Phishing z błędami ortograficznymi to przeszłość. Dzisiejsze fałszywe maile mają poprawną polszczyznę, prawdziwe stopki i numery spraw. CERT Polska w raporcie rocznym za 2025 pisze wprost o „coraz wyższej jakości wykonania” materiałów phishingowych.
Według tego samego raportu w 2025 roku CERT Polska zarejestrował 260 783 incydenty, z czego 97% stanowiły oszustwa komputerowe, a sam phishing - 78 391 przypadków. Poniżej siedem scenariuszy, które dziś lądują w skrzynkach polskich firm - z tym, jak je rozpoznać i co zrobić.
1. „Nowa faktura w KSeF”
Od 1 lutego 2026 KSeF objął największych podatników, od 1 kwietnia resztę. Jeszcze jeden mail o „nowym dokumencie” nikogo w księgowości nie dziwi i właśnie na to liczą oszuści. CERT Polska ostrzegał w kwietniu 2026 przed kampanią fałszywych powiadomień o fakturach, które zamiast dokumentu podsuwały złośliwe oprogramowanie.
Od: KSeF Powiadomienia <noreply@ksef-powiadomienia.przyklad-faktury.pl>
Temat: Wystawiono nową fakturę nr FV/2026/10/0418
W KSeF zarejestrowano fakturę na Państwa NIP.
Kwota brutto: 12 840,00 zł. Termin płatności: 3 dni.
[ POBIERZ FAKTURĘ ]Po czym poznać: domena spoza gov.pl, krótki termin płatności, a po kliknięciu plik ZIP, ISO, IMG albo „faktura.pdf.exe” zamiast PDF-a.
Co zrobić: faktur z KSeF nie pobierasz z maila. Sprawdzasz w KSeF albo w programie księgowym, czy taki dokument w ogóle istnieje.
2. Kurier i „problem z doręczeniem”
Klasyk, który nie umiera. W raporcie CERT Polska za 2025 to jeden z najczęstszych motywów: e-mail o niedoręczonej paczce z załącznikiem, który instaluje oprogramowanie kradnące hasła do poczty.
Od: Obsługa Przesyłek <info@przesylki-przyklad.pl>
Temat: Nie udało się doręczyć przesyłki 6203 4419 0087
Kurier nie zastał nikogo pod wskazanym adresem.
Otwórz załączony formularz i uzupełnij dane.
Brak odpowiedzi w ciągu 48 h oznacza zwrot przesyłki.
Załącznik: formularz_doreczenia.zipPo czym poznać: nie wiadomo, od kogo jest paczka, formularz siedzi w archiwum ZIP, a w wersji z linkiem pojawia się „dopłata” rzędu kilku złotych - przynęta na dane karty.
Co zrobić: status sprawdzasz w aplikacji przewoźnika lub u sprzedawcy. ZIP od nieznanego nadawcy kasujesz bez otwierania.
3. „Zmieniliśmy numer konta” - czyli BEC
Najdroższy scenariusz z listy, bo kradnie od razu pieniądze. Atakujący przejmuje skrzynkę kontrahenta albo rejestruje domenę różniącą się jedną literą i w odpowiednim momencie podsuwa nowy rachunek. Według raportu FBI IC3 za 2025 straty zgłoszone z tytułu Business Email Compromise przekroczyły 3 mld dolarów.
Od: Anna Kowalska <a.kowalska@przyklad-hurtownla.pl>
Temat: RE: Zamówienie 2026/09/112 - faktura
Dzień dobry,
w związku ze zmianą banku prosimy o regulowanie
należności na nowy rachunek:
PL 12 3456 7890 0000 0000 0000 0000
Faktura w załączniku. Pozdrawiam, AnnaPo czym poznać: mail często jest dalszym ciągiem prawdziwej rozmowy. Zwróć uwagę na domenę („hurtownla” zamiast „hurtownia”), nowy numer konta i pośpiech.
Co zrobić: każdą zmianę rachunku weryfikujesz telefonicznie, pod numerem z własnych dokumentów, nigdy ze stopki maila. Przy płatnościach powyżej 15 000 zł sprawdź też białą listę podatników VAT - ale to nie zastępuje telefonu.
4. „Udostępniono Ci dokument”
Powiadomienia o udostępnionym pliku klika się odruchowo. Link prowadzi do podróbki logowania do Microsoft 365 albo Google, a po wpisaniu hasła atakujący ma Twoją skrzynkę.
Od: Marek Nowak (przez udostępnianie plików) <share@dokumenty-przyklad.com>
Temat: Marek Nowak udostępnił Ci „Umowa_ramowa_2026_poprawki.docx”
„Zerknij proszę przed czwartkiem, naniosłem uwagi.”
