Jak rozpoznać phishing w 30 sekund
Phishing rozpoznasz po trzech rzeczach: nadawca nie jest tym, za kogo się podaje, wiadomość wywiera presję czasu i prosi o coś nietypowego - kliknięcie w link, podanie hasła, otwarcie załącznika albo przelew. Jeśli widzisz choć dwa z tych elementów naraz, zatrzymaj się i sprawdź sprawę innym kanałem, na przykład pytając nadawcę na Teams albo osobiście.
Poniżej rozpisujemy to na dziesięć konkretnych sygnałów. Lista jest pisana dla pracownika, nie dla informatyka: nie wymaga żadnych narzędzi poza zwykłym Outlookiem, Gmailem czy telefonem.
10 sygnałów ostrzegawczych
1. Adres nadawcy prawie się zgadza
Nazwa wyświetlana to „Księgowość Kowalski”, ale adres kończy się na @kowalski-biuro.com zamiast @kowalski.pl. Oszuści rejestrują domeny różniące się jedną literą („rn” zamiast „m”, zero zamiast „o”) albo końcówką. Na telefonie widzisz zwykle tylko nazwę, więc dotknij jej i rozwiń pełny adres.
2. Odpowiedź idzie gdzie indziej
Nadawca wygląda poprawnie, ale po kliknięciu „Odpowiedz” w polu „Do” pojawia się inny adres, często w darmowej skrzynce. To prosty sposób na przejęcie rozmowy bez włamywania się do czyjejkolwiek poczty.
3. Pilność i straszenie
„Konto zostanie zablokowane za 2 godziny”, „ostatnie wezwanie przed skierowaniem sprawy do windykacji”, „prezes potrzebuje tego przed spotkaniem”. Presja czasu ma jeden cel: żebyś nie zdążył pomyśleć ani zapytać kolegi przy biurku obok.
4. Prośba, która omija zwykłą procedurę
Szef nigdy nie prosił o kody do kart podarunkowych, a teraz prosi. Dostawca chce, żeby fakturę opłacić „wyjątkowo” na inne konto. Kurier wymaga dopłaty 1,50 zł, choć przesyłka jest opłacona. Każde odejście od utartego sposobu działania to powód, by sprawdzić sprawę osobno.
5. Link prowadzi w inne miejsce, niż opisuje
Na komputerze najedź kursorem na link i spójrz na adres wyświetlony w rogu okna. Na telefonie przytrzymaj palec na linku, a zobaczysz podgląd adresu. Przycisk „Zaloguj się do Microsoft 365” prowadzący do domeny w rodzaju ms365-verify.online to phishing, bez dyskusji.
6. Strona logowania pojawia się tam, gdzie nie powinna
Klikasz „udostępniony dokument” i nagle strona prosi o hasło do poczty. Jeśli jesteś zalogowany w Microsoft 365 czy Google Workspace, prawdziwy plik po prostu się otworzy. Ponowna prośba o hasło po kliknięciu linku z maila to jeden z najczęstszych sposobów kradzieży kont.
7. Nietypowy załącznik
Faktura jako plik .html lub .htm, obraz dysku .iso, archiwum .zip z hasłem podanym w treści albo dokument Worda, który prosi o „włączenie zawartości”. Prawdziwe faktury przychodzą jako PDF albo trafiają do KSeF, a nie jako strona internetowa w załączniku.
8. Kod QR zamiast linku
Coraz więcej fałszywych maili zawiera tylko obrazek z kodem QR i hasło „zeskanuj, aby potwierdzić konto”. Skanujesz prywatnym telefonem, który nie ma firmowej ochrony, i lądujesz na fałszywej stronie logowania. Żaden porządnie skonfigurowany system firmowy nie każe skanować kodu z maila, żeby odblokować pocztę.
9. Powiadomienia MFA, o które nie prosiłeś
Telefon wyświetla prośbę o zatwierdzenie logowania, a Ty w tej chwili nigdzie się nie logujesz. To znak, że ktoś zna Twoje hasło i właśnie próbuje wejść. Nie zatwierdzaj, nawet jeśli powiadomienia przychodzą kilka razy z rzędu - na zmęczeniu użytkownika polega cała sztuczka. Zamiast tego od razu daj znać informatykowi.
10. Coś nie pasuje w języku albo w kontekście
„Szanowny Kliencie” od firmy, która zawsze pisze po imieniu. Podpis bez stopki, choć zwykle jest. Wiadomość o paczce, choć nic nie zamawiałeś. Narzędzia AI sprawiły, że błędy językowe zdarzają się rzadziej, więc poprawna polszczyzna niczego już nie dowodzi. Ważniejsze jest pytanie: czy ta wiadomość ma sens właśnie teraz?
