Phishing: co to jest i jak się chronić - przewodnik dla firm

Phishing to fałszywa wiadomość - e-mail, SMS albo telefon - podszywająca się pod zaufany podmiot, by wyłudzić hasło, dane lub płatność. To najczęstszy pierwszy krok ataku na firmę. Ochrona działa w trzech warstwach: zabezpieczona domena (SPF, DKIM, DMARC), MFA na kontach i nawyk weryfikacji poza wiadomością. Zacznijcie od sprawdzenia, czy Waszą domenę da się podszyć.

Ten przewodnik jest pisany dla właściciela firmy, nie dla informatyka. Pokazuje, jak phishing naprawdę wygląda w firmowej skrzynce, co mówią liczby z Polski i z naszych własnych skanów oraz które trzy zabezpieczenia dają najwięcej ochrony przy najmniejszym nakładzie pracy. Phishing to jedno z zagrożeń opisanych w przewodniku po cyberzagrożeniach dla firm - tutaj rozbieramy je na części.

1. Co to jest phishing i dlaczego działa

Phishing podszywa się pod zaufanego nadawcę - bank, kontrahenta, kuriera, urząd - żeby skłonić odbiorcę do kliknięcia w link, otwarcia załącznika albo podania hasła. Wiadomość może przyjść e-mailem, SMS-em lub telefonicznie. Cel jest zawsze ten sam: przejąć konto, dane albo pieniądze bez włamywania się do czegokolwiek. Zamiast łamać zabezpieczenia, atakujący prosi ofiarę, żeby sama otworzyła mu drzwi - dlatego to najtańsza i najczęstsza metoda ataku na firmę.

Skuteczność phishingu opiera się na trzech dźwigniach psychologicznych: presji czasu (“konto zostanie zablokowane w 24 godziny”), autorytecie (logo banku, stopka urzędu, adres łudząco podobny do prawdziwego) i strachu przed konsekwencją (zaległa faktura, nieodebrana paczka, kontrola). Pod presją człowiek przestaje analizować i zaczyna wykonywać polecenia. Atakujący nie musi znać się na technologii - wystarczy, że dobrze napisze wiadomość.

W małej firmie ta konstrukcja trafia w najsłabszy punkt: jedna osoba obsługuje pocztę, faktury i korespondencję z klientami, często między innymi zadaniami. Jeden kliknięty link recepcji wystarczy, by atakujący wszedł do firmowej skrzynki - a stamtąd do danych pacjentów, klientów i przelewów. Krótką definicję z wariantami zbiera hasło phishing w słowniku, a jeśli dopiero porządkujecie podstawy, zacznijcie od przewodnika cyberbezpieczeństwo dla małej firmy.

2. Rodzaje phishingu, które trafiają do firm

Phishing ma kilka wariantów i każdy wygląda w firmowej skrzynce inaczej. Klasyczny phishing e-mailowy to masowa wysyłka “od banku” albo “od kuriera”. Spear phishing jest celowany: atakujący najpierw sprawdza, kim jesteście, i pisze wiadomość skrojoną pod Waszą firmę - na przykład “od” dostawcy Waszego oprogramowania. Smishing przenosi ten sam mechanizm do SMS-ów, vishing do telefonu, a quishing do kodów QR naklejanych na fakturach i parkomatach.

Wariant	Kanał	Typowy przykład	Pierwsza obrona
Phishing e-mailowy	e-mail	”Zaległa faktura za domenę - opłać w 24 godziny”	Sprawdzenie adresu nadawcy; wejście na stronę poza linkiem
Spear phishing	e-mail	”Aktualizacja cennika” od znanego dostawcy, z załącznikiem	Potwierdzenie nietypowej prośby drugim kanałem
Smishing	SMS	”Dopłata 2,50 zł do paczki” z linkiem do płatności	Sprawdzenie przesyłki w aplikacji przewoźnika, nie z linku
Vishing	telefon	”Dzwonię z banku, blokujemy podejrzany przelew”	Rozłączenie się i telefon na numer z oficjalnej strony
Quishing	kod QR	Naklejka z kodem na parkomacie albo fakturze	Wpisanie adresu ręcznie zamiast skanowania
BEC	e-mail (przejęta skrzynka)	Prawdziwie wyglądająca faktura ze zmienionym kontem	Weryfikacja zmiany konta telefonicznie; MFA na poczcie