[ Otwórz w przeglądarce ]Po czym poznać: nie spodziewałeś się pliku, adres pod przyciskiem nie jest domeną usługi chmurowej, a strona pyta o hasło, choć jesteś już zalogowany.
Co zrobić: zapytaj nadawcę innym kanałem. Pliki otwieraj z własnego OneDrive czy Dysku, z zakładki „Udostępnione mi”.
5. „Twoja skrzynka wygasa” - z kodem QR
Zamiast linku jest PDF z kodem QR do „weryfikacji MFA”. Filtr nie przeskanuje obrazka, a Ty zeskanujesz go prywatnym telefonem, poza firmowymi zabezpieczeniami. Według Microsoft Threat Intelligence liczba ataków z kodem QR w poczcie wzrosła w pierwszym kwartale 2026 z 7,6 mln w styczniu do 18,7 mln w marcu, a w marcu 70% z nich przychodziło w załącznikach PDF.
Od: Dział IT <it-support@przyklad-admin.pl>
Temat: [PILNE] Wymagana ponowna rejestracja MFA
Twoja skrzynka zostanie zablokowana 15.10.2026 o 23:59.
Zeskanuj telefonem kod z załączonego dokumentu.
Załącznik: Polityka_MFA_2026.pdfPo czym poznać: „dział IT” pisze z obcej domeny, grozi blokadą i każe użyć telefonu. Prawdziwy administrator nie rejestruje MFA przez kod z PDF-a.
Co zrobić: zadzwoń do swojego IT. Zasada dla zespołu: kod QR z maila traktujemy dokładnie jak link - nie skanujemy, jeśli nie znamy źródła.
6. e-Doręczenia, urząd skarbowy, „zwrot podatku”
Urzędy budzą zaufanie i strach jednocześnie. CERT Polska opisuje w raporcie za 2025 m.in. nieodebraną przesyłkę w e-Doręczeniach z groźbą usunięcia (podróbka biznes.gov.pl wyłudzająca hasło do poczty), „zwrot podatku” (dane karty i bankowości) oraz maile nakłaniające do telefonu, w trakcie którego „konsultant” każe zainstalować program do zdalnego pulpitu.
Od: e-Doręczenia <powiadomienie@e-doreczenia.przyklad-urzad.pl>
Temat: Nieodebrana przesyłka urzędowa - ostatnie powiadomienie
Na Twoją skrzynkę do doręczeń wpłynęła korespondencja
z Urzędu Skarbowego. Zostanie usunięta po 3 dniach.
[ ODBIERZ PRZESYŁKĘ ]Po czym poznać: groźba utraty dokumentu, link poza domeną gov.pl, prośba o dane karty albo o telefon pod podany numer.
Co zrobić: do e-Doręczeń czy e-Urzędu Skarbowego wchodzisz, wpisując adres ręcznie. Urząd nie prosi o dane karty ani o instalację programu do zdalnej pomocy.
7. „Prezes” prosi o pilny przelew
Krótki mail od szefa, który „jest na spotkaniu”: szybki przelew do nowego dostawcy albo karty podarunkowe „dla klienta”. Dziś taki mail często pisze AI - bez błędów, w stylu nadawcy, z wiedzą z LinkedIna i strony firmy. Według Microsoft Digital Defense Report 2025 maile phishingowe tworzone z pomocą AI osiągały 54% klikalności wobec 12% dla tradycyjnych.
Od: Tomasz Wiśniewski <prezes.t.wisniewski@poczta-przyklad.pl>
Temat: pilne
Puść dziś przelew 38 500 zł - zaliczka dla nowego
podwykonawcy, dane niżej. Jestem na spotkaniu,
nie dzwoń, odpisz jak zrobione. T.Po czym poznać: obca domena, zakaz telefonu, presja czasu, dyskrecja. Bywa, że dochodzi wiadomość głosowa - głos da się dziś podrobić, więc nie jest dowodem.
Co zrobić: zadzwoń do prezesa na znany Ci numer. Żaden rozsądny prezes nie obrazi się za weryfikację przelewu.
Sygnały ostrzegawcze wspólne dla wszystkich
- Domena nadawcy, nie nazwa wyświetlana. Liczy się to, co stoi po znaku @, w całości: ksef-powiadomienia.przyklad-faktury.pl to domena przyklad-faktury.pl, nie KSeF.
- Link vs tekst linku. Napis na przycisku nic nie znaczy. Najedź kursorem, a na telefonie przytrzymaj palec na linku.
