Uważaj na oszustwa phishingowe 3.0: otrzymany e-mail może nie pochodzić od tego, kogo myślisz

Oszustwa phishingowe ewoluują. W nowej erze phishingu 3.0, cyberprzestępcy opracowują coraz bardziej zaawansowane techniki, aby ukraść Twoje dane osobowe. Jak możemy się przed nimi bronić? Czy jesteśmy w stanie odróżnić prawdziwą wiadomość od fałszywej? W tym artykule omówimy najnowsze zagrożenia związane z oszustwami phishingowymi oraz metody ich rozpoznawania.

Phishing 3.0 – co się zmieniło?

W przeszłości, oszustwa phishingowe opierały się głównie na podszywaniu się pod znaną markę czy instytucję i próbie wyłudzenia danych, takich jak hasła czy informacje kredytowe. Teraz, cyberprzestępcy posługują się bardziej wyszukanymi technikami, takimi jak tzw. BEC (Business Email Compromise) czy spear-phishing, które wykorzystują informacje o odbiorcy w celu zdobycia zaufania.

📚 Przeczytaj kompletny przewodnik: Cyberbezpieczeństwo: Kompletny przewodnik po cyberbezpieczeństwie dla zarządów i menedżerów

W ramach phishingu 3.0 wyróżniamy kilka technik, które warto znać:

• BEC (Business Email Compromise) – atak, w którym oszuści podszywają się pod osoby zajmujące wysokie stanowiska w organizacji, np. CEO, i próbują wyłudzić informacje finansowe, takie jak dane do przelewów.

• Spear-phishing – atak wymierzony w konkretną osobę, uwzględniający informacje na jej temat, takie jak imię, nazwisko czy zainteresowania, co zwiększa prawdopodobieństwo, że ofiara uwierzy w autentyczność wiadomości.

• Whaling – atak podobny do spear-phishingu, jednak skierowany na osoby o wyższym statusie w organizacji, takie jak dyrektorzy czy prezesi.

Oto kilka wskazówek, które mogą pomóc w rozpoznawaniu i unikaniu oszustw phishingowych 3.0:

• Zawsze sprawdzaj adres e-mail nadawcy – nawet jeśli wygląda on na autentyczny, warto dokładnie przeanalizować, czy nie zawiera on podejrzanych znaków czy błędów ortograficznych.

• Zachowaj ostrożność przy otwieraniu załączników – nie otwieraj plików od nieznanych nadawców lub w przypadku, gdy nie spodziewasz się ich otrzymać.

• Weryfikuj informacje – jeśli e-mail zawiera prośbę o przekazanie danych czy wykonanie jakiejś czynności, skontaktuj się ze źródłem (np. pracownikiem firmy, bankiem) za pomocą innych kanałów komunikacji, takich jak telefon czy osobisty kontakt, aby upewnić się, że prośba jest autentyczna.

• Używaj zabezpieczeń – zainstaluj i regularnie aktualizuj oprogramowanie antywirusowe oraz korzystaj z narzędzi do ochrony przed phishingiem, które mogą być dostępne w ramach przeglądarek internetowych czy usług pocztowych.

• Szkolenia i edukacja – upewnij się, że zarówno Ty, jak i inni członkowie Twojej organizacji, zdajecie sobie sprawę z zagrożeń związanych z oszustwami phishingowymi i potraficie je rozpoznać. Regularne szkolenia i warsztaty mogą pomóc w utrzymaniu świadomości na odpowiednim poziomie.

Phishing 3.0 — nowa generacja ataków

Termin „phishing 3.0” odnosi się do fundamentalnej zmiany w sposobie, w jaki cyberprzestępcy konstruują i dostarczają fałszywe wiadomości. O ile pierwsza generacja phishingu opierała się na masowych, często nieudolnych e-mailach z błędami językowymi, a druga na bardziej ukierunkowanych atakach spear phishing, o tyle trzecia generacja wykorzystuje najnowsze technologie do tworzenia niemal idealnych kopii autentycznej komunikacji.

Treści generowane przez AI

Cyberprzestępcy coraz powszechniej wykorzystują modele generatywnej sztucznej inteligencji do tworzenia wiadomości phishingowych. Wiadomości te są pozbawione typowych błędów ortograficznych i gramatycznych, które wcześniej stanowiły podstawowy sygnał ostrzegawczy. AI potrafi dostosować ton i styl wiadomości do kontekstu organizacji, a nawet imitować sposób komunikacji konkretnej osoby na podstawie jej publicznych wypowiedzi w mediach społecznościowych.

