Phishing bankowy rozpoznasz po tym, że wiadomość wymusza natychmiastowe działanie: kliknięcie, płatność albo podanie loginu, hasła, kodu lub danych karty. Nie korzystaj z linku otrzymanego w SMS-ie ani e-mailu. Otwórz aplikację bankową, wpisz adres banku ręcznie lub zadzwoń na oficjalny numer.
Czym jest phishing bankowy?
Phishing bankowy to próba wyłudzenia danych logowania, kodów autoryzacyjnych, danych karty albo pieniędzy. Oszust może użyć SMS-a, e-maila, telefonu lub strony internetowej przypominającej serwis banku. Celem nie zawsze jest samo zalogowanie. Przestępca może też nakłaniać do zatwierdzenia przelewu, instalacji aplikacji albo ujawnienia kodu przekazanego przez bank.
Skala zjawiska jest duża. Według raportu CERT Polska za 2024 rok otrzymano 235 618 zgłoszeń phishingu w polskich sieciach. Zgłoszenia dotyczyły 64 844 adresów URL, 62 952 domen i 3 169 adresów IP. Te dane pokazują, że podejrzana wiadomość nie jest marginalnym problemem, nawet jeśli wygląda jak komunikat wysłany przez znany bank.
Oszustwo na bankowość internetową często zaczyna się od emocji: strachu przed blokadą konta, presji związanej z rzekomą płatnością albo obietnicy szybkiego zwrotu pieniędzy. Nazwa nadawcy i grafika wiadomości nie potwierdzają jej autentyczności, ponieważ mogą zostać podrobione.
Jak rozpoznać fałszywy SMS z banku?
Najważniejszym sygnałem jest presja czasu. Wiadomość może informować o konieczności natychmiastowego kliknięcia, zapłaty, podania danych albo kontaktu z rzekomym pracownikiem banku. Groźba blokady rachunku, sprawy sądowej lub utraty środków ma skłonić odbiorcę do działania bez sprawdzenia komunikatu.
Fałszywy SMS z banku traktuj jako podejrzany zwłaszcza wtedy, gdy zawiera prośbę o login, hasło, kod autoryzacyjny, PIN lub dane karty. Policja przypomina, że bankowcy nie proszą telefonicznie o hasła, kody dostępu, PIN ani login do bankowości elektronicznej. Nie należy też instalować aplikacji na polecenie rozmówcy.
Nie oceniaj wiadomości wyłącznie po nazwie nadawcy, poprawnej polszczyźnie albo wyglądzie logo. Przestępcy wykorzystują również podszywanie się pod instytucje publiczne i znajomych. CERT Polska opisał w 2024 roku między innymi kampanię „na dziecko”, w której oszuści prosili o pieniądze na telefon, oraz wiadomości podszywające się pod Policję.
Jeżeli SMS wywołuje pośpiech, nie odpowiadaj i nie klikaj. Samodzielnie uruchom aplikację bankową albo wpisz znany adres banku w przeglądarce. W ten sposób sprawdzisz, czy istnieje rzeczywisty komunikat, bez korzystania z kanału wskazanego przez nadawcę.
Fałszywy link do banku — co sprawdzić?
Najbezpieczniejsza reguła jest prosta: nie otwieraj fałszywego linku do banku przesłanego w wiadomości. Nie kopiuj go także do przeglądarki. Zamiast tego użyj aplikacji bankowej lub wpisz adres strony ręcznie, korzystając z adresu znanego wcześniej. Jeśli masz wątpliwości, zadzwoń do banku przez oficjalny numer.
Nie podawaj danych na stronie otwartej z SMS-a, e-maila ani komunikatora. Nawet jeśli witryna zawiera logo, kolorystykę i formularz przypominający bankowość elektroniczną, nie stanowi to dowodu autentyczności. Podejrzane żądanie może dotyczyć nie tylko loginu i hasła, lecz także kodu SMS, danych karty lub zatwierdzenia operacji w aplikacji.
Uważaj również na załączniki. W kampanii opisanej przez CERT Polska kliknięcie fałszywego załącznika lub linku mogło prowadzić do pobrania archiwum ze szkodliwym oprogramowaniem, między innymi Lumma stealerem. Dlatego nie otwieraj pliku tylko dlatego, że wiadomość nazywa go dokumentem, wezwaniem albo potwierdzeniem płatności.
