Jak działa wiadomość phishingowa

Moduł 3: Rozpoznawanie phishingu · Czas czytania: 11 minut

Cel lekcji: Po tej lekcji można rozpoznać psychologiczne sztuczki i stałe cechy wiadomości phishingowej, nawet jeśli tekst jest bezbłędny, oraz reagować odruchem: zatrzymaj się, sprawdź, zapytaj.
Kluczowe pojęcia: pilność, autorytet, strach, ciekawość, nagroda, pretekst, phishing pisany przez AI, odruch „zatrzymaj się, sprawdź, zapytaj”

Phishing to opowieść, nie technika

Phishing to wiadomość, która ma skłonić odbiorcę do działania korzystnego dla nadawcy, a niekorzystnego dla odbiorcy: kliknięcia w link, zalogowania się na podrobionej stronie, otwarcia załącznika, dokonania płatności lub przekazania kodu. Technika stojąca za tym jest często prosta. To, co naprawdę działa, to opowieść.

Ta opowieść nazywana jest pretekstem: wiarygodnym powodem. „Nie udało się dostarczyć paczki”. „Skrzynka pocztowa jest pełna”. „Jest nieopłacona faktura”. „Konto zostanie zablokowane”. Dobry pretekst pasuje do sytuacji odbiorcy. Piekarnia dostaje mail o dostawcy mąki, kancelaria prawna o wezwaniu do sądu, sklep internetowy o zablokowanej płatności.

Cel jest niemal zawsze jednym z tych czterech:

W przypadku ostatniego rodzaju w danym momencie nic złego się nie dzieje. „Kto u Państwa zajmuje się płatnościami?” wygląda jak zwykłe pytanie. Jednak dzięki odpowiedzi atakujący może później wysłać znacznie bardziej przekonujący mail, skierowany do tej jednej konkretnej osoby. Nazywa się to spear phishingiem (lekcja 1.2).

Pięć przycisków, na które naciska phishing

Phishing działa, ponieważ skłania do działania zanim zdąży się pomyśleć. W tym celu naciska na kilka stałych przycisków w głowie. Niemal każda wiadomość phishingowa wykorzystuje co najmniej dwa z nich.

1. Pilność. „W ciągu 24 godzin”, „jeszcze dzisiaj”, „ostatnie przypomnienie”. Presja czasu to najważniejsza sztuczka, ponieważ nie pozwala poświęcić czasu na sprawdzenie.
2. Autorytet. Wiadomość rzekomo pochodzi od kogoś, kogo traktuje się poważnie: banku, urzędu skarbowego, dyrektora, Policji, dostawcy hostingu, prawnika.
3. Strach. Konto zostanie zablokowane, grozi kara, dane wyciekły, domena wygasa, doszło do włamania na konto.
4. Ciekawość. „Zobacz zdjęcia z wydarzenia”, „otrzymano udostępniony dokument”, „czeka wiadomość głosowa”, „zestawienie wynagrodzeń 2026.pdf”.
5. Nagroda. Zwrot pieniędzy, bon podarunkowy, wygrana nagroda, darmowa aktualizacja, duże zamówienie od nowego klienta.

Uwaga: te przyciski występują także w prawdziwych wiadomościach. Prawdziwa faktura ma termin płatności, prawdziwy bank czasem wysyła ostrzeżenie. Jedna sztuczka sama w sobie nie czyni więc wiadomości fałszywą. Staje się ona podejrzana, gdy presja jest wysoka i wiadomość prosi o coś, czego normalnie nie robi się w ten sposób.

Stałe cechy, niezależne od tekstu

Oprócz sztuczek, wiadomości phishingowe mają kilka cech, które niemal zawsze się powtarzają:

• Polecenie zrobienia czegoś od razu (wezwanie do działania): przycisk, link, załącznik, numer telefonu do zadzwonienia.
• Kanał, który nie pasuje. Bank prosi mailem o zalogowanie się, dostawca prosi przez WhatsApp o płatność, współpracownik prosi SMS-em o bony podarunkowe.
• Prośba, która nie pasuje. Przekazanie hasła lub kodu logowania, zmiana numeru IBAN, płatność poza zwykłą procedurą, instalacja oprogramowania na prośbę dzwoniącego.
• Odstępstwo w nadawcy lub linku. Adres lub link nie do końca pasuje do organizacji, której się spodziewa. Jak dokładnie to odczytać, wyjaśniono w lekcji 3.2 i 3.3.
• Utrzymywanie w tajemnicy lub omijanie procedury. „Proszę jeszcze o tym nikomu nie mówić”, „jestem na spotkaniu, proszę nie dzwonić”, „proszę zrobić to z pominięciem systemu”.

