link i wyświetl pełny adres przed kliknięciem.
• HTTPS nie gwarantuje uczciwości strony, oznacza szyfrowanie połączenia. Brak https to sygnał ostrzegawczy.
• Gdy masz wątpliwości, wpisz adres ręcznie lub wejdź przez oficjalną aplikację.
• Telefon z „banku” lub „policji”: zakończ rozmowę i zainicjuj kontakt samodzielnie.

Quishing: atak przez kody QR

Quishing to phishing z użyciem kodu QR. Przestępca umieszcza kod w mailu, na ulotce, przy parkometrze, a czasem nakleja go na istniejący kod. Po zeskanowaniu użytkownik trafia na fałszywą stronę płatności lub logowania.

Ryzyko rośnie tam, gdzie działasz szybko, np. parking, przesyłka, dopłata do rachunku, dokument do „pilnego podpisu”. Zanim potwierdzisz płatność lub wpiszesz dane, sprawdź domenę i nazwę podmiotu.

Co robić po ataku: działania krok po kroku

• Skontaktuj się z bankiem: zablokuj dostęp, kartę i zgłoś incydent.
• Zmień hasła: zacznij od banku i skrzynki e-mail, potem pozostałe konta.
• Zbierz dowody: SMS, e-mail, numer telefonu, zrzuty ekranu, godziny zdarzeń.
• Zgłoś sprawę na policję: im szybciej, tym lepiej dla zabezpieczenia śladów.
• Zawiadom CERT Polska: podejrzany SMS przekaż na 8080, a incydent zgłoś przez incydent.cert.pl.
• Złóż reklamację w banku: przy transakcji nieautoryzowanej wskaż art. 46 ustawy o usługach płatniczych i żądanie zwrotu w trybie D+1.
• Doprecyzowanie prawne: zasada D+1 dotyczy transakcji nieautoryzowanych, a spór z bankiem często dotyczy oceny, czy transakcja miała taki charakter. W praktyce wskazuje się też wyjątki, np. zgłoszenie po upływie 13 miesięcy albo uzasadnione podejrzenie oszustwa zgłoszone organom przez bank.
• Rzecznik Finansowy: gdy bank odmówi, sprawdź ścieżkę wsparcia na rf.gov.pl.

Porównanie metod oszustów

FAQ – najczęściej zadawane pytania

Źródła

• CERT Polska – Raport roczny 2024 (strona raportu)
• gov.pl – analiza bezpieczeństwa polskiego internetu w 2024 r.
• gov.pl – zgłaszanie podejrzanych SMS i e-maili do CERT Polska (8080)
• UOKiK – nieautoryzowane transakcje i zasada D+1
• gov.pl – quishing (oszustwo z wykorzystaniem kodów QR)
• gov.pl – zastrzeżenie numeru PESEL
• NASK – ostrzeżenia dotyczące oszustw z wykorzystaniem deepfake

Aktualizacja artykułu: 22 lutego 2026 r.

Autor: Jacek Grudniewski
Ekspert ds. produktów finansowych i pasjonat rynku nieruchomości

Kontakt za pośrednictwem LinkedIn:
https://www.linkedin.com/in/jacekgrudniewski/

Niniejszy artykuł ma charakter wyłącznie informacyjny i edukacyjny. Nie stanowi porady prawnej ani finansowej, ani rekomendacji. Autor nie zna Twojej indywidualnej sytuacji. Jeśli poniosłeś szkodę lub masz wątpliwości co do praw i obowiązków banku, rozważ kontakt z bankiem, policją oraz właściwymi instytucjami publicznymi.