Jak rozpoznać e-mail phishingowy: 7 sygnałów i 4 przykłady
W skrócie: E-mail phishingowy rozpoznasz po 7 głównych sygnałach: podejrzany adres nadawcy, presja czasu, linki prowadzące gdzie indziej, niż sugeruje ich treść, prośba o wpisanie hasła, nieoczekiwane załączniki, ogólne powitanie i błędy językowe oraz nietypowa prośba lub kontekst. Kilka z nich naraz wystarczy, by uznać e-mail za niebezpieczny.
E-mail phishingowy to podstępna wiadomość, która ma skłonić Cię do podania hasła, wykonania przelewu albo pobrania złośliwego pliku. Na takie e-maile nabierają się nawet doświadczeni pracownicy, gdy wiadomość wygląda pilnie i przekonująco. Dobra wiadomość jest taka, że prawie każdy e-mail phishingowy zostawia rozpoznawalne ślady. Poniżej siedem sygnałów, które warto sprawdzić w pierwszej kolejności, oraz cztery przykładowe e-maile z zaznaczonymi sygnałami.
1. Podejrzany adres nadawcy
Wyświetlana nazwa może wyglądać porządnie („Microsoft Support”), ale prawdziwy adres często zdradza oszustwo: micros0ft.net, paypa1.com albo domena z przypadkowych znaków. Zawsze sprawdzaj faktyczny adres e-mail, a nie tylko pokazaną nazwę.
2. Presja czasu i groźby
„Twoje konto zostanie zawieszone w ciągu 24 godzin” to klasyczny sposób wywierania presji. Pośpiech wyłącza krytyczne myślenie i skłania do działania bez zastanowienia. Prawdziwe organizacje rzadko grożą natychmiastową blokadą w e-mailu.
3. Linki, które prowadzą gdzie indziej, niż się wydaje
Najedź kursorem na link (bez klikania) i zobacz, dokąd naprawdę prowadzi. Jeśli widoczny tekst to „twojbank.pl”, a link wskazuje na nieznaną domenę, to wyraźny sygnał ostrzegawczy. Na telefonie przytrzymaj palec na linku, aby zobaczyć prawdziwy adres.
4. Prośba o wpisanie danych logowania
Żaden wiarygodny serwis nie poprosi Cię o wpisanie hasła przez link w e-mailu. Jeśli wiadomość kieruje na stronę logowania i prosi o hasło, zatrzymaj się. Zamiast tego otwórz stronę samodzielnie w przeglądarce.
5. Nieoczekiwane załączniki
Nieoczekiwany plik .zip, .html albo dokument Office z makrami to jeden z najczęstszych sposobów rozprzestrzeniania złośliwego oprogramowania. Jeśli nie spodziewasz się pliku, nie otwieraj go i potwierdź u nadawcy innym kanałem.
6. Ogólne powitanie i błędy językowe
„Szanowny Kliencie” zamiast Twojego imienia, dziwna gramatyka albo styl jak z automatycznego tłumacza często zdradzają masowy e-mail phishingowy. W atakach ukierunkowanych (spear phishing) język bywa jednak bezbłędny, więc sam ten sygnał nie wystarczy.
7. Nietypowa prośba lub kontekst
Przełożony, który „prosi” o pilny zakup kart podarunkowych, księgowość, która „zmienia” numer konta, dostawca, który „aktualizuje” dane: takie prośby zawsze sprawdzaj innym kanałem (telefonicznie lub osobiście), nawet jeśli e-mail wygląda, jakby był od kogoś, kogo znasz.
Złota zasada: jeśli e-mail wywołuje silne emocje, np. strach, poczucie pośpiechu albo ciekawość, to już wystarczający powód, by się zatrzymać i sprawdzić.
Przykłady e-maili phishingowych
Cztery poniższe e-maile odtwarzają schematy, których oszuści najczęściej używają wobec firm: fałszywa faktura, udostępniony dokument, powiadomienie z banku i prośba od prezesa. Firmy, nazwiska i adresy są zmyślone. Fragmenty, które zdradzają oszustwo, zaznaczono na czerwono, a pod każdym e-mailem znajduje się wyjaśnienie.
1. Faktura z załącznikiem HTML
Faktura MED-1184: termin płatności dziś do 15:00 (sygnał ostrzegawczy 2)
Dzień dobry,
w załączniku przesyłamy fakturę MED-1184. Termin płatności już minął. Jeśli nie zostanie opłacona dzisiaj, doliczymy odsetki i wstrzymamy dostawy.
