Phishing 2026 – dlaczego stare rady już nie wystarczają
Osoby szukające informacji o phishingu w 2026 roku chcą przede wszystkim jednej rzeczy: mieć praktyczny zestaw nawyków i narzędzi, które realnie pozwolą odróżnić fałszywe wiadomości od prawdziwych – niezależnie od tego, czy wiadomość przyjdzie mailem, SMS-em, komunikatorem czy przez telefon, czy dotyczy prywatnego konta, czy służbowej infrastruktury.
Co dziś oznacza phishing i czym różni się od dawnych ataków
Klasyczny phishing to próba wyłudzenia danych (loginy, hasła, kody BLIK, numery kart, dane osobowe) lub nakłonienia do wykonania szkodliwej akcji (przelew, instalacja malware), prowadzona najczęściej przy użyciu fałszywych wiadomości podszywających się pod zaufane instytucje. W 2026 roku nadal to ta sama idea, ale narzędzia i jakość wykonania są zupełnie inne niż dekadę temu.
Wyróżnia się kilka odmian współczesnego phishingu:
Phishing masowy – duża liczba wiadomości wysyłana „na ślepo”. Treści są bardziej dopracowane niż kiedyś, ale nadal nie są mocno personalizowane.
Spear phishing – atak wymierzony w konkretną osobę lub małą grupę, z użyciem realnych danych: imienia, stanowiska, ostatnich działań, projektów.
Whaling – odmiana spear phishingu wymierzona w „grube ryby” (zarząd, dyrektorzy, osoby z dostępem do finansów lub kluczowych systemów).
Smishing (SMS phishing) – fałszywe wiadomości SMS z linkami lub prośbami o kody BLIK, autoryzacje, „dopłaty do paczki” itd.
Vishing (voice phishing) – próby wyłudzenia danych przez telefon lub komunikatory głosowe, coraz częściej z użyciem deepfake voice.
Granice między tymi typami się zacierają. Przykładowo: atak może zaczynać się mailowo (spear phishing do księgowej), kontynuowany jest telefonicznie (vishing „z banku” z deepfake głosem „dyrektora”), a kończy na komunikatorze (fałszywy link do „panelu bankowego”).
Jak zmieniły się kampanie phishingowe w ostatnich latach
Starsze porady bezpieczeństwa bazowały na założeniu, że phishing łatwo poznać po toporności. Wiadomości były pełne błędów, miały dziwne formatowanie, egzotyczne nadawce i bardzo oczywiste żądania. To w dużej mierze przeszłość.
W 2026 roku przestępcy:
stosują poprawną polszczyznę, nierzadko lepszą niż w komunikatach firm i urzędów,
korzystają z identycznej identyfikacji wizualnej (kolory, logo, układ) jak prawdziwe instytucje,
osadzają phishing w realnym kontekście – np. korzystają z aktualnych kampanii banku, bieżących afer podatkowych, promocji popularnych sklepów, zmian w systemach płatności,
przygotowują fałszywe strony logowania, które wizualnie są niemal nieodróżnialne od oryginału, włącznie z certyfikatem TLS (kłódka w przeglądarce).
Coraz częściej kampanie phishingowe są prowadzone jak kampanie marketingowe: z segmentacją, testami A/B (różne warianty tytułów i treści), analityką (kto kliknął, o której godzinie), retargetingiem (ponowna wysyłka do osób, które zareagowały). To nie „chaotyczne oszustwa”, tylko profesjonalnie zaplanowane projekty.
Automatyzacja i AI – niewidoczny silnik nowoczesnego phishingu
Przestępcy korzystają z podobnych narzędzi, jak działy marketingu – z tą różnicą, że nie ograniczają ich procedury ani prawo. Kluczowe elementy to:
Generatory treści – modele językowe piszą maile, SMS-y i skrypty rozmów, poprawiają błędy, dopasowują ton do marki lub stylu osoby, pod którą następuje podszycie.
Automatyczne „scrapowanie” danych – boty zaciągają informacje z LinkedIna, Facebooka, stron firm, rejestrów publicznych, żeby zbudować obraz ofiary.
Klonowanie stylu pisania (stylometria) – analiza wcześniejszych e‑maili lub publicznych wypowiedzi pozwala odtworzyć charakterystyczne zwroty i rytm zdań.
Deepfake voice / wideo – modele głosowe i wideo pozwalają stworzyć rozmowę telefoniczną lub wideocall z kimś, kto brzmi jak szef, księgowy czy konsultant banku.
Efekt: „czerwone flagi” z poradników sprzed 10 lat przestają wystarczać. Brak literówek, ładne logo i „kulturalny” ton wiadomości nie są już żadnym gwarantem bezpieczeństwa. Potrzebne są techniczne i behawioralne metody analizy wiadomości, które nie opierają się tylko na powierzchownym wrażeniu.
