Phishing to metoda oszustwa polegająca na podszywaniu się pod zaufaną osobę lub firmę (bank, kuriera, urząd), aby nakłonić ofiarę do ujawnienia haseł, danych karty lub zainstalowania szkodliwego oprogramowania.
Jak rozpoznać phishing?
- wiadomość wywiera presję czasu lub straszy konsekwencjami,
- adres nadawcy lub linku różni się nieznacznie od prawdziwego,
- prośba o podanie hasła lub kodu 2FA,
- błędy językowe i nietypowe załączniki.
Jak się chronić?
Nie klikaj linków z wiadomości — wejdź na stronę ręcznie. Włącz 2FA (najlepiej z kluczem sprzętowym), korzystaj z menedżera haseł, który nie uzupełni danych na fałszywej domenie, i zgłaszaj podejrzane wiadomości.
Co zrobić po kliknięciu w fałszywy link?
Jeśli wpisałeś dane logowania, natychmiast zmień hasło w prawdziwym serwisie i wszędzie tam, gdzie go używałeś, włącz uwierzytelnianie dwuskładnikowe oraz sprawdź historię aktywności konta. Przy danych karty skontaktuj się z bankiem w celu jej zablokowania. Zgłoś wiadomość do działu bezpieczeństwa firmy lub zespołu reagowania CERT Polska, który prowadzi serwis do zgłaszania incydentów.
Aby rozpoznać fałszywkę, patrz na domenę w pasku adresu, a nie na wygląd strony, i nie klikaj linków z wiadomości, tylko wpisz adres ręcznie. Fałszywe wiadomości często budują presję czasu, np. groźbą zablokowania konta. Firmy powinny szkolić pracowników i wdrożyć SPF, DKIM i DMARC, aby utrudnić podszywanie się pod ich domenę.
Odmianą jest phishing celowany, przygotowany pod konkretną osobę.
Czym różni się phishing od smishingu i vishingu?
Phishing odbywa się głównie przez e-mail. Smishing wykorzystuje SMS-y, a vishing rozmowy telefoniczne.