| Typ kampanii | Kanał ataku | Potwierdzona skala lub przykład | Zalecany czas reakcji |
|---|---|---|---|
| Fałszywy SMS lub e-mail z linkiem do logowania | SMS, e-mail, fałszywa strona WWW | 235 618 zgłoszeń phishingu w polskich sieciach w 2024 roku; 64 844 adresy URL | Natychmiast: nie klikaj, zgłoś wiadomość i usuń ją |
| Podszywanie się pod pracownika banku | Telefon, SMS, e-mail | W opisanej przez Policję sprawie ofiara straciła ponad 800 000 zł | Natychmiast: rozłącz się i zadzwoń do banku na oficjalny numer |
| SMS-owa prośba o pieniądze od „dziecka” | SMS, następnie komunikator | CERT Polska opisał kampanię obserwowaną w 2024 roku; oszuści prosili o środki na zakup telefonu | Przed jakąkolwiek płatnością: potwierdź prośbę innym kanałem |
| Fałszywe wezwanie lub groźba konsekwencji | E-mail, załącznik, link | CERT Polska wskazał kampanię podszywającą się pod organy ścigania; wiadomości nakazywały natychmiastowy kontakt i groziły sprawą sądową | Nie odpowiadaj: zweryfikuj sprawę przez oficjalną stronę instytucji |
| Fałszywy załącznik lub link z dokumentem | E-mail, fałszywy plik PDF, strona WWW | W kampanii opisanej przez CERT Polska kliknięcie mogło pobrać archiwum ze szkodliwym oprogramowaniem, np. Lumma stealerem | Natychmiast: odłącz urządzenie od sieci, nie uruchamiaj pliku i zgłoś incydent |
Liczby dotyczą danych i opisów za 2024 rok; „natychmiast” oznacza przerwanie kontaktu i rozpoczęcie działań bez dalszego klikania lub autoryzowania operacji.
Co zrobić po kliknięciu?
Jeżeli tylko otworzyłeś stronę, nie wpisuj danych i zamknij kartę. Nie zatwierdzaj żadnej operacji w aplikacji bankowej. Jeśli podałeś login, hasło, kod lub dane karty, natychmiast skontaktuj się z bankiem oficjalnym kanałem i poproś o zabezpieczenie dostępu oraz instrumentów płatniczych.
Hasła zmieniaj z bezpiecznego urządzenia, a nie z tego, na którym otwarto podejrzany link. Jeżeli pobrał się plik albo instalowałeś aplikację na polecenie rozmówcy, odłącz urządzenie od internetu i nie używaj go do bankowości do czasu sprawdzenia. Nie kontynuuj rozmowy z osobą, która twierdzi, że „zabezpiecza” konto.
W opisanej przez Policję sprawie ofiara straciła ponad 800 000 zł. W przypadku podejrzenia przejęcia konta, wycieku danych lub nieautoryzowanej transakcji należy niezwłocznie skontaktować się z bankiem; porady z artykułu nie zastępują procedur bezpieczeństwa banku ani zawiadomienia Policji.
Gdzie zgłosić phishing?
Podejrzaną wiadomość zgłoś do CERT Polska. Jeśli doszło do próby wyłudzenia, ujawnienia danych albo utraty pieniędzy, powiadom również bank i Policję. W 2024 roku Policja podała 132 577 stwierdzonych przestępstw gospodarczych związanych z oszustwami oraz 92 527 wszczętych postępowań przygotowawczych.
Przed usunięciem wiadomości zachowaj jej treść, numer nadawcy, nagłówki e-maila, domenę, datę i zrzuty ekranu. Nie przekazuj dalej aktywnego linku. W zgłoszeniu opisz, co dokładnie nastąpiło: samo otrzymanie wiadomości, kliknięcie, podanie danych, instalacja pliku czy nieautoryzowana transakcja.
Jeśli rozmówca podawał się za pracownika banku, rozłącz się i wybierz numer znajdujący się na oficjalnej stronie lub karcie bankowej. Nie oddzwaniaj na numer wskazany w podejrzanej wiadomości i nie instaluj aplikacji do zdalnej obsługi urządzenia.
Zobacz też: spoofing telefoniczny.
Czytaj również: oszustwo na BLIK.
Najczęstsze pytania
Jak sprawdzić, czy SMS jest z banku?
Nie oceniaj wiadomości wyłącznie po nazwie nadawcy ani wyglądzie strony. Nie klikaj linku: otwórz aplikację banku lub wpisz adres banku ręcznie i sprawdź komunikaty. Jeśli SMS nakazuje podanie loginu, hasła, kodu, PIN-u albo danych karty, potraktuj go jako podejrzany.
Co zrobić po kliknięciu fałszywego linku?
Nie wpisuj danych i zamknij stronę. Jeśli podałeś login, hasło, kod lub dane karty, natychmiast skontaktuj się z bankiem oficjalnym kanałem; po pobraniu pliku albo instalacji aplikacji odłącz urządzenie od internetu i zachowaj dowody.
Gdzie zgłosić phishing?
Podejrzaną wiadomość zgłoś do CERT Polska, a próbę wyłudzenia lub poniesioną stratę także bankowi i Policji. W zgłoszeniu podaj treść wiadomości, numer nadawcy, domenę, datę i zrzuty ekranu, bez przekazywania dalej aktywnego linku.
Źródła
- Raport roczny 2024 — statystyki — CERT Polska, 2024, Raport CP 2024, część „Phishing”
- Przegląd kampanii phishingowych z 2024 roku — CERT Polska, 2025, publikacja z 2 kwietnia 2025 roku
- Bankowcy dla CyberEdukacji: Spoofing — czy to na pewno telefon z banku? — Policja.pl, 2024, publikacja z 18 lipca 2024 roku
- Walka z przestępczością gospodarczą — Policja.pl, 2025, dane za 2024 rok
- Myślała, że chroni pieniądze zgromadzone na swoim koncie, a straciła ponad 800 tysięcy złotych — Policja.pl, 2024, publikacja z 16 września 2024 roku
Czy ten poradnik był pomocny? Oceń go:
Ten artykuł nie ma jeszcze ocen.