Dlaczego klasyczne porady są dziś za słabe
Wiele starych checklist brzmiało mniej więcej: „nie klikaj w podejrzane linki, zwróć uwagę na błędy językowe, sprawdzaj logotypy, nie ufaj obietnicom dużych pieniędzy”. W 2026 roku:
„Podejrzany” link często wygląda zupełnie normalnie (kłódka, https, poprawna domena będąca wariantem IDN).
Logotypy są kopiowane piksel w piksel, a nawet serwowane z prawdziwych CDN-ów firm, które atak ma udawać.
Maile nie obiecują „milionów”, tylko informują o blokadzie konta, konieczności aktualizacji danych albo pilnym wezwaniu z ZUS/US.
Duża część ofiar to osoby świadome ryzyka, pracujące w IT, finansach czy administracji – po prostu trafione w odpowiedni moment i emocje.
Nowe podejście do phishingu nie polega więc na „łatwym rozpoznaniu oszustwa po kiepskim wyglądzie”, tylko na świadomym zarządzaniu ryzykiem: analizowaniu nadawcy i kontekstu, weryfikacji innym kanałem, separowaniu środowisk i nieufności wobec każdej prośby o logowanie lub przesłanie danych.
Źródło: Pexels | Autor: Gustavo Fring
Jak działa nowoczesny phishing – łańcuch ataku krok po kroku
Faza rozpoznania: skąd napastnik zna ofiarę
Atak phishingowy w 2026 roku często zaczyna się długo przed wysłaniem wiadomości. Przestępcy budują obraz ofiary z wielu źródeł:
Wyciekłe bazy danych – loginy i maile z dawnych usług, hasełka używane w kilku miejscach, dane z forów i portali.
Media społecznościowe – publiczne profile na LinkedIn, Facebooku, Instagramie, TikToku. Widać tam:
gdzie ofiara pracuje, na jakim stanowisku,
z kim jest powiązana (szef, współpracownicy, klienci),
kiedy jest na urlopie, konferencji, wyjeździe służbowym.
Strony firmowe – zakładka „Kontakt”, „Zespół”, „Zarząd”, publikacje z imieniem i nazwiskiem.
Portale ogłoszeniowe i sklepy – OLX, Allegro, serwisy z ogłoszeniami pracy, portale nieruchomości. Tam pojawiają się numery telefonów, adresy e‑mail, informacje o zakupach i sprzedaży.
Na tej podstawie budowany jest scenariusz. Przykładowo: księgowa z firmy X, która niedawno ogłaszała rekrutację na nową osobę do działu, może dostać maila „od kandydata” z załączonym „CV” będącym malware. Handlowiec może dostać „aktualizację warunków współpracy” od rzekomego dużego klienta, którego nazwa jest publicznie widoczna w portfolio.
Przygotowanie scenariusza i treści wiadomości
Mając dane, przestępcy przygotowują ściśle dopasowany scenariusz. Typowe elementy:
Kontekst czasowy – wiadomość pojawia się:
w czasie wzmożonych zakupów (Black Friday, święta, początek roku szkolnego),
tuż po komunikacie banku lub instytucji (np. w mediach huczy o nowej metodzie autoryzacji – phishing na ten temat pojawia się dzień później),
w godzinach, gdy ofiara ma dużo zadań i jest zmęczona (późne popołudnie w księgowości, początek miesiąca w działach sprzedaży).
Źródło autorytetu – bank, urząd skarbowy, ZUS, operator płatności, popularny sklep, a w firmach: szef, dział IT, audyt.
Call to action (co ofiara ma zrobić) – zalogować się, pobrać dokument, otworzyć załącznik, podać kod BLIK, wykonać „pilny” przelew, uzupełnić dane.
Zwykle scenariusz zawiera też mechanizmy presji: wygaśnięcie linku po 1 godzinie, groźba blokady konta, naliczenia kary, utraty zamówienia lub stanowiska („spóźniona reakcja uniemożliwi wypłatę” itd.). Celem jest odcięcie ofiary od racjonalnej analizy i weryfikacji innym kanałem.
Dystrybucja: jak wiadomość trafia do skrzynki, telefonu lub komunikatora
Po przygotowaniu treści przychodzi etap dystrybucji. W 2026 roku to w dużej mierze zautomatyzowany proces prowadzony z wykorzystaniem:
Botnetów – sieci zainfekowanych komputerów i serwerów wysyłających maile z wielu IP, aby utrudnić blokowanie.
Serwerów VPS i chmurowych – tanie i szybko zmieniane infrastrukturą, często w „szarej strefie” hostingowej.
Przejętych kont pocztowych – wiadomość wysyłana jest z prawdziwego, wcześniej zhakowanego adresu (np. realnego kontrahenta).
Gatewayów SMS i API komunikatorów – używanych legalnie (np. przez zhakowane konta firm) lub omijanych przez luki i nadużycia.
Dystrybucja często jest sterowana algorytmicznie: system wysyła maile do osób z tej samej firmy w krótkich odstępach, modyfikuje temat i treść, a później reaguje na odpowiedzi (np. „to pomyłka?”). Taki „phishing-as-a-service” jest oferowany na podziemnych forach w abonamencie.