Przynęty podążają za kalendarzem firmy. W polskich realiach nośnikiem bywa wszystko, co wiąże się z fakturami i rozliczeniami: fałszywe wezwania do “aktywacji konta KSeF”, wiadomości “z urzędu skarbowego” w okresach składania deklaracji, “faktury” od dostawców prądu i telekomów. Im bliżej terminu, tym skuteczniejsza presja - dlatego szczyty kampanii pokrywają się z terminami podatkowymi.

Osobne miejsce należy się BEC (Business Email Compromise, czyli oszustwo “na firmowy e-mail”) - to phishing, który kończy się przelewem. Atakujący przejmuje skrzynkę, tygodniami czyta korespondencję i tuż przed terminem płatności wysyła fakturę ze zmienionym numerem konta. Definicję znajdziecie w słowniku pod hasłem BEC, a pełny mechanizm w przewodniku po cyberzagrożeniach. Załącznik z phishingu bywa też pierwszym krokiem ataku ransomware.

3. Phishing w Polsce: liczby 2025-2026

Skalę problemu pokazuje najnowszy raport roczny CERT Polska za 2025: zespół zarejestrował 260 783 unikalne incydenty, o 152% więcej niż rok wcześniej - część tego wzrostu CERT przypisuje lepszemu wykrywaniu zdarzeń. 97% zarejestrowanych incydentów to oszustwa komputerowe, a około 30% wszystkich zdarzeń (blisko 78 tysięcy) stanowiły próby wyłudzenia danych, czyli phishing. To nie jest problem marginalny - to główna treść polskiej cyberprzestępczości.

Polska nie jest wyjątkiem. Verizon Data Breach Investigations Report rok po roku umieszcza phishing i socjotechnikę w ścisłej czołówce dróg prowadzących do naruszenia danych, a małe firmy stanowią dużą część ofiar - nie dlatego, że są wybierane, lecz dlatego, że kampanie są masowe i automatyczne.

Wzorce się powtarzają. Najczęściej podszywanymi markami były w 2025 roku OLX (około 28,5 tysiąca incydentów) i Allegro (około 22,5 tysiąca) - platformy, na których kupują i sprzedają także firmy. Do tego dochodzi klasyka: banki, firmy kurierskie, rozliczenia z urzędem. Wiadomość “od Allegro” o zablokowanej płatności wygląda w skrzynce recepcji dokładnie tak samo wiarygodnie jak w prywatnej.

Jedno zmieniło się na niekorzyść obrony: język. Jeszcze kilka lat temu phishing zdradzały literówki i kalki z angielskiego. Dziś atakujący piszą poprawną polszczyzną, bo teksty generuje za nich AI - fałszywa wiadomość bywa napisana staranniej niż prawdziwy e-mail od kontrahenta. Rada “szukaj błędów językowych” przestała wystarczać. Dlatego dalej skupiamy się na sygnałach, których AI nie zamaskuje: co wiadomość każe zrobić i dokąd naprawdę prowadzi link.

4. Czy pod Waszą domenę da się podszyć? Co widzimy w skanach

Rozróżnijmy dwie sytuacje, bo wymagają innej obrony. Pierwsza: ktoś wysyła phishing do Was - to zatrzymują nawyki i zabezpieczenia kont, o których niżej. Druga: ktoś podszywa się pod Waszą domenę i wysyła fałszywe e-maile “od Was” do Waszych pacjentów, klientów i kontrahentów. Tę drugą sytuację da się w dużej mierze zablokować technicznie, konfiguracją domeny - a z naszych skanów wynika, że większość firm tego nie robi.