Ostatnia cecha jest najsilniejszym sygnałem przy oszustwach na prezesa i fakturowych: prawdziwemu dyrektorowi nie zależy na tym, aby pominąć zwykłą kontrolę.

Dlaczego błędy językowe nie są już dobrą wskazówką

Dawniej phishing rozpoznawano po łamanej polszczyźnie, dziwnym zwrocie powitalnym i nieestetycznym formatowaniu. To już nie działa. Dzięki modelom językowym (AI) atakujący w ciągu kilku sekund napisze bezbłędny, uprzejmy mail w dowolnym języku, w stylu naśladowanej organizacji. Niderlandzkie NCSC ostrzega również, że phishing tworzony za pomocą AI staje się trudniejszy do rozpoznania: mniej błędów językowych i strony logowania, które wyglądają coraz bardziej autentycznie.

Do tego dochodzi fakt, że phishing czasem pochodzi z prawdziwej skrzynki pocztowej. Jeśli skrzynka dostawcy została przejęta, atakujący po prostu odpowiada w istniejącej już wymianie maili, wraz z podpisem, tonem i wcześniejszymi wiadomościami. Nazywa się to przejęciem wątku (thread hijacking). Nadawca, formatowanie i język są wtedy prawdziwe. Tylko prośba się nie zgadza: „Mamy nowy numer rachunku bankowego, czy można opłacić na niego zaległą fakturę?”

Dlatego nie patrzy się na to, jak wiadomość wygląda, lecz na to, o co prosi. Phishing rzadko rozpoznaje się po jednej cesze, lecz po całościowym obrazie.

Odruch: zatrzymaj się, sprawdź, zapytaj

Nie trzeba znać każdej sztuczki. Potrzebny jest jeden odruch, stosowany za każdym razem, gdy wiadomość o coś prosi.

Zatrzymaj się. Czy pojawia się pośpiech, przestrach, ciekawość lub radość? To właśnie ten moment, w którym nie należy klikać. Wiadomość warto odłożyć na chwilę. Prawdziwe organizacje niemal zawsze dają wystarczająco dużo czasu na sprawdzenie sprawy.

Sprawdź własną drogą. Nie należy kontynuować za pośrednictwem samej wiadomości. Nie klikać w link, nie dzwonić pod numer podany w wiadomości i nie odpowiadać na maila. Trzeba samodzielnie wejść na stronę przez zakładkę w przeglądarce lub wpisując adres, albo zadzwonić pod numer, który już się posiada (własna dokumentacja, tył karty bankowej, oficjalna strona). Czy faktura rzeczywiście istnieje? Czy paczka naprawdę jest w drodze?

Zapytaj. Jeśli wątpliwości pozostają, warto zapytać współpracownika lub osobę, która rzekomo wysłała wiadomość, innym kanałem. Warto ustalić w zespole, że takie pytanie nigdy nie jest kłopotliwe. Lepiej zapytać dziesięć razy niepotrzebnie niż raz zapłacić niesłusznie.

Ten odruch działa także przy idealnym mailu z zhakowanej skrzynki pocztowej. Sprawdzenie własną drogą całkowicie omija atakującego, ponieważ nie znajduje się on ani w zakładkach przeglądarki, ani pod telefonem dostawcy.

W praktyce: tak to wygląda

Trzy odtworzone wiadomości, które Piekarnia Example (info@example.com) otrzymuje jednego ranka. Wszystkie nazwy są wymyślone.