Deepfake w służbie phishingu

Technologia deepfake przenosi inżynierię społeczną na zupełnie nowy poziom. Przestępcy wykorzystują syntetyczny głos do prowadzenia rozmów telefonicznych, w których podszywają się pod prezesa czy dyrektora finansowego firmy. Odnotowano przypadki, w których sfałszowane połączenie wideo z deepfake’owym obrazem dyrektora doprowadziło do autoryzacji przelewu na kwotę ponad 25 milionów dolarów. Połączenie deepfake’owego połączenia z wcześniejszym e-mailem phishingowym tworzy wyjątkowo przekonujący scenariusz ataku wielokanałowego.

Wykorzystanie legalnych platform

Jedną z najbardziej podstępnych taktyk phishingu 3.0 jest wykorzystanie legalnych, zaufanych platform do dostarczania złośliwej treści. Przestępcy wysyłają zaproszenia przez Google Forms, udostępniają dokumenty przez SharePoint, tworzą fałszywe strony w Microsoft Sway lub wysyłają powiadomienia z prawdziwych kont w serwisach takich jak Dropbox czy DocuSign. Ponieważ wiadomości rzeczywiście pochodzą z serwerów tych platform, omijają tradycyjne filtry antyspamowe i nie wzbudzają podejrzeń odbiorcy.

Jak rozpoznać phishing 3.0

W obliczu coraz bardziej zaawansowanych technik, rozpoznanie fałszywej wiadomości wymaga szczególnej czujności. Oto lista sygnałów ostrzegawczych, na które warto zwracać uwagę:

• Nieoczekiwana pilność — wiadomości wywierające presję czasową („musisz to zrobić w ciągu godziny”, „termin mija dziś”) powinny zawsze wzbudzać podejrzliwość. Prawdziwi nadawcy rzadko wymagają natychmiastowego działania bez wcześniejszego kontaktu.
• Subtelne różnice w domenie — phishing 3.0 wykorzystuje domeny niemal identyczne z oryginałem: zamiana liter (rn zamiast m), dodanie myślnika (firma-pl.com zamiast firma.pl) czy użycie innej domeny najwyższego poziomu (.net zamiast .com). Zawsze weryfikuj pełny adres e-mail nadawcy.
• Nietypowe zachowanie nadawcy — jeśli prezes, który normalnie nie pisze do Ciebie bezpośrednio, nagle prosi o pilny przelew, lub dostawca zmienia numer konta bez wcześniejszej zapowiedzi — to poważne sygnały ostrzegawcze.
• Prośba o pominięcie procedur — atakujący często proszą o zachowanie poufności lub pominięcie standardowych ścieżek autoryzacji. Każda taka prośba powinna uruchomić alarm.
• Linki prowadzące do stron z logowaniem — nawet jeśli strona wygląda identycznie jak portal firmowy, zawsze sprawdzaj adres URL przed wprowadzeniem danych logowania. Korzystaj z menedżera haseł, który nie uzupełni danych na fałszywej domenie.

Statystyki phishingu w 2024-2025

Skala problemu phishingowego rośnie z roku na rok, co potwierdzają dane z wielu niezależnych źródeł:

• Według raportu Verizon Data Breach Investigations Report (DBIR), phishing jest zaangażowany w około 36% wszystkich naruszeń bezpieczeństwa danych na świecie. To czyni go najczęstszym wektorem początkowego dostępu dla atakujących.
• CERT Polska w swoich rocznych raportach odnotowuje systematyczny wzrost liczby zgłoszeń phishingowych — w ostatnich latach Polska znajduje się wśród krajów europejskich z najwyższą dynamiką wzrostu tego typu incydentów. Najpopularniejsze scenariusze to podszywanie się pod banki, firmy kurierskie i portale ogłoszeniowe.
• Anti-Phishing Working Group (APWG) raportuje, że liczba unikalnych stron phishingowych przekracza 5 milionów rocznie, a średni czas życia strony phishingowej wynosi zaledwie kilkanaście godzin — wystarczająco długo, aby zebrać dane ofiar, ale krótko, aby uniknąć wykrycia.
• Sektor finansowy pozostaje najczęstszym celem ataków phishingowych (ponad 23% wszystkich ataków), za nim plasują się media społecznościowe, usługi SaaS/webmail oraz e-commerce.
• Koszt udanego ataku phishingowego dla średniej wielkości organizacji wynosi średnio 4,76 miliona dolarów, uwzględniając bezpośrednie straty finansowe, koszty reakcji na incydent, utratę produktywności i szkody reputacyjne.

