Fałszywe powiadomienie o wygasającym haśle Microsoft, aktywowanej subskrypcji Amazon Prime, zaległej opłacie parkingowej albo możliwości uzyskania Meta Verified. To przykłady kampanii phishingowych, przed którymi w sierpniu 2026 r. ostrzegał CERT Polska.
Współczesny phishing coraz rzadziej wygląda jak oczywiste oszustwo. Przestępca tworzy wiarygodny problem, wywołuje presję i od razu podsuwa rozwiązanie. Czasem wystarczy kilka sekund nieuwagi, aby stracić dane dostępowe, kontrolę nad kontem albo pieniądze.
Phishing nie wygląda już jak oczywiste oszustwo
Jeszcze kilka lat temu phishing wielu osobom kojarzył się z nieporadnie napisanym e-mailem, dziwnym adresem nadawcy i historią o wygranej, spadku albo milionach dolarów czekających na zagranicznym rachunku.
Dziś oszust nie musi już przekonywać nas do rzeczy nieprawdopodobnych. Wystarczy informacja:
„Twoje hasło do Microsoft wygasa”.
„Twoja subskrypcja Amazon Prime została aktywowana”.
„Masz niewielką zaległość za parking”.
„Twoja strona kwalifikuje się do Meta Verified”.
To nie są wymyślone scenariusze. Przed takimi kampaniami w sierpniu 2026 r. ostrzegał CERT Polska.
Oszust tworzy problem i od razu podsuwa rozwiązanie
Mechanizm jest prosty, ale skuteczny. Najpierw pojawia się problem: konto może zostać zablokowane, za chwilę zostanie pobrana opłata, istnieje niewielka zaległość albo trzeba pilnie potwierdzić dane.
Następnie pojawia się rozwiązanie: kliknij tutaj.
I właśnie na tym polega jedna z największych zmian we współczesnym phishingu. Oszust niekoniecznie wprost prosi o podanie hasła, numeru karty czy danych do bankowości elektronicznej. Zamiast tego tworzy sytuację, w której użytkownik sam uznaje podanie tych danych za logiczne i konieczne.
W kampanii dotyczącej usług Microsoft fałszywa strona przypominała panel logowania. Użytkownik, przekonany, że rozwiązuje problem ze swoim kontem, wpisywał login i hasło, które trafiały do przestępców.
W przypadku kampanii podszywającej się pod Amazon Prime odbiorca otrzymywał wiadomość o rzekomo aktywowanej subskrypcji. Aby ją anulować, miał skorzystać z zamieszczonego w wiadomości odnośnika. Fałszywa strona przypominała serwis Amazon i służyła do pozyskania danych karty płatniczej.
Z kolei w kampanii wykorzystującej Meta Verified przestępcy podszywali się pod administrację Facebooka i oferowali możliwość uzyskania odznaki. Celem było przejęcie danych logowania do konta.
Nie rozwiązuj problemu przez link z wiadomości
Zasada „sprawdź, czy strona wygląda podejrzanie” już nie wystarcza. Fałszywe witryny potrafią bardzo dobrze naśladować prawdziwe serwisy.
Nie rozwiązuj problemu z kontem, płatnością czy subskrypcją przez link przesłany w wiadomości. Jeżeli otrzymujesz informację, że Microsoft wymaga zmiany hasła, wejdź samodzielnie na swoje konto Microsoft. Jeżeli wiadomość dotyczy aktywowanej subskrypcji Amazon Prime, otwórz aplikację albo samodzielnie wpisz adres serwisu i sprawdź status subskrypcji. Jeżeli ktoś żąda zapłaty za parking, niezależnie ustal operatora parkingu i zweryfikuj należność.
Podobną metodę rekomenduje CERT Polska: informacje dotyczące konta czy usługi należy sprawdzać bezpośrednio w aplikacji lub oficjalnym serwisie, bez korzystania z odnośnika otrzymanego w podejrzanej wiadomości.
Co zrobić, jeżeli dane zostały już podane?