Wiadomość 1: paczka

Od: Firma kurierska <service@koeriersdienst-track.example>
Temat: Dostawa nieudana: wymagane działanie
Szanowny Kliencie, dzisiaj próbowaliśmy dostarczyć paczkę. Adres był niepełny. Proszę zaplanować ponowną dostawę w ciągu 48 godzin i opłacić koszt ponownej dostawy w wysokości 1,95 euro, w przeciwnym razie paczka zostanie zwrócona do nadawcy.

Sztuczki: pilność (48 godzin), strach (zwrot paczki), niewielka kwota, aby odbiorca nie zastanawiał się zbyt długo. Celem są dane karty płatniczej. Sprawdzenie: czy spodziewana jest jakaś paczka? Warto sprawdzić przesyłkę przez stronę lub aplikację samego przewoźnika.

Wiadomość 2: dostawca

Od: Dostawca Mąki <administratie@leverancier.example>
Temat: RE: faktura 2026-0412
Dzień dobry, zgodnie z ustaleniami przesyłam fakturę. Uwaga: ze względu na zmianę banku prosimy od teraz o płatności na nasz nowy numer rachunku. Czy można to zrobić jeszcze dzisiaj? Wtedy będzie można zaplanować dostawę na piątek.

Sztuczki: autorytet (znany dostawca, istniejąca wymiana maili), pilność, nagroda (dostawa). Nadawca może być prawdziwy: skrzynka pocztowa dostawcy mogła zostać przejęta. Sprawdzenie: zadzwonić do dostawcy pod numer z własnej dokumentacji, a nie z tego maila.

Wiadomość 3: program księgowy

Od: Program Księgowy <noreply@boekhoudpakket.example>
Temat: Subskrypcja zostanie zawieszona
Nie udało się przetworzyć ostatniej płatności. Proszę zalogować się w ciągu 24 godzin, aby zaktualizować dane płatnicze, w przeciwnym razie dostęp do dokumentacji zostanie utracony.
[Zaloguj się]

Sztuczki: strach, pilność, autorytet. Czy nadawca się zgadza, wyjaśniono w lekcji 3.3; dokąd prowadzi przycisk, w lekcji 3.2. Sprawdzenie: samodzielnie otworzyć aplikację lub zakładkę do programu księgowego. Jeśli nie ma tam żadnego powiadomienia, mail jest fałszywy.

Podsumowanie

• Phishing działa poprzez opowieść (pretekst) dopasowaną do sytuacji odbiorcy, mając na celu dane logowania, pieniądze, dostęp do urządzenia lub informacje.
• Pięć przycisków: pilność, autorytet, strach, ciekawość i nagroda. Zwykle występują co najmniej dwa naraz.
• Błędy językowe nie są już wiarygodną wskazówką: AI pisze bezbłędne maile, a zhakowane skrzynki pocztowe wysyłają prawdziwe wiadomości.
• Należy patrzeć na to, o co wiadomość prosi i jakim kanałem, a nie na to, jak wygląda.
• Odruch: zatrzymaj się, sprawdź własną drogą, zapytaj w razie wątpliwości.

Quiz

Zadanie

Zadanie A3.1: Rozpoznawanie sztuczek. Przedstawiono sześć odtworzonych wiadomości. Dla każdej wiadomości należy wybrać, jakie sztuczki zostały w niej zastosowane (pilność, autorytet, strach, ciekawość, nagroda) oraz co należy zrobić: po prostu załatwić sprawę, czy najpierw sprawdzić własną drogą. Program sprawdza odpowiedzi i wyjaśnia przy każdej wiadomości, co zostało pominięte.

Przeczytaj więcej

Kroki opisane w artykułach WebOké dotyczą środowiska WebOké; u innych dostawców działa to podobnie.

• Czy ta wiadomość rzeczywiście pochodzi od WebOké? Jak rozpoznać phishing i skorzystać z kodu promocyjnego
• Niderlandzkie NCSC, Jak rozpoznać mail phishingowy?: https://www.ncsc.nl/phishing/hoe-herken-ik-een-phishing-e-mail
• Niderlandzkie NCSC, Phishing: https://www.ncsc.nl/wat-kun-je-zelf-doen/dreiging/phishing
• CERT Polska, zgłaszanie oszustw i phishingu: https://incydent.cert.pl/