Praktyczne wskazówki ochrony

Dla pracowników i użytkowników indywidualnych

• Stosuj uwierzytelnianie wieloskładnikowe (MFA) na wszystkich kontach — nawet jeśli dane logowania wyciekną, MFA stanowi dodatkową barierę dla atakującego.
• Korzystaj z menedżera haseł, który automatycznie weryfikuje domenę — nie uzupełni danych logowania na fałszywej stronie.
• Nigdy nie klikaj w linki z nieoczekiwanych wiadomości — zamiast tego wejdź na stronę bezpośrednio, wpisując adres w przeglądarce.
• Weryfikuj podejrzane prośby przez inny kanał komunikacji — jeśli otrzymasz e-mail od przełożonego z prośbą o przelew, zadzwoń do niego na znany numer telefonu.
• Zgłaszaj podejrzane wiadomości do działu IT lub zespołu SOC — jedno zgłoszenie może ochronić całą organizację.

Dla organizacji

• Wdróż protokoły SPF, DKIM i DMARC dla swojej domeny pocztowej — to podstawowa ochrona przed spoofingiem domeny firmowej.
• Przeprowadzaj regularne symulacje phishingowe (kampanie testów socjotechnicznych) — mierz wyniki i identyfikuj pracowników wymagających dodatkowych szkoleń.
• Wdróż rozwiązania klasy Advanced Threat Protection analizujące wiadomości w czasie rzeczywistym pod kątem wskaźników phishingu 3.0.
• Ustanów jasne procedury weryfikacji niestandardowych transakcji finansowych — żadna zmiana danych bankowych dostawcy nie powinna być akceptowana wyłącznie na podstawie e-maila.
• Rozważ wdrożenie SOC lub usługi MDR (Managed Detection and Response), które monitorują ruch pocztowy i wykrywają anomalie w czasie rzeczywistym.

Phishing 3.0 stanowi poważne zagrożenie dla bezpieczeństwa danych osobowych i firmowych. Cyberprzestępcy wykorzystują coraz bardziej zaawansowane techniki, aby zdobyć nasze zaufanie i wyłudzić cenne informacje. Kluczem do ochrony przed oszustwami phishingowymi jest rozwijanie umiejętności rozpoznawania fałszywych wiadomości, stosowanie odpowiednich zabezpieczeń oraz regularne szkolenia i edukacja w zakresie cyberbezpieczeństwa. Pamiętaj, że świadomość to pierwszy krok do ochrony przed cyberprzestępczością.

Powiązane pojęcia

Poznaj kluczowe terminy związane z tym artykułem w naszym słowniku cyberbezpieczeństwa:

• Phishing — Phishing to rodzaj ataku socjotechnicznego, który ma na celu oszukanie ofiary i…
• Spear phishing — Spear phishing to zaawansowana forma phishingu celująca w konkretne osoby lub…
• Whaling phishing — Whaling to zaawansowana forma phishingu celująca w wysokiej rangi…
• Backup — Backup (kopia zapasowa) to proces tworzenia duplikatu danych w celu ich…
• Cyberbezpieczeństwo — Cyberbezpieczeństwo to zbiór technik, procesów i praktyk ochrony systemów IT,…

Dowiedz się więcej

Zapoznaj się z powiązanymi artykułami w naszej bazie wiedzy:

• Czynnik ludzki w bezpieczeństwie OT: Jak szkolić inżynierów, by nie wpuścili zagrożeń przez USB?
• Ataki socjotechniczne: Baiting, Pretexting, Tailgating i inne techniki manipulacji
• Co to jest MFA - Uwierzytelnianie wieloczynnikowe? Definicja, składniki, działanie, korzyści i wdrożenie?
• Co to jest Spear Phishing - Jak działa, jak się przed nim chronić i czym się różni od phishingu
• Co to jest sztuczna inteligencja i jak bezpiecznie wykorzystać jej potencjał w biznesie?

Sprawdź nasze usługi

Potrzebujesz wsparcia w zakresie cyberbezpieczeństwa? Sprawdź:

• Testy socjotechniczne - symulacje phishingu i ataków socjotechnicznych
• Szkolenia cyberbezpieczeństwa - podnoszenie świadomości pracowników