W skanach, które przeprowadziliśmy na domenach polskich gabinetów stomatologicznych, klinik estetycznych i biur rachunkowych, 72% domen miało co najmniej jedną podatność w konfiguracji SPF, DKIM lub DMARC - trzech rekordów DNS decydujących o tym, czy cudzy serwer może skutecznie wysyłać pocztę “w Waszym imieniu”. 56% firm nie miało rekordu DKIM, 50% nie miało DMARC albo miało go ustawionego wyłącznie na monitorowanie (p=none), a 39% miało brakujący lub zbyt miękki rekord SPF. To próbka, nie badanie całego rynku - ale dokładnie ten sam obraz widzi atakujący, który sprawdza Waszą domenę automatem.

Do tego dochodzą domeny-sobowtóry. U 33% skanowanych firm istniał już zarejestrowany przez kogoś wariant literówkowy ich domeny, a u 17% taki wariant miał skonfigurowany serwer poczty - czyli gotową infrastrukturę do wysyłki e-maili “z podobnego adresu”. Zarejestrowany wariant nie musi oznaczać złych zamiarów, bywa parkowany przez handlarzy domen. Ale właściciel firmy powinien wiedzieć o istnieniu takiego adresu, zanim zobaczy go na fakturze wysłanej do własnego klienta.

Ostatni element układanki to wycieki. U 22% skanowanych firm służbowy adres e-mail figurował w publicznie znanym wycieku danych, a u 17% - razem z hasłem w postaci jawnej. W takiej sytuacji atakujący nie potrzebuje nawet phishingu: po prostu loguje się hasłem z wycieku. Sprawdzenie tych trzech obszarów - konfiguracji poczty, domen-sobowtórów i wycieków - to standardowa część naszej oceny podatności IT.

5. Jak rozpoznać phishing: czerwone flagi i 60 sekund weryfikacji

Czerwone flagi wciąż działają, pod warunkiem że patrzycie na właściwe. Najsilniejszym sygnałem nie jest dziś język, tylko żądanie: wiadomość każe szybko zrobić coś z pieniędzmi, hasłem albo danymi. Presja plus prośba o działanie to rdzeń niemal każdego phishingu, niezależnie od opakowania.

Zanim klikniecie, sprawdźcie pięć rzeczy:

Żądanie i presja - “opłać dziś”, “zweryfikuj konto w 24 godziny”, “szef prosi o pilny przelew”.
Pełny adres nadawcy - nie wyświetlana nazwa, lecz adres; literówka w domenie to klasyka podszycia.
Dokąd prowadzi link - najedźcie kursorem (na telefonie: przytrzymajcie link) i porównajcie domenę z prawdziwą.
Załącznik, którego się nie spodziewacie - zwłaszcza archiwa .zip, pliki .html i dokumenty żądające włączenia makr.
Nietypowy kanał lub prośba - bank nie prosi SMS-em o dopłatę 2 zł, a urząd nie pisze z adresu w darmowej poczcie.

Nawyk, który zatrzymuje większość ataków, zajmuje 60 sekund i nie wymaga żadnej technologii: nie działajcie z poziomu wiadomości. Dostaliście e-mail o zaległej fakturze od rejestratora domeny? Wejdźcie na jego stronę, wpisując adres ręcznie, i sprawdźcie saldo tam. Telefon “z banku”? Rozłączcie się i oddzwońcie na numer z oficjalnej strony. Prośba kontrahenta o zmianę numeru konta? Zadzwońcie na numer, który znacie sprzed tej wiadomości. Jedna zasada zastępuje dziesiątki porad: wiadomość może kłamać - kanał, który sami otworzycie, nie.

6. Ochrona techniczna: domena i konta

Nawyki to jedna warstwa, ale dobra obrona nie może zależeć od tego, czy każdy pracownik w każdy poniedziałek będzie czujny. Dlatego układamy ją w trzy warstwy: domena, konto, człowiek. Każda łapie to, co przepuściła poprzednia.