- Pilność i emocje. Blokada konta, kara, zwrot pieniędzy, prośba szefa. Według CERT Polska to jedna z głównych technik manipulacji.
- Nietypowe załączniki. ZIP, ISO, IMG, HTML, pliki z makrami, PDF z samym kodem QR.
Głębiej: w nagłówkach wiadomości (w Outlooku opcja „Wyświetl źródło” lub „Właściwości” wiadomości, w Gmailu „Pokaż oryginał”) znajdziesz wynik weryfikacji nadawcy:
Authentication-Results: spf=pass smtp.mailfrom=przyklad-hurtownla.pl;
dkim=pass header.d=przyklad-hurtownla.pl;
dmarc=pass header.from=przyklad-hurtownla.plW skrócie: SPF sprawdza, czy serwer mógł wysłać pocztę z tej domeny, DKIM - czy treść nie została zmieniona po drodze, a DMARC mówi, co zrobić, gdy te testy nie przejdą. Uwaga: powyżej wszystko jest „pass”, a mail i tak jest fałszywy. Testy potwierdzają tylko, że wiadomość pochodzi z przyklad-hurtownla.pl - nie, że to domena Twojego kontrahenta. Więcej o tych rekordach we wpisie dlaczego Twoje maile trafiają do spamu.
Co ustawić technicznie w firmie
Szkolenia są ważne, ale ludzie się mylą. Kilka rzeczy ustawia się raz i działa za nich:
- DMARC na własnej domenie - docelowo z polityką reject. Chroni klientów przed podszywaniem się pod Ciebie.
- Filtrowanie poczty z analizą linków i załączników - sprawdzanie linków w momencie kliknięcia, sandbox dla załączników, blokada ZIP/ISO/IMG z zewnątrz, skanowanie kodów QR, jeśli filtr to obsługuje.
- Oznaczanie maili z zewnątrz - w Microsoft 365 to jedno ustawienie. Mail od „prezesa” z etykietą „Zewnętrzne” zapala lampkę każdemu.
- MFA odporne na phishing - kod z SMS-a czy aplikacji da się wpisać na podrobionej stronie, klucza sprzętowego ani passkey - nie. Szczegóły w rankingu metod MFA.
- Procedura weryfikacji płatności - na piśmie: zmiana rachunku i nietypowy przelew wymagają telefonu pod znany numer i akceptacji drugiej osoby. Bez wyjątków dla prezesa.
- Prosty kanał zgłaszania - przycisk „Zgłoś” w Outlooku albo adres na podejrzane maile. IT usunie wtedy ten sam mail z innych skrzynek.
Phishing to zwykle pierwszy krok - potem jest przejęcie kont, ruch w sieci i ransomware. Opisaliśmy to we wpisie jak wygląda realny scenariusz włamania.
Ktoś kliknął. Co teraz?
Najważniejsza zasada: zgłoszenie po 5 minutach jest warte wielokrotnie więcej niż po 5 dniach. Dlatego za kliknięcie nie karz - ukarany pracownik następnym razem je przemilczy, a Ty dowiesz się z wyciągu bankowego.
- Zgłoś od razu do IT lub osoby odpowiedzialnej, nawet jeśli „chyba nic się nie stało”.
- Jeśli uruchomiłeś plik - odłącz komputer od sieci (kabel, Wi-Fi), ale go nie wyłączaj. Ślady w pamięci przydadzą się przy analizie.
- Jeśli wpisałeś hasło - zmień je z innego, czystego urządzenia, wyloguj wszystkie aktywne sesje i sprawdź, czy nikt nie dodał nowej metody MFA.
- Sprawdź reguły skrzynki - przekierowania na zewnątrz i reguły ukrywające maile to klasyczny ślad przygotowań do BEC.
- Jeśli podałeś dane karty lub wysłałeś przelew - natychmiast dzwoń do banku. Przy przelewie liczą się godziny.
- Ostrzeż innych - zespół, a przy przejętej skrzynce także kontrahentów.
- Zgłoś incydent do CERT Polska przez incydent.cert.pl. Jeśli doszło do naruszenia danych osobowych, pamiętaj o 72 godzinach na zgłoszenie do UODO.
Sprawdźmy, jak Twoja firma zniesie taki mail
Większość opisanych ataków zatrzymuje kilka ustawień, które w małej firmie wdraża się w dzień lub dwa: DMARC, filtrowanie, MFA odporne na phishing i kartka z procedurą weryfikacji przelewów. Jeśli chcesz wiedzieć, gdzie są Twoje luki, zacznij od audytu IT albo zobacz, jak możemy pomóc w ramach usług bezpieczeństwa.
