Jak rozpoznać e-mail phishingowy: 12 sygnałów ostrzegawczych (z realistycznymi przykładami)

Czym właściwie jest phishing (w minutę)

Phishing to wiadomość, która udaje, że pochodzi od kogoś, komu ufasz: banku, firmy kurierskiej, Netflixa, szefa, a nawet znajomego. Chodzi o to, żebyś oddał coś cennego. Zwykle jest to hasło, jednorazowy kod, dane karty albo po prostu kliknięcie w link, który instaluje coś paskudnego.

To działa, bo jest tanie. Oszust może wysłać milion e-maili prawie za darmo i nawet jeśli nabierze się tylko kilka osób, to mu się opłaca. Dlatego takie wiadomości są projektowane z myślą o szybkości: chodzi o to, żebyś zareagował, zanim pomyślisz. Zwolnienie na dziesięć sekund to naprawdę najlepsza obrona, jaką masz, a poniższe sygnały mówią Ci, na co patrzeć przez te dziesięć sekund.

12 sygnałów ostrzegawczych

1. Adres nadawcy nie pasuje do firmy

Wyświetlana nazwa może być dowolna. „PayPal Support” to tylko tekst. Liczy się prawdziwy adres, który kryje się za nią. Dotknij nazwy albo najedź na nią kursorem, żeby go zobaczyć.

• Wygląda w porządku: [email protected]
• Sygnał ostrzegawczy: [email protected]
• Sygnał ostrzegawczy: [email protected]

Duże firmy wysyłają wiadomości z własnej domeny. Nie piszą do Ciebie z darmowego adresu na Gmailu czy Outlooku i nie doklejają do swojej nazwy słów w stylu „secure”, „verify” albo „account”.

2. Podrobiona pisownia domeny

Oszuści rejestrują domeny, które na pierwszy rzut oka wyglądają dobrze: arnazon.com (r + n wygląda jak m), paypa1.com (cyfra 1 zamiast litery l) albo micros0ft.com (zero zamiast o). Na małym ekranie telefonu bardzo trudno to wyłapać i właśnie dlatego się ich używa. Czytaj domenę powoli, litera po literze.

3. Pośpiech i groźby

„Twoje konto zostanie zamknięte w ciągu 24 godzin.” „Ostateczne wezwanie.” „Sprawa zostanie skierowana na drogę prawną.” Prawdziwe firmy rzadko odliczają czas w e-mailach. Pośpiech ma Cię powstrzymać przed myśleniem. Za każdym razem, gdy e-mail sprawia, że czujesz presję albo strach, potraktuj samo to uczucie jako sygnał ostrzegawczy.

4. Link prowadzi gdzie indziej

Na przycisku może być napisane „Zaloguj się na swoje konto”, ale dokąd naprawdę prowadzi? Na komputerze najedź kursorem na link i spójrz na adres w dolnym rogu przeglądarki. Na telefonie przytrzymaj link palcem, żeby zobaczyć podgląd bez otwierania.

• E-mail twierdzi, że jest z Twojego banku, ale link prowadzi do secure-login-bank.xyz
• Link zaczyna się od właściwej nazwy, ale prawdziwa domena jest dalej: https://netflix.com.account-update.info/login (prawdziwa strona to tutaj account-update.info, a nie Netflix)

5. Ogólnikowe powitanie

„Szanowny Kliencie”, „Drogi Użytkowniku” albo „Witaj, cenny członku”. Firma, w której masz konto, zwykle zna Twoje imię. Ogólnikowe powitanie samo w sobie nie dowodzi, że e-mail jest fałszywy, ale w połączeniu z dowolnym innym sygnałem z tej listy to mocna wskazówka.

6. Prośba o hasło, kod albo dane karty

Tu sprawa jest prosta: żaden prawdziwy bank, sklep ani dostawca poczty nigdy nie poprosi Cię, żebyś odpisał z hasłem, pełnym numerem karty albo jednorazowym kodem, który właśnie przyszedł SMS-em. Ten kod istnieje właśnie po to, żeby tylko Ty mógł go użyć. Jeśli ktoś o niego prosi, e-mailem, na czacie czy przez telefon, to oszustwo. Zawsze.