Warstwa	Co blokuje	Co wdrożyć
Domena	Podszywanie się pod Wasz adres w e-mailach do klientów i kontrahentów	SPF, DKIM i DMARC z polityką egzekwującą (quarantine lub reject)
Konto	Przejęcie skrzynki po wyłudzonym lub wyciekłym haśle	MFA na poczcie i kluczowych systemach; menedżer haseł
Człowiek	Kliknięcie i działanie pod presją	Nawyk 60 sekund weryfikacji; krótkie, regularne przypomnienia

Trzy rekordy DNS działają razem jak pieczęć i wzór podpisu. SPF mówi światu, które serwery mogą wysyłać pocztę z Waszej domeny. DKIM podpisuje każdą wiadomość kryptograficznie, więc odbiorca wie, że nikt nie zmienił jej po drodze. DMARC decyduje, co serwer odbiorcy zrobi z wiadomością, która nie przechodzi tych kontroli - i dopiero polityka quarantine lub reject cokolwiek blokuje. DMARC ustawiony na p=none tylko raportuje: podszycie nadal dochodzi do skrzynki. Konfigurację krok po kroku opisujemy w tekście o SPF, DKIM i DMARC dla biur rachunkowych - instrukcja działa dla każdej firmy, nie tylko księgowej.

MFA, czyli uwierzytelnianie wieloskładnikowe, to najskuteczniejsze pojedyncze zabezpieczenie kont: nawet wyłudzone hasło nie wystarcza do zalogowania. Włączcie je najpierw na poczcie, bo skrzynka resetuje hasła do wszystkiego innego. Jeśli możecie wybrać metodę, wybierzcie klucz sprzętowy albo passkey - te formy są odporne na phishing, bo działają wyłącznie na prawdziwej stronie, nie na podróbce. Menedżer haseł domyka warstwę konta: generuje unikalne hasła i nie podpowie zapisanego hasła na podrobionej domenie, więc sam w sobie jest testem prawdziwości strony.

Warstwa “człowiek” nie potrzebuje długich szkoleń. Lepiej działa krótki, powtarzany rytm: pięć minut na zebraniu raz w miesiącu, jeden aktualny przykład z Waszej branży, przypomnienie zasady 60 sekund. Do tego jedna reguła kultury pracy: zgłoszenie podejrzanej wiadomości albo własnej wpadki nigdy nie kończy się reprymendą. Firma, w której pracownik boi się przyznać do kliknięcia, dowiaduje się o ataku od banku albo od klientów - czyli za późno.

7. Kliknąłem. Co teraz?

Kliknięcie w link albo podanie hasła to nie koniec świata - pod warunkiem szybkiej reakcji. Liczy się tempo, nie szukanie winnych: pracownik, który od razu zgłasza wpadkę, jest dla firmy cenniejszy niż ten, który ją ukrywa.

Zmieńcie hasło konta, którego dane podaliście, i wylogujcie wszystkie aktywne sesje.
Sprawdźcie reguły skrzynki - atakujący często zakłada przekierowania i filtry, które ukrywają przed Wami korespondencję.
Włączcie MFA, jeśli jeszcze nie działa - zablokuje ponowne logowanie wyłudzonym hasłem.
Przy danych płatniczych natychmiast skontaktujcie się z bankiem i zablokujcie kartę lub przelew.
Zgłoście incydent do CERT Polska przez incydent.cert.pl - zgłoszenie pomaga też blokować kampanię dla innych.
Oceńcie ryzyko naruszenia danych osobowych. Jeśli atakujący mógł mieć dostęp do danych pacjentów lub klientów, na zgłoszenie do UODO macie 72 godziny. Procedurę opisuje przewodnik RODO i bezpieczeństwo danych, a definicję hasło naruszenie danych.

Zachowajcie oryginalną wiadomość i nie kasujcie logów - przydadzą się do analizy, zgłoszenia i ewentualnej korespondencji z ubezpieczycielem.

8. Phishing w gabinecie, biurze rachunkowym i klinice

W gabinecie stomatologicznym phishing podszywa się pod NFZ, sanepid i dostawców sprzętu, a stawką jest kartoteka pacjentów: dane medyczne, których wyciek oznacza zgłoszenie do UODO i rozmowy z pacjentami, których żaden gabinet nie chce prowadzić. Specyfikę opisujemy w przewodniku cyberbezpieczeństwo w gabinecie stomatologicznym i na stronie usługi dla gabinetów stomatologicznych.