Jeżeli zorientujesz się, że podałeś dane na fałszywej stronie, znaczenie ma czas. W zależności od tego, jakie informacje trafiły do przestępców, konieczne może być między innymi:
- natychmiastowe skontaktowanie się z bankiem,
- zastrzeżenie karty,
- zmiana danych dostępowych,
- wylogowanie aktywnych sesji,
- zabezpieczenie przejętego konta.
Jeżeli to samo hasło było używane również w innych serwisach, trzeba zmienić je także tam.
Podejrzane strony i wiadomości można zgłaszać do CERT Polska przez formularz zgłoszeniowy. Podejrzane SMS-y można przekazywać również na bezpłatny numer 8080.
Jeżeli doszło już do utraty pieniędzy albo przejęcia konta, warto możliwie szybko zabezpieczyć dowody i rozważyć złożenie zawiadomienia o podejrzeniu popełnienia przestępstwa.
Z konta zniknęły pieniądze. Czy bank musi je oddać?
Tu zaczyna się część, w której samo stwierdzenie „padłem ofiarą phishingu” nie wystarcza do oceny sytuacji prawnej. Kluczowe znaczenie ma ustalenie, w jaki sposób doszło do transferu pieniędzy.
Jeżeli klient sam zlecił i zaakceptował konkretny przelew, nawet działając pod wpływem oszustwa, ocena prawna może być inna niż w przypadku transakcji wykonanej bez jego zgody. Każdy przypadek wymaga odtworzenia dokładnego przebiegu zdarzeń.
Uwierzytelnienie to nie autoryzacja
Ustawa o usługach płatniczych odróżnia autoryzację transakcji od jej uwierzytelnienia. Uwierzytelnienie jest technicznym procesem pozwalającym bankowi zweryfikować użytkownika lub użycie określonego instrumentu płatniczego. Autoryzacja oznacza natomiast zgodę użytkownika na wykonanie konkretnej transakcji. Ta różnica ma ogromne znaczenie w sprawach dotyczących oszustw internetowych.
Samo to, że w systemie bankowym użyto prawidłowego loginu, hasła, aplikacji albo innych elementów uwierzytelnienia, nie oznacza jeszcze automatycznie, że klient rzeczywiście wyraził zgodę na daną transakcję.
Zgodnie z ustawą o usługach płatniczych samo zarejestrowane użycie instrumentu płatniczego nie jest wystarczające do wykazania, że transakcja została przez użytkownika autoryzowana.
Jeżeli transakcja była nieautoryzowana, zasadą wynikającą z ustawy jest niezwłoczny zwrot jej kwoty przez dostawcę usług płatniczych — co do zasady najpóźniej do końca następnego dnia roboczego po stwierdzeniu transakcji albo otrzymaniu zgłoszenia od klienta. Ustawa przewiduje jednak wyjątki, a obowiązek dokonania zwrotu w tym terminie nie przesądza jeszcze o ostatecznym rozłożeniu odpowiedzialności za szkodę.
Znaczenie może mieć sposób działania oszustów, komunikaty wyświetlane klientowi przez bank, przebieg autoryzacji, reakcja systemów bezpieczeństwa, wysokość i nietypowość transakcji oraz to, jakie czynności rzeczywiście wykonał sam posiadacz rachunku.
Zabezpiecz dowody
Warto zachować:
- otrzymane wiadomości SMS i e-maile,
- numery telefonów, z których kontaktowali się sprawcy,
- zrzuty ekranu rozmów i komunikatów,
- adresy stron internetowych,
- historię połączeń,
- potwierdzenia transakcji,
- powiadomienia z aplikacji bankowej,
- korespondencję i rozmowy z bankiem,
- informacje o godzinach poszczególnych zdarzeń.
To właśnie z tych elementów później odtwarza się przebieg oszustwa. Może on mieć znaczenie nie tylko dla postępowania karnego, lecz także dla reklamacji składanej do banku i ewentualnego sporu dotyczącego odpowiedzialności za utracone środki.
Jeśli padłeś ofiarą przestępstwa w cyberprzestrzeni, opisz swoją sprawę.
Artykuł ma charakter informacyjny. Każda sprawa wymaga indywidualnej analizy.