Faktura jest w załączniku. Jeśli plik się nie otwiera, zaloguj się na służbowe konto e-mail. (sygnał ostrzegawczy 3)
Faktura_MED-1184.html (sygnał ostrzegawczy 4)
Sygnały ostrzegawcze
- To nie domena dostawcy. Medvila pisze z medvila.eu. Tutaj dodano słowo i zmieniono końcówkę: domenę medvila-invoices.com może zarejestrować każdy.
- Pośpiech i groźby. Termin tego samego dnia, odsetki i wstrzymane dostawy mają sprawić, że zapłacisz bez sprawdzania.
- Prośba o zalogowanie. Do przeczytania faktury nie potrzeba hasła. Jeśli plik prosi o logowanie, służy do kradzieży haseł.
- Plik HTML zamiast PDF. Faktury wysyła się jako PDF. Plik .html otwiera się w przeglądarce i pokazuje fałszywą stronę logowania.
2. Dokument udostępniony przez współpracowniczkę
Laura Novak udostępniła Ci plik: „Podział premii Q4.xlsx (sygnał ostrzegawczy 2)”
Laura Novak zaprasza Cię do wyświetlenia pliku.
„Zerknij na to przed piątkowym spotkaniem. Lista nie jest jeszcze publiczna. (sygnał ostrzegawczy 2)”
Sygnały ostrzegawcze
- Domena tylko podobna do firmowej. Kalvera używa kalvera.eu. Adres kalvera-docs.com nie należy do firmy, choć zawiera jej nazwę.
- Przynęta na ciekawość. Premie, wynagrodzenia i lista, która „nie jest jeszcze publiczna”, to tematy, które kuszą, by otworzyć plik od razu.
- Logowanie na fałszywej stronie. Przycisk prowadzi do strony logowania w tej samej fałszywej domenie. W razie wątpliwości zapytaj współpracowniczkę innym kanałem, czy naprawdę wysłała plik.
3. Powiadomienie z banku o ograniczeniu karty
Twoja karta płatnicza została tymczasowo ograniczona
Szanowny Kliencie (sygnał ostrzegawczy 2),
zauważyliśmy nietypową płatność Twoją kartą, dlatego dla Twojego bezpieczeństwa tymczasowo ją ograniczyliśmy.
Potwierdź swoją tożsamość w ciągu 12 godzin (sygnał ostrzegawczy 3), w przeciwnym razie karta zostanie zablokowana.
Sygnały ostrzegawcze
- To nie domena banku. Lumera Bank pisze z lumerabank.eu. Łącznik i końcówka .info tworzą zupełnie inny adres, niezwiązany z bankiem.
- Ogólne powitanie. Twój bank zna Twoje imię i nazwisko. „Szanowny Kliencie” pokazuje, że ten sam e-mail trafił do tysięcy osób.
- Termin i groźba. Dwanaście godzin i groźba blokady karty mają skłonić Cię do natychmiastowego działania.
- Weryfikacja tożsamości przez link. Zamiast linku z e-maila otwórz stronę lub aplikację banku samodzielnie. Pracownicy banku nie proszą o dane logowania ani dane karty.
4. Prośba prezesa o przelew
Poufne: przelew na dziś
Cześć,
finalizujemy umowę z nowym dostawcą. Nie jest jeszcze publiczna, więc na razie proszę nikomu o niej nie mówić (sygnał ostrzegawczy 2).
Potrzebuję, żebyś dziś do 17:00 przelał zaliczkę 18 400 € (sygnał ostrzegawczy 3), dane do przelewu w załączniku. Jestem na spotkaniu i nie mogę odbierać telefonów (sygnał ostrzegawczy 4), napisz tylko, gdy będzie zrobione.
Dane_do_przelewu_zaliczka.pdf
Sygnały ostrzegawcze
- Podobna, ale obca domena. Kierownictwo firmy Kalvera używa adresów @kalvera.eu. Nazwisko jest prawdziwe, ale domenę kalvera-group.com może zarejestrować każdy.
- Prośba o dyskrecję. Poufność ma powstrzymać Cię przed sprawdzeniem sprawy u współpracowników lub w dziale finansów.