W biurze rachunkowym phishing niemal zawsze zmierza do przelewu: podmieniona faktura, “pilna” dyspozycja od klienta, fałszywe wezwanie z urzędu w szczycie JPK i rozliczeń. Presja terminów pracuje na korzyść atakującego. Więcej w przewodniku cyberbezpieczeństwo biura rachunkowego i na stronie dla biur rachunkowych.

W klinice medycyny estetycznej fałszywe wiadomości podszywają się pod pacjentki i systemy rezerwacji, a celem bywa konto na Instagramie i baza zdjęć zabiegowych - materiały, których wyciek niszczy zaufanie szybciej niż jakakolwiek kara. Szczegóły w przewodniku cyberbezpieczeństwo kliniki medycyny estetycznej i na stronie dla klinik medycyny estetycznej.

Nie wiecie, od której warstwy zacząć? Zamówcie bezpłatny PreScan - w 24 godziny sprawdzimy m.in., czy Waszą domenę da się podszyć, czy istnieją jej zarejestrowane sobowtóry i czy firmowe adresy e-mail krążą w wyciekach. Bez dostępów i bez instalowania czegokolwiek po Waszej stronie.

FAQ

Co to jest phishing i jak działa?

Phishing to fałszywa wiadomość - e-mail, SMS lub telefon - podszywająca się pod zaufany podmiot: bank, kontrahenta, kuriera lub urząd. Nakłania do kliknięcia w link, otwarcia załącznika albo podania hasła, wykorzystując presję czasu, autorytet i strach. Zamiast łamać zabezpieczenia, atakujący skłania ofiarę, by sama otworzyła mu dostęp do konta, danych lub pieniędzy.

Jak rozpoznać phishingowy e-mail?

Patrzcie na żądanie, nie na język: phishing każe szybko zrobić coś z pieniędzmi, hasłem albo danymi. Sprawdźcie pełny adres nadawcy i domenę, do której prowadzi link, zanim klikniecie. Błędy językowe przestały być wiarygodnym sygnałem, bo wiadomości pisze dziś AI. W razie wątpliwości wejdźcie na stronę ręcznie albo zadzwońcie na znany numer.

Co zrobić po kliknięciu w link z phishingu?

Zmieńcie natychmiast hasło konta, którego dane podaliście, wylogujcie aktywne sesje i sprawdźcie reguły przekierowań w skrzynce. Włączcie MFA, a przy danych płatniczych od razu skontaktujcie się z bankiem. Zgłoście incydent przez incydent.cert.pl. Jeśli mogło dojść do naruszenia danych osobowych, macie 72 godziny na zgłoszenie do UODO.

Czy da się całkowicie zablokować phishing w firmie?

Nie - fałszywe wiadomości zawsze będą przychodzić, bo ich wysyłka prawie nic nie kosztuje. Da się natomiast sprawić, że przestaną działać: SPF, DKIM i DMARC blokują podszywanie się pod Waszą domenę, MFA sprawia, że wyłudzone hasło nie wystarcza, a nawyk weryfikacji drugim kanałem zatrzymuje resztę. Trzy warstwy razem sprowadzają phishing do incydentów bez szkód.

Jak sprawdzić, czy ktoś może podszyć się pod naszą firmową domenę?

Sprawdźcie rekordy SPF, DKIM i DMARC swojej domeny - bez nich, albo z DMARC ustawionym tylko na monitorowanie (p=none), cudzy serwer może wysyłać e-maile wyglądające jak Wasze. W skanach, które przeprowadziliśmy, taką lukę miało 72% polskich firm. Zewnętrzny skan, na przykład bezpłatny PreScan, pokazuje to w 24 godziny razem z domenami-sobowtórami i wyciekami haseł.

Powiązane przewodniki

SPF, DKIM i DMARC dla biur rachunkowych
Jeden otwarty port: jak ransomware trafia do firm
Ocena podatności IT (zewnętrzna) - sprawdza m.in., czy Waszą domenę da się podszyć

Sąsiednie pillary: