Kiedyś phishing zdradzał się sam. Literówki, koślawa polszczyzna, logo rozjechane w trzech miejscach. Wystarczyło zerknąć i już wiedziałeś, że coś tu śmierdzi.
Dziś jest inaczej. Mail „od Microsoftu” czyta się jak od Microsoftu. Wiadomość „z banku” wygląda jak z banku. A wszystko dzięki generatywnej AI, która pisze te oszustwa bez jednego błędu i w profesjonalnej oprawie graficznej.
To nie jest już zabawa dla amatorów. To przemysł.
Dlaczego phishing przestał wyglądać jak phishing
Największa zmiana ostatnich lat to jakość. Przestępcy używają AI do pisania maili, które językowo nie różnią się od prawdziwej komunikacji banku, kuriera czy Microsoftu. Do tego dochodzą techniczne sztuczki, które potrafią obejść nawet dwuskładnikowe uwierzytelnianie.
Dobry przykład to atak na logowanie do Microsoft 365. Oszuści wykorzystują tzw. OAuth device code flow – legalną procedurę logowania dla urządzeń bez przeglądarki. Ofiara dostaje wiadomość, że musi „ponownie autoryzować urządzenie”. Klika, potwierdza, i w tym momencie przestępca dostaje token dostępu do konta. Bez hasła. Bez alarmu.
Coraz częściej złośliwy link nie jest zwykłym linkiem, tylko kodem QR. Powód jest prosty: kody QR łatwiej przechodzą przez filtry antyspamowe i przenoszą ofiarę na telefon – gdzie czujność spada, a mały ekran ukrywa podejrzany adres.
Fałszywy support i fałszywy antywirus
Druga popularna metoda to podszywanie się pod pomoc techniczną. Ktoś dzwoni albo wyskakuje pop-up: „Wykryliśmy problem z bezpieczeństwem”. Rzekomy konsultant Signala czy Microsoftu prosi o PIN albo o zainstalowanie programu do zdalnej pomocy – który daje mu pełen dostęp do komputera. Na taką sztuczkę nabrała się nawet Julia Klöckner, przewodnicząca niemieckiego Bundestagu.
Podobnie działa oszustwo „na Defendera”. Dostajesz mail lub pop-up, że twoja ochrona Microsoft Defender wygasła i trzeba dopłacić za przedłużenie. Problem w tym, że Defender jest darmowy i wbudowany w Windows. Nikt nigdy nie każe za niego płacić. Jeśli ktoś tego żąda – to oszustwo.
Paczka, bank, chmura – klasyki, które wciąż działają
Najstarsze schematy nie odchodzą, bo po prostu działają.
Fałszywa paczka działa zawsze, bo prawie każdy na coś czeka. Nowe wersje mają już całe systemy śledzenia i dynamiczne strony udające prawdziwą logistykę. Pretekst zwykle ten sam: „Nie udało się dostarczyć przesyłki, potwierdź adres” albo presja czasu wokół terminu. Efekt: ofiara podaje dane do płatności albo dopłaca za fikcyjne „cło” czy „opłatę ekspresową”.
Bankowość to kolejny stały cel. W maju 2026 fałszywe maile podszywały się m.in. pod Commerzbank i Deutsche Bank, strasząc koniecznością „aktualizacji photoTAN” czy utratą dostępu do konta „już następnego dnia roboczego”. Sztuczna presja – zawsze ta sama mechanika.
Do tego doszła chmura. Zamiast klasycznego załącznika dostajesz powiadomienie o „udostępnionym dokumencie” – fakturze, pasku wypłaty, planie projektu. Cel? Wyłudzić login i hasło do konta w chmurze lub poczcie, żeby uderzyć dalej.
Najbardziej kosztowna odmiana to oszustwo na Postident, gdzie fałszywe listy podszywają się pod bank i wyłudzają potwierdzenie tożsamości pod pozorem dużego kredytu. Dane ofiar przestępcy zbierają wcześniej -np. przez fałszywe ogłoszenia mieszkań. Straty? Nierzadko od 15 do 25 tysięcy dolarów.
Jak rozpoznać phishing
Phishing to metoda oszustwa, w której przestępca podszywa się pod zaufaną firmę – bank, kuriera, Microsoft – żeby wyłudzić dane logowania, PIN lub pieniądze. Rozpoznasz go po kilku stałych sygnałach: niezamówiony kontakt w sprawie finansów, sztuczna presja czasu, prośba o wrażliwe dane, podejrzane linki ukryte w kodach QR lub bardzo długich adresach oraz bezosobowe, ogólnikowe zwroty. Jeśli wiadomość spełnia choć kilka z tych punktów – traktuj ją jak oszustwo.
Jak się chronić
Zasada numer jeden: nie klikaj w linki z maili o „bezpieczeństwie”. Zamiast tego wejdź na stronę banku czy usługi ręcznie, wpisując adres w przeglądarce.
Reszta to zdrowe nawyki. Menedżer haseł działa jak system wczesnego ostrzegania – nie podpowie hasła na fałszywej domenie. Włącz uwierzytelnianie wieloskładnikowe wszędzie, gdzie się da (a passkeys są jeszcze lepsze). Nie instaluj programów do zdalnej pomocy na czyjeś żądanie. Przy „udostępnionym pliku” – zadzwoń do nadawcy, zanim cokolwiek otworzysz.
I najważniejsze przy bankach: ignoruj wszystkie linki w mailach. Zaloguj się przez przeglądarkę albo po prostu zadzwoń do banku i zapytaj, czy naprawdę czegoś od ciebie chcą.
źródło: pcworld.com
Dodaj komentarz