- Pilny przelew na nowe dane. Duża kwota, termin tego samego dnia i nowe dane bankowe to typowy schemat oszustwa „na prezesa”.
- Brak możliwości sprawdzenia. „Nie mogę odbierać telefonów” uniemożliwia jedyną kontrolę, która zatrzymuje to oszustwo: telefon do przełożonego na numer, który już znasz.
Wszystkie cztery e-maile stosują te same sztuczki: łudząco podobną domenę, presję czasu i prośbę o działanie przez link, załącznik lub przelew. E-maile wysyłane w imieniu przełożonych i dostawców omawiamy szerzej w artykule Oszustwo „na prezesa” i fałszywe faktury: prawdziwe przykłady. W darmowym teście phishingowym możesz przećwiczyć rozpoznawanie 10 kolejnych e-maili, wśród których są też prawdziwe.
Co zrobić z podejrzanym e-mailem
- Nie klikaj linków i nie otwieraj załączników
- Zgłoś go do działu IT lub osoby odpowiedzialnej za bezpieczeństwo
- Jeśli przyszedł na prywatną skrzynkę, możesz go zgłosić do krajowego CERT – zobacz, gdzie zgłaszać w Polsce i krajach bałtyckich
- Jeśli link został już kliknięty, od razu zmień hasło i poinformuj dział IT
- Nie usuwaj e-maila od razu: może być potrzebny do wyjaśnienia sprawy
W teorii rozpoznanie e-maila phishingowego jest łatwe, ale w prawdziwej sytuacji, w pośpiechu, jest trudniej. Tę umiejętność buduje się praktyką: bezpieczne symulacje phishingu pokazują, jak pracownicy naprawdę reagują, a krótka lekcja zaraz po kliknięciu zamienia błąd w naukę. W ten sposób Opsinel pomaga zespołom stać się odporniejszymi, bez straszenia i szukania winnych.
Wypróbuj
Czy rozpoznasz e-mail phishingowy?
10 realistycznych e-maili i wyjaśnienie po każdej odpowiedzi. Około 5 minut, bez rejestracji.
Zrób test phishingowyCzy oszuści mogą wysyłać e-maile w Twoim imieniu?
Darmowe sprawdzenie SPF, DKIM i DMARC Twojej domeny. Wpisane domeny nie są zapisywane.
Najczęstsze pytania
Co sprawdzić najpierw, gdy podejrzewam phishing?
Najpierw sprawdź prawdziwy adres e-mail nadawcy (nie tylko wyświetlaną nazwę) i najedź kursorem na link, aby zobaczyć, dokąd naprawdę prowadzi.
Co zrobić, jeśli już kliknięto link phishingowy?
Od razu zmień hasło do konta, którego to dotyczy, włącz uwierzytelnianie dwuskładnikowe i poinformuj dział IT lub osobę odpowiedzialną za bezpieczeństwo. Im szybciej to zgłosisz, tym mniejsze szkody.
Gdzie mogę zobaczyć przykłady e-maili phishingowych?
W tym artykule są cztery przykłady z zaznaczonymi sygnałami ostrzegawczymi: fałszywa faktura, udostępniony dokument, powiadomienie z banku i prośba od prezesa. W darmowym teście phishingowym możesz przećwiczyć rozpoznawanie 10 kolejnych e-maili, wśród których są też prawdziwe.
Czy symulacje phishingu naprawdę pomagają?
Tak. Regularne symulacje z krótką lekcją zaraz po kliknięciu zmniejszają odsetek kliknięć i budują czujność przez praktykę, a nie teorię.
Jak odróżnić phishing od prawdziwego e-maila z banku?
Prawdziwy bank zwraca się do Ciebie po imieniu, nigdy nie prosi o wpisanie hasła przez link i nie grozi natychmiastową blokadą. W razie wątpliwości nie używaj linków z e-maila, tylko zaloguj się do banku samodzielnie.
Czy e-mail phishingowy może wyglądać całkowicie wiarygodnie?
Tak. W atakach ukierunkowanych (spear phishing) język jest bezbłędny, a nazwa nadawcy się zgadza. Dlatego nie polegaj wyłącznie na błędach językowych: sprawdzaj adres, linki i kontekst prośby.
Źródła i dalsza lektura
Publiczne zalecenia instytucji bezpieczeństwa i organizacji normalizacyjnych. Większość z nich jest w języku angielskim.