7. Załącznik, którego się nie spodziewałeś

„Faktura_0423.zip”, „Szczegoly_platnosci.html”, „Zeskanowany_dokument.pdf.exe”. Niespodziewane załączniki, zwłaszcza pliki ZIP, HTML albo wszystko, co prosi o „włączenie edycji” lub „włączenie makr”, to klasyczny sposób na zainstalowanie złośliwego oprogramowania. Jeśli nie czekałeś na fakturę, nie otwieraj faktury.

8. Oferta zbyt piękna, żeby była prawdziwa

„Wygrałeś iPhone’a 16.” „Odbierz kartę podarunkową na 2000 zł.” „Czeka na Ciebie zwrot podatku w wysokości 1240 zł.” Nie brałeś udziału w żadnym konkursie, więc niczego nie wygrałeś. Takie e-maile zwykle prowadzą do formularza, który prosi o dane karty „na pokrycie kosztów wysyłki”.

9. Dziwna gramatyka i formatowanie (ale nie polegaj na tym)

Koślawe zdania, przypadkowe wielkie litery i rozmazane logo kiedyś zdradzały oszustwo najszybciej. Dziś wiele e-maili phishingowych pisze się z pomocą narzędzi AI i wyglądają nienagannie. Traktuj więc kiepską polszczyznę jako dodatkową wskazówkę, nigdy jako główny test. Dobrze napisany e-mail też może być fałszywy.

10. Adres do odpowiedzi inny niż adres nadawcy

Niektóre e-maile phishingowe przychodzą z prawdziwie wyglądającego adresu, ale po cichu ustawiają inny adres „odpowiedz do” (reply-to). Klikasz „Odpowiedz” i Twoja wiadomość trafia do oszusta. Jeśli masz zamiar odpisać z czymś poufnym, najpierw sprawdź adres w polu „Do” swojej odpowiedzi.

11. Coś, na co nigdy się nie zapisywałeś

Awizo od kuriera, z którego nie korzystasz, reset hasła, o który nie prosiłeś, albo paragon za zakup, którego nie zrobiłeś. Oszuści wysyłają takie wiadomości w nadziei, że klikniesz, żeby „anulować” albo „zakwestionować” zamówienie. Nie używaj linku z e-maila. Jeśli się martwisz, otwórz aplikację firmy albo wpisz jej adres samodzielnie.

12. Ostrzeżenia o uwierzytelnianiu w Twojej aplikacji pocztowej

Gmail, Outlook i Apple Mail sprawdzają w tle, czy e-mail naprawdę pochodzi z domeny, z której twierdzi, że pochodzi. Gdy te kontrole się nie powiodą, możesz zobaczyć ostrzeżenie w stylu „Ta wiadomość może nie pochodzić od podanego nadawcy” albo znak zapytania zamiast zdjęcia nadawcy. Traktuj te ostrzeżenia poważnie. Jeśli ciekawi Cię, jak działają te kontrole, wyjaśniam to prostym językiem w artykule SPF, DKIM i DMARC w prostych słowach.

Realistyczny przykład, rozłożony na części

Oto e-mail z gatunku tych, które codziennie lądują w skrzynkach:

Od: Obsługa Klienta Amazon <[email protected]>
Temat: Wymagane działanie: Twoje zamówienie nr 112-8842 zostało wstrzymane

Szanowny Kliencie,
nie udało nam się zweryfikować Twoich danych płatniczych. Jeśli nie potwierdzisz swoich danych, Twoje zamówienie i konto zostaną anulowane w ciągu 24 godzin.

[Zweryfikuj moje konto]

Policzmy sygnały:

1. Domena to amaz0n-orders-support.com, z zerem i dodatkowymi słowami. Amazon stamtąd nie wysyła.
2. „Szanowny Kliencie” zamiast Twojego imienia.
3. Groźba z terminem 24 godzin.
4. Zamówienie, którego pewnie nie kojarzysz.
5. Przycisk, który po przytrzymaniu pokazałby link do jakiejś zupełnie niezwiązanej strony.

Pięć sygnałów w kilku linijkach. Właściwy ruch: usuń go albo sam otwórz aplikację Amazona i sprawdź swoje zamówienia. Jeśli naprawdę jest jakiś problem, zobaczysz go tam.

Co zrobić, jeśli już kliknąłeś

Po pierwsze: nie panikuj i nie czuj się głupio. Te e-maile tworzą ludzie, dla których oszukiwanie innych to praca na pełen etat. Teraz liczy się szybkie działanie:

1. Jeśli tylko otworzyłeś e-mail: prawie na pewno nic się nie stało. Po prostu go usuń.
2. Jeśli kliknąłeś link, ale niczego nie wpisałeś: zamknij stronę. Uruchom skanowanie bezpieczeństwa na urządzeniu, jeśli je masz.
3. Jeśli wpisałeś hasło: natychmiast zmień je na prawdziwej stronie (wpisz adres samodzielnie) i zmień je wszędzie tam, gdzie używałeś tego samego hasła.
4. Jeśli podałeś dane karty: zadzwoń do banku pod numer z odwrotu karty i poproś o jej zablokowanie.
5. Jeśli podałeś jednorazowy kod: od razu zaloguj się na to konto, zmień hasło i wyloguj wszystkie inne sesje.
6. Włącz uwierzytelnianie dwuskładnikowe na poczcie, w banku i w sklepach internetowych, jeśli jeszcze tego nie zrobiłeś.

Zgłoś to, pomaga to wszystkim

Użyj opcji „Zgłoś phishing” albo „Zgłoś spam” w swojej aplikacji pocztowej. W Gmailu znajdziesz ją w menu z trzema kropkami, a w Outlooku pod „Zgłoś”. To uczy filtry, które chronią miliony innych osób. Wiele firm ma też własny adres do takich zgłoszeń, na przykład fałszywe e-maile od PayPala możesz przekazać na [email protected]. W USA możesz też zgłosić sprawę do FTC na reportfraud.ftc.gov, a w Wielkiej Brytanii na [email protected].

Mniej phishingu od samego początku

Nigdy nie zbijesz phishingu do zera, ale możesz sprawić, że Twoja skrzynka będzie dużo mniejszym celem:

• Nie podawaj swojego głównego adresu e-mail każdej stronie, w każdym konkursie i przy każdym darmowym pobieraniu. Im mniej miejsc go zna, tym na mniej list trafi.
• Przy jednorazowych rejestracjach używaj tymczasowego adresu e-mail. Jeśli ta strona kiedyś padnie ofiarą wycieku albo sprzeda swoją listę, śmieci trafią do skrzynki, która sama zniknie.
• Korzystaj z menedżera haseł. Nie wpisze automatycznie Twojego hasła na paypa1.com, co czyni go zaskakująco dobrym wykrywaczem phishingu.
• Aktualizuj telefon i przeglądarkę, bo aktualizacje łatają dziury, które próbują wykorzystać złośliwe linki.

Jeśli Twój adres już wyciekł, zajrzyj do artykułu co zrobić, gdy Twój e-mail trafił do wycieku danych, a jeśli chodzi o codzienne nawyki, do tych dobrych praktyk prywatności e-mail.

Nawyk dziesięciu sekund

Jeśli masz zapamiętać z tego artykułu tylko jedno, niech to będzie to: gdy e-mail chce, żebyś działał szybko, zwolnij na dziesięć sekund. Sprawdź, kto naprawdę go wysłał, przytrzymaj link, żeby zobaczyć, dokąd prowadzi, a jeśli coś Ci nie pasuje, wejdź na stronę samodzielnie zamiast klikać. Ta krótka pauza wystarcza, żeby rozbroić zdecydowaną większość e-maili phishingowych.

Uważaj na siebie, a jeśli wypatrzyłeś sprytną sztuczkę phishingową, której nie ma na tej liście, naprawdę chętnie o niej usłyszę. Moje dane kontaktowe znajdziesz tuż poniżej.