Interakcja i finalny cel: co ma się wydarzyć po kliknięciu
Kluczowy moment to interakcja ofiary. Po kliknięciu lub wykonaniu prośby mogą nastąpić różne scenariusze:
Przekierowanie na fałszywą stronę logowania – strona wyłudza login/hasło, czasem także kod SMS lub z aplikacji mobilnej.
Instalacja malware – po otwarciu załącznika (Word, Excel, PDF, ZIP, ISO) dochodzi do pobrania i uruchomienia złośliwego oprogramowania: trojana bankowego, keyloggera, ransomware.
Wyłudzenie danych kart płatniczych – formularz płatności, „dopłata 1 zł”, fałszywe bramki płatnicze.
Podszycie się pod sesję – walidacja kodu, który ofiara myśli, że używa do autoryzacji, a faktycznie potwierdza działanie napastnika.
Dobry phishing dąży do tego, by ofiara nie zorientowała się od razu, że cokolwiek poszło nie tak. Stąd ukryte przekierowania, prawdziwe komunikaty „logowanie nieudane, spróbuj ponownie” po wyłudzeniu hasła, mało agresywne malware czekające na kolejne logowania i przelewy.
Kanały ataku w 2026: nie tylko e‑mail
E‑mail – wciąż numer jeden, ale w nowej odsłonie
E‑mail nadal jest głównym kanałem phishingu, zwłaszcza w firmach. Jednak to, jak wygląda atak, znacząco się zmieniło. Zamiast prostych wiadomości typu „Twoje konto zostanie zamknięte, kliknij tutaj”, częściej są to:
Powiadomienia z usług chmurowych (OneDrive, Google Drive, SharePoint) – fałszywe „zaproszenie do dokumentu”,
Informacje o fakturach i płatnościach – rzekome faktury od dostawców, platform e‑commerce, operatorów telefonii,
Prośby z wewnętrznych działów – IT, HR, księgowość – wysłane z przejętych kont lub dobrze podszytych aliasów.
Zaawansowane techniki obejmują:
Maskowanie domen przy użyciu IDN (Internationalized Domain Names) – np. domena z literą „а” (cyrylica) zamiast „a” (łacina). Dla oka to to samo, ale technicznie to inna domena.
Subdomeny i aliasy – np. logowanie.bank.pl.zabezpieczenia-secure.com wygląda na „związane z bankiem”, ale prawdziwa domena to zabezpieczenia-secure.com.
Embedding linków w przyciskach – tekst przycisku mówi „Przejdź do mBanku”, a adres to kompletnie inna domena.
Phishing przez SMS i komunikatory
SMS i komunikatory (WhatsApp, Messenger, Signal, Telegram) stały się wygodnym kanałem do ataków, bo użytkownicy traktują je jako bardziej „prywatne” niż e‑mail. To błąd. W 2026 roku typowe scenariusze to:
„Twoja paczka czeka” – link do rzekomego dopłacenia kilku złotych za przesyłkę lub potwierdzenia adresu; w praktyce:
fałszywa bramka płatnicza wyłudzająca dane karty,
instalator aplikacji podszywającej się pod InPost/DHL z malware na Androida.
„Pilne rozliczenie z ZUS/US” – krótkie SMS-y z linkiem do „portalu płatnika”; często wysyłane w okolicach realnych terminów rozliczeń.
Oszustwa „na bliską osobę” – wiadomości na komunikatorze „Mamo, zmieniłem numer, pilnie potrzebuję przelewu”, wsparte zdjęciami pobranymi ze starego profilu.
Teksty są krótkie, więc trudniej wychwycić błędy. Dodatkowo, w telefonie linki są skracane interfejsem i gorzej widać pełną domenę. Użytkownik ma odruch „kliknij, zobacz, załatw sprawę”.
Tip: przy linkach z SMS/komunikatorów testowo otwieraj je na odizolowanym urządzeniu (np. stary telefon bez dostępu do bankowości) albo w mobilnej przeglądarce z włączoną izolacją (Secure DNS, tryb tylko-do-odczytu, profil „gościa”). W środowisku firmowym dodatkowo filtruj ruch DNS z telefonów służbowych.
Phishing w social media i reklamach
Ataki przeniosły się też do feedów: Facebook, Instagram, LinkedIn, TikTok. Problemem nie są tylko wiadomości prywatne, ale też:
Reklamy kierujące na fałszywe sklepy
Posty sponsorowane podszywające się pod banki i instytucje publiczne
Fałszywe profile rekruterów z linkami do „panelu kandydata”
Reklama przeszła weryfikację platformy, więc część użytkowników zakłada, że jest „bezpieczna”. Cyberprzestępcy to wiedzą. Tworzą krótkotrwałe kampanie: reklama działa kilka godzin, potem konto jest porzucane; szkoda już została zrobiona, a moderatorzy dopiero reagują.
Na LinkedInie popularne są ataki na specjalistów IT i menedżerów: zaproszenie + „dashboard projektu” lub „portal benefitów” w linku. Strona logowania wygląda jak single sign-on firmy (SSO), ale domena należy do napastnika.
Phishing głosowy (vishing) i „callback phishing”
Telefon nie kojarzy się ze „złośliwym linkiem”, a to zwiększa szansę na sukces. W 2026 roku vishing wygląda inaczej niż kiedyś:
Numery są spoofowane (podszywane) pod prawdziwe infolinie banków, operatorów i urzędów.
Menu IVR (automatyczne sekretarki) potrafi być identyczne jak w realnej instytucji, bo zostało nagrane z oryginału.
Callback phishing – mail lub SMS zawiera numer infolinii „do wyjaśnienia problemu”, a cała reszta ataku rozgrywa się już w rozmowie.
Scenariusz: użytkownik dostaje mail „Faktura 321/2026 – naliczono dodatkową opłatę, aby zrezygnować, zadzwoń…”. Sam dzwoni na podany numer. Po drugiej stronie „konsultant” prowadzi go krok po kroku, aby „anulować płatność” – w praktyce przejmuje konto bankowe albo zdalny dostęp do komputera (AnyDesk, TeamViewer).
Uwaga: to użytkownik wykonuje połączenie, więc ma poczucie kontroli. Tu nie wystarczy „nie odbieraj od nieznajomych”. Trzeba mieć zasadę: numery do banku/urzędu wybieramy wyłącznie z oficjalnej strony lub aplikacji, nigdy z maila, SMS-a czy PDF-a.
Phishing w aplikacjach i powiadomieniach push
Coraz więcej ataków omija e‑mail całkowicie, wchodząc bezpośrednio w aplikacje i powiadomienia:
Fałszywe aplikacje mobilne w sklepach z aplikacjami, podrobione pod banki i fintechy (ikona, nazwa, opis łudząco podobne).
Push phishing – zalew powiadomień o logowaniu z prawdziwej aplikacji (MFA fatigue attack), a następnie telefon od „supportu”, który prosi o „jednorazowe potwierdzenie”.
Web push – zgoda na powiadomienia z przeglądarki udzielona z pozornie niewinnej strony, potem wysyłane są komunikaty „Twoje konto zostało zablokowane – kliknij, aby odzyskać dostęp”.
W środowisku firmowym coraz częściej spotyka się phishing w narzędziach kolaboracyjnych: Slack, Teams, Discord. Link przychodzi od „nowego członka projektu”, który de facto jest atakującym lub korzysta z przejętego konta.
Źródło: Pexels | Autor: Thirdman
Techniczne maskowanie fałszywych wiadomości – co robią cyberprzestępcy
Omijanie SPF, DKIM i DMARC
Przez ostatnie lata wiele firm wdrożyło mechanizmy SPF, DKIM i DMARC, które miały utrudniać podszywanie się pod domeny. Atakujący nauczyli się z tym żyć. Zamiast prostego spoofingu:
wysyłają maile z podobnych domen (tzw. lookalike domains),
wykorzystują prawdziwe, ale słabo skonfigurowane domeny innych firm,
albo przejmują porzucone domeny należące kiedyś do podwykonawców.
Na pierwszy rzut oka nagłówek wygląda poprawnie: jest DKIM=pass, DMARC=pass, tylko domena to np. firma‑logistyka.com zamiast firmalogistyka.com. Filtry antyspamowe często przepuszczają takie wiadomości, bo technicznie wszystko jest w porządku.
Tip techniczny: w większych organizacjach warto wdrożyć brand protection (monitoring rejestracji podobnych domen) oraz inbound DMARC enforcement – reguły, które nie tylko sprawdzają wyniki SPF/DKIM/DMARC, ale też korelują je z listą „zaufanych domen brandu i partnerów”.
Zaawansowane techniki w treści HTML i nagłówkach
Treść wiadomości jest konstruowana tak, aby narzędzia filtrowania i człowiek widzieli coś innego. Kilka typowych trików:
Ukryte elementy HTML – komentarze, puste divy, wstrzyknięte znaki niewidoczne (zero-width space), które zmieniają „podpis” wiadomości widziany przez filtry.
Obrazy zamiast tekstu – kluczowe fragmenty, np. „Bank XYZ”, „ZUS”, są w formie grafiki, więc filtry treściowe mają utrudnione zadanie.
Multipart/alternative – różne warianty treści (HTML i plain text) są minimalnie inne; filtr widzi inny tekst niż użytkownik w kliencie webowym.
Downgrade znaków – manipulacja kodowaniem (np. UTF‑7, rzadko używane zestawy znaków) lub wtrącanie znaków kontrolnych w środek adresu URL.
Efekt: analiza na poziomie prostych reguł („jeśli wiadomość zawiera frazę X i link do domeny spoza listy Y”) przestaje wystarczać. Potrzebna jest korelacja z zachowaniem (np. czy z tego maila wiele osób w firmie klika w ten sam nietypowy adres) i reputacją nadawcy.
Maskowanie stron phishingowych
Sam mail to dopiero początek. Główna „iluzja” dzieje się na stronie, na którą prowadzi link. W 2026 roku przeciętna strona phishingowa:
ma HTTPS z ważnym certyfikatem (często z darmowych CA),
korzysta z prawdziwych zasobów (grafiki, CSS) ładowanych z CDN docelowej firmy,
jest hostowana w popularnych chmurach (Cloudflare Pages, Netlify, AWS S3/CloudFront),
ma responsywny design, działa poprawnie na telefonach i desktopie.
Napastnicy stosują też mechanizmy utrudniające analizę:
Geo‑fencing – strona wyświetla się tylko z wybranych krajów lub tylko dla określonych AS (dostawców internetu), aby badacze i sandboxy jej „nie widziały”.
Fingerprinting przeglądarki – jeśli wykryje environment typu sandbox/VM, pokazuje tylko stronę błędu.
Jednorazowe linki – po kilku wejściach link kieruje już na prawdziwą stronę banku lub błąd 404, co utrudnia dochodzenie.
Dlatego samo „kliknę, zobaczę, czy wygląda legitnie” nie jest bezpieczną strategią. Za pierwszym razem ofiara zobaczy perfekcyjną podróbkę, badacz dzień później – zwykły błąd.
Wykorzystanie przekierowań i zaufanych domen
Bardziej zaawansowane kampanie wplatają w łańcuch przekierowań zaufane domeny. Przykładowo:
Mail zawiera link do skracacza adresów lub formularza w znanej usłudze (np. dokument w realnym OneDrive).
Po otwarciu dokumentu pojawia się przycisk prowadzący do właściwej strony phishingowej.
W logach filtrów i firewalli widać wtedy wizytę w Microsoft/Google, więc nikt nie bije na alarm. To szczególnie skuteczne przy atakach na organizacje, w których duża część pracy odbywa się w chmurze.
Uwaga techniczna: segmentuj zaufanie. To, że domena jest z grupy „trusted SaaS”, nie oznacza, że wszystkie linki z dokumentów tam hostowanych są z definicji bezpieczne. W wielu firmach konieczny jest dodatkowy poziom sandboxowania wszelkich odnośników wychodzących poza główny ekosystem.
Phishing zasilany AI – nowe możliwości oszustów
Personalizacja treści w skali masowej
AI nie tworzy pojedynczego „super maila”. Jej przewaga polega na tym, że generuje dziesiątki tysięcy lekko zróżnicowanych wiadomości, dopasowanych do profilu odbiorcy. Zestawiając dane z wycieków, social media i otwartych źródeł, modele są w stanie:
podstawić imię, stanowisko, nazwę zespołu,
odwołać się do konkretnego projektu lub klienta,
dobrać właściwy język (formalny/luźny) i sposób zwracania się.
Efekt psychologiczny jest mocny: „skoro ktoś wie, że jestem w zespole SAP/finanse, to pewnie mail jest autentyczny”. Tymczasem za kulisami działa pipeline: crawler + klasyfikator + generator treści, a człowiek‑atakujący tylko ustawia parametry kampanii.
Generowanie konwersacji, nie tylko pojedynczych maili
Nowoczesny phishing rzadziej opiera się na jednym strzale. Staje się konwersacyjny. Bot, napędzany modelem językowym, odpowiada w czasie rzeczywistym na maile ofiary, dopasowując ton i szczegóły.
Przykład z praktyki: pracownik działu zakupów odpowiada na maila „dostawcy” z prośbą o wyjaśnienie. Dostaje szybko dopasowaną odpowiedź z plikiem „zaktualizowane zamówienie” i sensownym komentarzem, który rozwiewa wątpliwości. Cała korespondencja wydaje się spójna, bez oczywistych błędów językowych czy logicznych.
To samo dzieje się na czatach helpdesku i w komunikatorach: bot podszywający się pod „admina IT” potrafi prowadzić wielowątkową rozmowę, tłumaczyć, dlaczego potrzebuje hasła jednorazowego, a nawet przepraszać za „zamieszanie” po odwołaniu się do wewnętrznych procedur (wyczytanych z intranetu po wcześniejszym wycieku).
Deepfake głosu i wideo jako element ataku
Deepfake nie jest już tylko ciekawostką. Głos przełożonego, który prosi o „bardzo szybki przelew”, można dziś wygenerować na podstawie kilku minut nagrania z konferencji czy podcastu. W połączeniu z klasycznym phishingiem mailowym tworzy to niebezpieczny duet:
Mail: „za chwilę zadzwoni do Ciebie nasz dyrektor finansowy w sprawie pilnej płatności” – wygląda, jakby wyszedł z wewnętrznego systemu.
Telefon: głos brzmi jak dyrektor, padają szczegóły projektu, kwota, numer konta.
Wideo w stylu „krótkie nagranie z wyjaśnieniem” dołączone w mailu lub komunikatorze również staje się narzędziem nacisku. Obraz szefa lub znanej osoby publicznej, która „mówi do nas”, znacząco podnosi wiarygodność przekazu.
Praktyczna zasada: decyzji finansowych i zmian danych płatniczych nigdy nie opierać wyłącznie na jednym kanale – nawet jeśli jest to „głos szefa” czy „wideokonferencja”. Zawsze wymuszać dodatkową weryfikację inną drogą (np. przez wewnętrzny system zgłoszeń lub znany wcześniej numer telefonu).
AI po stronie obrony – i jak atakujący to obchodzą
Firmy coraz częściej używają AI do wykrywania phishingu (analiza treści, stylu pisania, reputacji domen, anomalii w ruchu). To podnosi poprzeczkę, ale jednocześnie:
Jak atakujący testują i adaptują kampanie pod AI‑defense
Modele detekcji po stronie obrony działają jak antywirus nowej generacji: karmione są ogromną liczbą przykładów, szukają anomalii, budują profil „normalnej komunikacji” w organizacji. Atakujący reagują na to jak na każdy inny system scoringowy – traktują go jak czarną skrzynkę do tuningu kampanii.
Typowe techniki obejścia AI‑detekcji:
A/B testy na żywym organizmie – wysyłane są małe paczki maili o różnej treści, strukturze nagłówków i domenach. To, co przechodzi filtry częściej, staje się wzorcem dla głównej kampanii.
„Ciche” kampanie bez payloadu – pierwsza fala maili ma neutralną treść (np. ankieta NPS, zapowiedź zmiany regulaminu) i służy zebraniu danych o tym, co wpada do skrzynki, a co do spamu. Dopiero druga fala niesie złośliwe linki.
Trenowanie własnych modeli na open‑source filtrach – publicznie dostępne silniki antyspamowe i modele klasyfikacji są odtwarzane w infrastrukturze atakującego, który „szlifuje” treści tak, by klasyfikator dawał jak najniższe ryzyko.
Noise injection – dodawanie neutralnych fragmentów (cytatów z dokumentacji, fragmentów regulaminów, disclaimers) zaciemnia kontekst wiadomości dla modeli NLP i obniża ich pewność co do tego, że to phishing.
Coraz częściej pojawia się też adversarial content – celowe wstawki (np. nietypowa interpunkcja, rozbijanie słów znakiem zero‑width), które dla człowieka są niezauważalne, a dla modelu zmieniają wektor reprezentacji tekstu na „bezpieczniejszy”. To zjawisko znane już z badań nad ML, teraz wchodzi do praktyki cyberprzestępczej.
Ai‑phishing jako usługa (PhaaS 2.0)
Tradycyjny „phishing‑as‑a‑service” oferował gotowe szablony stron, panele do zarządzania kampaniami i infrastrukturę do wysyłki. W wersji 2.0 dochodzi komponent AI – często w formie dodatkowego modułu:
Generator treści – moduł integrujący się z LLM, który na podstawie kilku parametrów (branża celu, język, persona ofiary) produkuje gotowe maile i follow‑upy.
Chat‑bot do „obsługi” ofiar – interfejs, w którym operator widzi konwersacje z ofiarami, ale w większości przypadków odpowiada za niego model. Człowiek wchodzi tylko w trudniejsze wątki.
Silnik personalizacji – zbiera dane z wycieków, LinkedIna, GitHuba czy stron firmowych, normalizuje je i przekazuje do generatora jako kontekst (tzw. feature store).
Efekt uboczny jest taki, że bariera wejścia jeszcze spada. Ktoś bez większej wiedzy technicznej może klikać w panelu: „kampania na działy księgowe w średnich firmach w Polsce” i dostaje gotowe treści, strony, statystyki, a nawet podpowiedzi kiedy robić follow‑up, żeby zwiększyć skuteczność.
Źródło: Pexels | Autor: RDNE Stock project
Analiza e‑maila krok po kroku – praktyczny workflow
Krok 1: Kontekst – zanim zaczniesz klikać i rozwijać nagłówki
Analiza maila nie powinna zaczynać się od wpatrywania się w URL. Najpierw trzeba odpowiedzieć na kilka pytań kontekstowych:
Dlaczego dostałem tę wiadomość właśnie teraz? – czy pasuje do bieżących zadań, trwających projektów, relacji biznesowych?
Jaki jest oczekiwany „call to action”? – kliknięcie, zalogowanie, pobranie pliku, podanie danych? Im większa stawka, tym wyższy poziom podejrzliwości.
Jakie kanały są zwykle używane do takich spraw w organizacji? Jeśli polityka mówi, że HR nigdy nie wysyła plików ZIP mailem, to sam fakt naruszenia tej zasady jest sygnałem.
Dobrym nawykiem jest, aby analizę techniczną poprzedzić krótką notatką: „co ten mail chce ode mnie uzyskać i czy to jest standardowe zachowanie?”. To często od razu ustawia priorytet – czy w ogóle warto angażować dział bezpieczeństwa.
