Compass Fundacja GoodWay

Phishing: jak rozpoznać fałszywy bank i co zrobić po kliknięciu

Phishing to najczęstszy rodzaj ataku na pieniądze Polaków: fałszywa strona logowania albo mail „z banku” o zablokowanym koncie. W 2025 roku CERT Polska odnotował 78 391 takich incydentów — 30% wszystkich zarejestrowanych zdarzeń.

Fundacja GoodWay · Compass Czytanie: 7 min Aktualizacja:

Sprawdź wiadomość

Maskujemy rozpoznane dane. Sprawdzenie wiadomości nie zapisuje jej do bazy. Tryb sklepu odczytuje publiczną treść strony, bez logowania i płatności.

Już podałeś dane? Zobacz, co zrobić teraz → Skontaktuj się z bankiem przez oficjalny numer.

Phishing bankowy

Phishing to wiadomość lub strona podszywająca się pod bank, która ma wyłudzić login, hasło i kod autoryzacyjny. Poznasz go po adresie strony, który nie jest adresem banku, po groźbie blokady konta i po prośbie o kod z SMS-a. Bank nigdy nie prosi o kod, PIN ani pełne dane karty — ani mailem, ani przez telefon.

Po czym poznać phishing bankowy

Jeden sygnał wystarczy, żeby się zatrzymać. Zwykle występuje ich kilka naraz.

  • Adres strony nie jest adresem banku. Do prawdziwej nazwy dopisano słowa: -bezpieczne, -login, -verify, -potwierdzenie.
  • Wiadomość grozi konsekwencjami: blokada konta, utrata środków, wygaśnięcie dostępu „w ciągu 24 godzin”.
  • Prośba o kod z SMS-a, PIN albo pełne dane karty na stronie, na którą trafiłeś z linku.
  • Nadawca maila to darmowa skrzynka albo adres tylko podobny do bankowego.
  • Link wyświetla inny adres niż ten, na który faktycznie prowadzi — widać to po przytrzymaniu go palcem na telefonie.
  • Strona logowania bez szyfrowania (adres zaczyna się od http://, nie https://).

Co to jest phishing

Phishing to podszycie się pod instytucję, której ufasz, żeby wyłudzić dane do logowania. Nazwa pochodzi od angielskiego „fishing” — oszust zarzuca tysiące wiadomości i czeka, kto odpowie.

W Polsce najczęściej podszywa się pod banki, ale ten sam schemat obsługuje pocztę, urzędy i platformy zakupowe. Kanał bywa różny: mail, SMS, reklama w wyszukiwarce. Cel jest zawsze ten sam — Twój login, hasło i kod.

Jak działa fałszywa strona logowania

Wiadomość informuje o zablokowanym koncie, nieautoryzowanej transakcji albo konieczności „potwierdzenia tożsamości”. Link prowadzi na kopię strony banku — czasem identyczną do ostatniego piksela, różniącą się tylko adresem.

Dane wpisane na takiej stronie trafiają do oszusta natychmiast. W tej samej minucie loguje się on do prawdziwego banku i zleca przelew. Dlatego chwilę później strona prosi jeszcze o kod z SMS-a: to on autoryzuje transakcję.

Dlaczego kod z SMS-a jest granicą

Przejęty login i hasło już są zagrożeniem. Oszust może dodatkowo wyłudzić kod, nakłonić do zatwierdzenia operacji w aplikacji albo przejąć urządzenie. Nie czekaj z reakcją tylko dlatego, że nie podałeś kodu.

Kod wpisany na obcej stronie może posłużyć do zatwierdzenia innej operacji. Przeczytaj cały komunikat autoryzacyjny: sprawdź rodzaj operacji, odbiorcę i kwotę, jeśli są podane. Nie zatwierdzaj operacji, której sam nie zleciłeś.

Strach jest częścią mechanizmu

Groźba blokady konta ma wywołać jedną reakcję: natychmiastowe działanie. Prawdziwy bank nie stawia ultimatum w mailu i nie prosi o dane przez link.

Sprawdź sprawę w oficjalnej aplikacji lub zadzwoń do banku na numer z karty albo samodzielnie otwartej strony. Brak komunikatu w aplikacji nie rozstrzyga sprawy.

Co zrobić teraz

Rób po kolei. Każdy krok ma sens także wtedy, gdy poprzedniego nie udało się wykonać.

  1. Zamknij stronę. Nie loguj się z linku — otwórz aplikację banku albo wpisz adres ręcznie.
  2. Jeśli podałeś login i hasło: zmień hasło i zadzwoń na infolinię z numeru na odwrocie karty.
  3. Jeśli podałeś kod autoryzacyjny: poproś o zablokowanie dostępu do bankowości i kart. Kod oznacza, że przelew mógł już zostać zatwierdzony.
  4. Sprawdź w bankowości listę urządzeń i zdefiniowanych odbiorców — usuń te, których nie znasz.
  5. Zgłoś fałszywą stronę na incydent.cert.pl, a jeśli doszło do przelewu, złóż zawiadomienie na policji.

Straciłeś pieniądze? Zobacz, gdzie to zgłosić i w jakiej kolejności →

Kampanie krążące dziś

  • Fałszywa strona logowania do banku pod adresem z dopisanym słowem.
  • Mail „zablokowane konto — potwierdź dane w ciągu 24 godzin”.
  • Fałszywa reklama bankowości wysoko w wynikach wyszukiwania.
  • Podszycie pod zmianę regulaminu i „ponowną weryfikację”.
  • Fałszywy panel iPKO Biznes w reklamach wyszukiwarek.

Pytania o phishing bankowy

Kliknąłem w link phishingowy, ale nic nie podałem. Czy coś się stało?

Samo otwarcie strony zwykle nie wystarcza, żeby stracić pieniądze — dane trafiają do oszusta dopiero wtedy, gdy je wpiszesz. Zamknij stronę, nie wracaj do niej i nie instaluj niczego, co proponowała. Dla spokoju sprawdź historię konta w aplikacji banku.

Czy bank zwróci pieniądze po phishingu?

Natychmiast zgłoś zdarzenie bankowi, złóż reklamację i zachowaj dowody. Nieautoryzowane transakcje podlegają szczególnym zasadom zwrotu; wynik zależy od okoliczności i przewidzianych prawem wyjątków. Samo poprawne uwierzytelnienie nie rozstrzyga, czy zgodziłeś się na transakcję. Instrukcję reklamacji znajdziesz w materiałach UOKiK.

Jak sprawdzić, czy strona banku jest prawdziwa?

Nie oceniaj wyglądu, tylko adres. Wpisz adres banku ręcznie albo wejdź przez aplikację i porównaj. Zwróć uwagę na słowa dopisane do nazwy banku, myślniki i inne końcówki domeny. Fałszywe domeny bywają też na Liście Ostrzeżeń CERT Polska.

Czym phishing różni się od smishingu i vishingu?

To ten sam mechanizm w różnych kanałach: phishing przychodzi mailem lub przez stronę, smishing SMS-em, a vishing przez telefon. Sygnały ostrzegawcze są wspólne — pośpiech, prośba o kod i link do „potwierdzenia”.

Fałszywy SMS (smishing) Czytaj → Telefon od „banku” lub „policji” Czytaj →

Autor: Fundacja GoodWay, program Compass. Fundacja Good-Way, KRS 0001237319. Ostatnia aktualizacja: .

Materiał edukacyjny, nie porada prawna ani finansowa. Nie sprzedajemy żadnych produktów.