Phishing: jak rozpoznać fałszywy bank i co zrobić po kliknięciu
Phishing to najczęstszy rodzaj ataku na pieniądze Polaków: fałszywa strona logowania albo mail „z banku” o zablokowanym koncie. W 2025 roku CERT Polska odnotował 78 391 takich incydentów — 30% wszystkich zarejestrowanych zdarzeń.
Krótka odpowiedź
Phishing to wiadomość lub strona podszywająca się pod bank, która ma wyłudzić login, hasło i kod autoryzacyjny. Poznasz go po adresie strony, który nie jest adresem banku, po groźbie blokady konta i po prośbie o kod z SMS-a. Bank nigdy nie prosi o kod, PIN ani pełne dane karty — ani mailem, ani przez telefon.
Narzędzie Compass
W przygotowaniu
Analizator wiadomości powstaje
Wkrótce wkleisz tu SMS-a, e-mail albo link, a narzędzie wyjaśni, co w nim wygląda podejrzanie i co zrobić w tej kolejności. Zanim to uruchomimy, wszystkie sygnały opisujemy poniżej — to te same, które będzie sprawdzać narzędzie.
Po czym poznać phishing bankowy
Jeden sygnał wystarczy, żeby się zatrzymać. Zwykle występuje ich kilka naraz.
- Adres strony nie jest adresem banku. Do prawdziwej nazwy dopisano słowa: -bezpieczne, -login, -verify, -potwierdzenie.
- Wiadomość grozi konsekwencjami: blokada konta, utrata środków, wygaśnięcie dostępu „w ciągu 24 godzin”.
- Prośba o kod z SMS-a, PIN albo pełne dane karty na stronie, na którą trafiłeś z linku.
- Nadawca maila to darmowa skrzynka albo adres tylko podobny do bankowego.
- Link wyświetla inny adres niż ten, na który faktycznie prowadzi — widać to po przytrzymaniu go palcem na telefonie.
- Strona logowania bez szyfrowania (adres zaczyna się od http://, nie https://).
Co to jest phishing
Phishing to podszycie się pod instytucję, której ufasz, żeby wyłudzić dane do logowania. Nazwa pochodzi od angielskiego „fishing” — oszust zarzuca tysiące wiadomości i czeka, kto odpowie.
W Polsce najczęściej podszywa się pod banki, ale ten sam schemat obsługuje pocztę, urzędy i platformy zakupowe. Kanał bywa różny: mail, SMS, reklama w wyszukiwarce. Cel jest zawsze ten sam — Twój login, hasło i kod.
Jak działa fałszywa strona logowania
Wiadomość informuje o zablokowanym koncie, nieautoryzowanej transakcji albo konieczności „potwierdzenia tożsamości”. Link prowadzi na kopię strony banku — czasem identyczną do ostatniego piksela, różniącą się tylko adresem.
Dane wpisane na takiej stronie trafiają do oszusta natychmiast. W tej samej minucie loguje się on do prawdziwego banku i zleca przelew. Dlatego chwilę później strona prosi jeszcze o kod z SMS-a: to on autoryzuje transakcję.
Dlaczego kod z SMS-a jest granicą
Login i hasło same nie wystarczą, żeby wyprowadzić pieniądze. Kod autoryzacyjny jest ostatnim zabezpieczeniem i jednocześnie jedyną rzeczą, której oszust nie może zdobyć bez Ciebie.
Kod przepisany na obcej stronie jest zgodą na wypłatę. Przeczytaj treść SMS-a z kodem, zanim go użyjesz — bank zawsze pisze w niej, co dokładnie autoryzujesz i na jaką kwotę.
Strach jest częścią mechanizmu
Groźba blokady konta ma wywołać jedną reakcję: natychmiastowe działanie. Prawdziwy bank nie stawia ultimatum w mailu i nie prosi o dane przez link.
Jeśli wiadomość dotyczy Twojego konta, sprawa będzie widoczna po zalogowaniu przez aplikację. Jeśli nie ma jej tam — nie istnieje.
Co zrobić teraz
Rób po kolei. Każdy krok ma sens także wtedy, gdy poprzedniego nie udało się wykonać.
- Zamknij stronę. Nie loguj się z linku — otwórz aplikację banku albo wpisz adres ręcznie.
- Jeśli podałeś login i hasło: zmień hasło i zadzwoń na infolinię z numeru na odwrocie karty.
- Jeśli podałeś kod autoryzacyjny: poproś o zablokowanie dostępu do bankowości i kart. Kod oznacza, że przelew mógł już zostać zatwierdzony.
- Sprawdź w bankowości listę urządzeń i zdefiniowanych odbiorców — usuń te, których nie znasz.
- Zgłoś fałszywą stronę na incydent.cert.pl, a jeśli doszło do przelewu, złóż zawiadomienie na policji.
Straciłeś pieniądze? Zobacz, gdzie to zgłosić i w jakiej kolejności →
Tak wygląda to teraz
Kampanie krążące dziś
- Fałszywa strona logowania do banku pod adresem z dopisanym słowem.
- Mail „zablokowane konto — potwierdź dane w ciągu 24 godzin”.
- Fałszywa reklama bankowości wysoko w wynikach wyszukiwania.
- Podszycie pod zmianę regulaminu i „ponowną weryfikację”.
- Fałszywy panel iPKO Biznes w reklamach wyszukiwarek.
Najczęstsze pytania
Pytania o phishing bankowy
Kliknąłem w link phishingowy, ale nic nie podałem. Czy coś się stało?
Samo otwarcie strony zwykle nie wystarcza, żeby stracić pieniądze — dane trafiają do oszusta dopiero wtedy, gdy je wpiszesz. Zamknij stronę, nie wracaj do niej i nie instaluj niczego, co proponowała. Dla spokoju sprawdź historię konta w aplikacji banku.
Czy bank zwróci pieniądze po phishingu?
Nie ma automatycznego zwrotu, ale zgłoszenie ma sens zawsze. Bank ocenia sprawę indywidualnie, a szansa na wstrzymanie przelewu istnieje tylko dopóki środki nie opuściły systemu. Dlatego telefon do banku wykonuje się natychmiast, przed wszystkim innym.
Jak sprawdzić, czy strona banku jest prawdziwa?
Nie oceniaj wyglądu, tylko adres. Wpisz adres banku ręcznie albo wejdź przez aplikację i porównaj. Zwróć uwagę na słowa dopisane do nazwy banku, myślniki i inne końcówki domeny. Fałszywe domeny bywają też na Liście Ostrzeżeń CERT Polska.
Czym phishing różni się od smishingu i vishingu?
To ten sam mechanizm w różnych kanałach: phishing przychodzi mailem lub przez stronę, smishing SMS-em, a vishing przez telefon. Sygnały ostrzegawcze są wspólne — pośpiech, prośba o kod i link do „potwierdzenia”.
Czytaj dalej
Źródła i autorstwo
- CERT Polska — Raport roczny 2025 (78 391 incydentów phishingu, 30% wszystkich)
- CSIRT KNF — Krajobraz cyberzagrożeń 2026 (PDF)
- Lista Ostrzeżeń CERT Polska — rejestr niebezpiecznych domen
Materiał edukacyjny, nie porada prawna ani finansowa. Nie sprzedajemy żadnych produktów.