Krok 2: Szybki screening wizualny i językowy
Nawet przy zaawansowanym phishingu wizualny „smell test” bywa skuteczny, jeśli zrobić go metodycznie, a nie tylko „rzucić okiem”. Przy przeglądzie zwróć uwagę na:
Spójność brandingu – logotypy mogą być idealne, ale drobne elementy jak odstępy, układ stopki, styl przycisków CTA często różnią się od oficjalnych szablonów firmy.
Język wewnętrzny – czy używana jest poprawna terminologia stosowana na co dzień (np. „Service Desk” vs „IT Support Team”)? AI może się pomylić w takich detalach.
Ton komunikacji – sztuczne połączenie skrajnej pilności („natychmiast”) z przesadną uprzejmością lub odwrotnie. To subtelne, ale często nienaturalne.
Uwaga: brak błędów językowych NIE jest już argumentem na korzyść wiadomości. Dobre modele generują poprawny tekst w wielu językach, więc „ładna polszczyzna” to dziś norma, nie wyjątek.
Krok 3: Analiza adresu nadawcy i widocznego „From”
Drugi etap to wejście poziom niżej niż sam wyświetlany adres. Kolejne kroki:
Sprawdź pełny adres From: kliknięcie w adres w większości klientów mailowych pokaże realną wartość (np. „Imię Nazwisko <adres@firma‑logistyka.com>”). Zwróć uwagę na drobne literówki, dopiski krajowe (.co, .global, .support).
Porównaj z poprzednią korespondencją od tej osoby/firmy – czy domena jest identyczna? Czy identyfikator w systemie (np. w Office 365 / Google Workspace) zgadza się z tym, który widzisz przy starych mailach?
Oceń „Reply‑To” – jeśli odpowiedź ma trafić na inną domenę niż nadawca, trzeba mieć ku temu bardzo dobry powód organizacyjny.
Tip: przy kampaniach biznesowych atakujący często odpowiadają w istniejących wątkach, po wcześniejszym przejęciu skrzynki. Wtedy „From” jest poprawne, ale zaskakuje treść (np. nagła prośba o zmianę rachunku bankowego). Tu kontekst ma pierwszeństwo nad technikaliami.
Dla bardziej zaawansowanej analizy trzeba zajrzeć w „Show original” / „Pokaż źródło wiadomości”. Interesuje nas kilka grup pól:
Received: łańcuch serwerów, przez które przechodził mail. Nie szukamy tu pojedynczego „podejrzanego” serwera, lecz nietypowego wzorca: egzotyczne hostingi, brak powiązań z infrastrukturą deklarowanego nadawcy.
Authentication‑Results: wynik SPF, DKIM, DMARC. „pass” nie wystarcza – liczy się, dla jakiej domeny. Jeśli DKIM=pass dla domeny, która nie ma nic wspólnego z widocznym brandem, to czerwone światło.
Return‑Path / Envelope‑From – adres techniczny, często inny niż „From”. Domena z taniego hostingu, niepasująca do tematu wiadomości, bywa dobrą wskazówką.
Warto mieć pod ręką prosty cheat‑sheet: które domeny są oficjalne dla poszczególnych kluczowych partnerów i jakie typowe ścieżki (Received) są akceptowalne. W większych firmach takie „mapy dostarczenia” dla krytycznych usług (bank, ERP, główne SaaS‑y) oszczędzają dużo czasu.
Krok 5: Analiza linków bez klikania
Linki trzeba analizować w sposób, który minimalizuje ryzyko przypadkowego wykonania payloadu. Kilka praktycznych zasad:
Najpierw hover – najedź kursorem i porównaj adres widoczny w kliencie z tym w treści. Rozjazd (np. przycisk z etykietą „portal.bank.pl” prowadzi do skracacza) to pierwszy sygnał ostrzegawczy.
Rozbij łańcuch przekierowań – użyj narzędzi typu curl, httpie lub bezpiecznego sandboxa URL, by zobaczyć, dokąd prowadzi łańcuch HTTP 3xx. Często pierwsze domeny są zaufane (SaaS, skracacze), a ostatnia – już nie.
Analiza parametrów – w linkach do prawdziwych systemów rzadko widać długie, kompletnie niezrozumiałe parametry poza typowym identyfikatorem sesji. Jeśli wszystko jest w jednym, ogromnym parametrze base64, to kandydat do dokładniejszego badania.
Uwaga: klikaniem „na żywo” z produkcyjnej stacji roboczej można uruchomić drive‑by exploit lub dać atakującemu sygnał, że konto jest aktywne. Analizę podejrzanych URL zawsze lepiej przenieść do kontrolowanego środowiska (VM, izolowany browser sandbox).
Krok 6: Załączniki – format, źródło, zachowanie po otwarciu
Załączniki to wciąż klasyczny wektor. W 2026 roku główny problem nie polega na tym, że ktoś wysyła EXE, tylko że korzysta z formatów „biznesowo akceptowalnych”:
Dokumenty Office z makrami – często udają skany faktur, specyfikacje, umowy. W treści maila pojawia się zachęta, by „włączyć zawartość/edycję”, bo „to plik pochodzący ze skanera”.