Przykładowy scenariusz
Wyobraź sobie kancelarię prawną zatrudniającą 14 osób. Asystentka dostaje maila od stałego klienta z linkiem do „akt sprawy na SharePoincie”. Adres nadawcy jest prawdziwy, bo skrzynkę klienta ktoś przejął tydzień wcześniej. Link prowadzi do strony łudząco podobnej do logowania Microsoft 365. Asystentka wpisuje hasło, a potem zatwierdza powiadomienie w aplikacji Authenticator, bo „przecież właśnie się loguje”.
Godzinę później z jej skrzynki wychodzą setki podobnych maili do klientów kancelarii. Sytuację może uratować tylko ktoś czujny, na przykład adwokat, który zapyta na firmowym czacie, dlaczego dostał od koleżanki dziwny link. Wtedy trzeba szybko zablokować konto, unieważnić aktywne sesje, zmienić hasło i usunąć reguły przekierowania poczty, które atakujący zwykle ustawia w pierwszej kolejności. W tym scenariuszu sygnały nr 6 i 9 są widoczne od początku. Wystarczyłoby, żeby ktoś wcześniej powiedział zespołowi, że otwierany dokument nie powinien prosić o hasło.
Kliknąłeś? Co zrobić w pierwszych minutach
Każdy się myli, a szybkie zgłoszenie jest warte więcej niż idealna czujność. Kolejność działań:
- Nie usuwaj wiadomości - będzie potrzebna do sprawdzenia, kto jeszcze ją dostał.
- Jeśli wpisałeś hasło, zmień je natychmiast z innego urządzenia albo poproś o to informatyka.
- Jeśli otworzyłeś załącznik lub uruchomiłeś plik, odłącz komputer od sieci: wyjmij kabel i wyłącz Wi-Fi, ale nie wyłączaj zasilania.
- Zgłoś zdarzenie przełożonemu lub osobie od IT, podając godzinę i to, co dokładnie zrobiłeś.
- Podejrzane SMS-y przekaż do CERT Polska na bezpłatny numer 8080 - to pomaga blokować fałszywe strony dla wszystkich.
Pracownik, który zgłasza kliknięcie po pięciu minutach, zwykle kończy sprawę zmianą hasła. Pracownik, który z obawy przed reakcją szefa milczy trzy dni, często zostawia firmę z naruszeniem danych do oceny pod kątem zgłoszenia do UODO. Nie karz za zgłoszenia, także te fałszywe.
Technika pomaga, ale nie zastąpi uwagi
Filtry antyspamowe w Microsoft 365 i Google Workspace zatrzymują większość masowych kampanii, a dobrze skonfigurowany antywirus z EDR potrafi zablokować złośliwy załącznik albo wykryć podejrzane zachowanie komputera po jego otwarciu. Żadne z tych narzędzi nie zatrzyma jednak maila z prawdziwej, przejętej skrzynki kontrahenta ani prośby o przelew, która nie zawiera ani linku, ani załącznika.
| Warstwa ochrony | Co zatrzymuje | Czego nie zatrzyma |
|---|---|---|
| Filtr poczty | znane kampanie, złośliwe załączniki | maila z przejętej skrzynki partnera |
| MFA w aplikacji | użycie samego skradzionego hasła | logowania zatwierdzonego przez pracownika |
| EDR na komputerach | podejrzane procesy po otwarciu pliku | przelewu na fałszywe konto |
| Uważny pracownik | nietypowe prośby i kontekst | niczego, jeśli nikt mu nie pokazał, na co patrzeć |
Od czego zacząć w Twojej firmie
Wydrukuj dziesięć sygnałów i powieś je tam, gdzie przychodzi najwięcej maili z zewnątrz: w księgowości, w recepcji, w dziale zakupów. Ustal jeden prosty kanał zgłaszania - przycisk „Zgłoś” w Outlooku, osobny kanał na Teams albo wiadomość do konkretnej osoby - i powiedz wprost, że fałszywy alarm to żaden problem.
Jeśli chcesz pójść krok dalej, prowadzimy zdalne szkolenia firmowe na przykładach wiadomości, które faktycznie trafiają do firm z Twojej branży. Konfigurujemy też ochronę poczty i stacji roboczych tak, by do skrzynek pracowników docierało jak najmniej prób. Napisz, jakie maile budzą u Was najwięcej wątpliwości, a od tego zaczniemy.
Redakcja Apply
Cyberbezpieczeństwo