Jak rozpoznać e-mail phishingowy?
Żeby rozpoznać phishing, sprawdź prawdziwy adres nadawcy, a nie tylko wyświetlaną nazwę, i zobacz, dokąd naprawdę prowadzi link, zanim klikniesz. Uważaj na pośpiech, groźby, niespodziewane załączniki i strony logowania oraz prośby o pieniądze, karty podarunkowe czy kody. W razie wątpliwości skontaktuj się z nadawcą kanałem, któremu już ufasz.
▶ Wypróbuj
Dlaczego to ważne
Większość włamań zaczyna się od wiadomości, która pogania albo podszywa się pod autorytet. Ćwiczysz czytanie sygnałów: dziwny nadawca, niepasujący link, presja czasu i prośby o hasła lub pieniądze.
W 9 minut nauczysz się
- Patrz na prawdziwy adres nadawcy i na to, dokąd naprawdę prowadzi link.
- Pośpiech, autorytet, pieniądze, karty podarunkowe i kody to klasyczne sztuczki.
- Kliknięte? Zgłoś to od razu. Szybkość jest ważniejsza niż wstyd.
Co przećwiczysz
5 sygnałów ostrzegawczych
Prawie każda wiadomość phishingowa używa co najmniej jednej z tych sztuczek.
- ⏰ Pośpiech albo strach
- „Twoje konto zostanie zablokowane w ciągu 24 godzin”. Presja nie pozwala myśleć.
- 🎭 Pożyczony autorytet
- Wygląda, jakby pisał szef, bank albo dział IT. Sprawdź prawdziwy adres nadawcy, nie wyświetlaną nazwę.
- 🔗 Linki, które nie pasują
- Tekst mówi jedno, a link prowadzi gdzie indziej. Najedź kursorem albo przytrzymaj palec, zanim klikniesz.
- 📎 Nieoczekiwane logowania i pliki
- Załącznik-niespodzianka albo strona logowania, o którą nie prosisz, to klasyczna pułapka.
- 🎁 Pieniądze, karty podarunkowe, kody
- Prośby o przelew, karty podarunkowe albo jednorazowe kody to prawie zawsze oszustwo.
Phishing czy nie?
Otwórz każdy e-mail. Sprawdź nadawcę i linki, potem zdecyduj.
Smishing: SMS „Cześć mamo”
Phishing przychodzi też SMS-em. Stuknij każdy sygnał ostrzegawczy w tej wiadomości.
Nieznany numer
Cześć mamo, to mój nowy numer, telefon mi się zepsuł. Możesz pilnie zapłacić za mnie rachunek? Nie mogę teraz rozmawiać. Nie mów nic tacie. Kocham cię ❤️Kliknięte? Zrób tak
Każdemu się zdarza. Kliknąłeś link phishingowy i wpisałeś hasło. Ułóż kroki po kolei.
- Stop: nie wpisuj nic więcej i nie otwieraj kolejnych plików
- Od razu zgłoś to do działu IT lub bezpieczeństwa
- Zmień hasło z innego, bezpiecznego urządzenia
- Włącz MFA na tym koncie, jeśli jeszcze go nie ma
- Obserwuj dziwną aktywność i ostrzeż osoby, które dostały ten sam e-mail
Zapamiętaj
Presja to sygnał. Zwolnij i sprawdź prawdziwego nadawcę i prawdziwy link.
Presja to sygnał. Zwolnij i sprawdź kanałem, któremu już ufasz.
Najważniejsze fakty
- W 68% wycieków danych udział miał nieumyślny czynnik ludzki, np. ktoś dał się nabrać na socjotechnikę albo popełnił błąd. · Źródło: Verizon Data Breach Investigations Report 2024
- W 2024 roku CERT Polska zarejestrował 40 120 incydentów phishingu, czyli 39% wszystkich zarejestrowanych incydentów. · Źródło: CERT Polska, Raport roczny 2024
- W 2024 roku do CERT Polska trafiło 354 566 zgłoszeń podejrzanych SMS-ów, o 60% więcej niż rok wcześniej. · Źródło: CERT Polska, Raport roczny 2024
- Oszustwa „na prezesa” i „na dostawcę” (business email compromise), w których przestępcy przekierowują płatności, przyniosły w 2023 roku w USA zgłoszone straty rzędu 2,9 mld dolarów. · Źródło: FBI IC3, Internet Crime Report 2023
- Phishing przychodzi też SMS-em (smishing) i telefonicznie (vishing), z tymi samymi sztuczkami: pośpiech, pożyczony autorytet i prośba o natychmiastowe działanie.
Aktualizacja:
Częste pytania
Po czym poznać e-mail phishingowy?
Adres nadawcy nie pasuje do firmy, linki prowadzą na inną stronę, jest pośpiech albo groźba, niespodziewane załączniki lub strony logowania i prośby o pieniądze, karty podarunkowe czy kody.
Co zrobić, gdy kliknąłem w link phishingowy?
Przestań cokolwiek wpisywać, od razu zgłoś to do działu IT lub bezpieczeństwa i zmień hasło z innego urządzenia. Potem włącz MFA i obserwuj konto. Prywatnie możesz zgłosić incydent do CERT Polska na incydent.cert.pl.
Co to jest smishing?
Smishing to phishing przez SMS. Typowe przykłady to fałszywe dopłaty do paczek i wiadomości „Cześć mamo, to mój nowy numer” z prośbą o pilny przelew. Podejrzany SMS przekaż bezpłatnie na numer 8080 do CERT Polska.
Jak zgłosić phishing?
W pracy użyj przycisku zgłaszania albo przekaż wiadomość do działu IT lub bezpieczeństwa. Prywatnie zgłoś stronę na incydent.cert.pl/phishing, a SMS-a przekaż na 8080. Potem usuń wiadomość bez klikania w linki.
Powiązane pojęcia