Archiva z hasłem – ZIP/RAR chronione hasłem, z hasłem podanym w mailu (filtry AV mają utrudniony dostęp do zawartości).
Pliki „bezpieczne inaczej” – .html, .pdf z osadzonymi skryptami lub złośliwymi linkami. Odbiorca myśli: „to tylko PDF, otworzę”.
Workflow dla analizy załącznika powinien wyglądać tak:
Zapisz plik w izolowanym środowisku (VM, remote sandbox).
Policz sumy kontrolne (SHA‑256) i sprawdź je w agregatorach reputacji (np. VirusTotal, wewnętrzna baza IOC).
Jeśli musisz otworzyć – rób to wyłącznie w sandboxie, monitorując połączenia wychodzące, nowe procesy i artefakty w systemie plików.
Tip: w organizacjach z wyższym profilem ryzyka warto traktować każde „nietypowe archiwum z hasłem” jako incydent wymagający zgłoszenia, nawet jeśli ostatecznie okaże się fałszywym alarmem.
Krok 7: Korelacja z innymi skrzynkami i zdarzeniami
Pojedynczy mail rzadko daje pełny obraz. Kluczowe jest sprawdzenie, czy:
ten sam nadawca / temat / domena pojawiły się u innych pracowników,
czy w krótkim czasie zgłoszono więcej podejrzanych wiadomości o podobnej strukturze,
czy systemy proxy / firewalli widzą zwiększony ruch do nowych domen z linków.
Dobry workflow zespołu SOC wygląda tak, że po pierwszym zgłoszeniu potencjalnego phishingu od razu uruchamiane są zapytania w SIEM: „pokaż wszystkie maile z tej domeny z ostatnich 48h”, „pokaż ruch HTTP do tego hosta z całej organizacji”. To pozwala wyprzedzić atak, zanim więcej osób kliknie.
Krok 8: Decyzja i działania remediacyjne
Na końcu trzeba przejść od analizy do decyzji. W praktyce przydatna jest prosta klasyfikacja:
Jasny phishing / malware – blokada domeny/nadawcy na bramce, usunięcie maili ze skrzynek (search & destroy), zgłoszenie IOC do zewnętrznych partnerów, ewentualnie powiadomienie CERT.
Wysokie podejrzenie – tymczasowa blokada linków/załączników, ostrzeżenie do użytkowników (np. komunikat w intranecie), dalsza analiza w sandboxie.
Mail podejrzany, ale bez dowodów – oznaczenie jako „watchlist”, dodanie reguł monitoringu (np. czy ktoś odpowie na tego maila, czy kliknie w link), zachowanie artefaktów do późniejszej korelacji.
Istotne jest, by decyzja nie kończyła się na „oznacz jako spam”. Każda kampania phishingowa to źródło danych: domeny, adresy IP, patterny treści. Włączenie ich do wewnętrznej bazy IOC i reguł detekcji podnosi odporność na kolejne iteracje podobnych ataków.
Budowanie nawyków analizy u „zwykłych” użytkowników
Nie każdy pracownik będzie wchodził w nagłówki czy rozbijał HTTP 3xx, ale można go nauczyć uproszczonej wersji workflowu:
1–2 proste pytania kontekstowe („czy to normalne, że X pisze do mnie o Y tą drogą?”),
sprawdzenie nadawcy i hover nad linkami,
zero otwierania załączników z archiwami/hasłami spoza znanego kontekstu,
niskoprogowy mechanizm zgłaszania (przycisk „Zgłoś phishing” w kliencie pocztowym).
Co warto zapamiętać
Phishing w 2026 r. to nadal wyłudzanie danych i nakłanianie do szkodliwych działań, ale kampanie są prowadzone profesjonalnie – jak marketing: segmentacja ofiar, testy A/B, analityka zachowań, retargeting.
Klasyczne „czerwone flagi” (literówki, toporna grafika, obietnice wielkich pieniędzy) przestały być wiarygodnym filtrem – fałszywe maile, SMS-y i strony są poprawne językowo, wizualnie dopracowane i osadzone w realistycznym kontekście (np. „blokada konta”, „dopłata do paczki”, „wezwanie z urzędu”).
Granice między typami phishingu się zacierają – pojedynczy atak może łączyć mail (spear phishing), telefon z deepfake głosem (vishing) i komunikator z linkiem do fałszywego panelu, przez co ofiara ma wrażenie „spójności historii”.
Atakujący intensywnie korzystają z AI: generatory treści piszą maile i skrypty rozmów, narzędzia do scrapowania danych zbierają informacje z sieci, stylometria klonuje sposób pisania, a deepfake voice/wideo umożliwia wiarygodne podszywanie się pod szefa, księgowego czy konsultanta banku.
Nowoczesne kampanie phishingowe wykorzystują realne dane o ofierze (np. stanowisko, projekty, publiczne profile) i bieżące wydarzenia, dzięki czemu komunikat wygląda jak naturalna kontynuacja tego, czym ofiara żyje zawodowo lub prywatnie.
