Phishing się zmienił
Ataki phishingowe w praktyce coraz mniej przypominają masowo wysyłane wiadomości pełne błędów. Przestępcy wykorzystują informacje o firmach i ich pracownikach, kopiują sposób komunikacji, tworzą fałszywe strony logowania i podszywają się pod znane marki. Próba ataku może wyglądać jak zwykła prośba klienta o zmianę danych na fakturze, wiadomość od pracownika działu finansowego albo pilne polecenie przełożonego.
Phishing jest dziś skuteczny przede wszystkim dlatego, że atakujący wykorzystują zaufanie, na którym opiera się codzienna komunikacja biznesowa. Podszywają się pod pracownika, przełożonego, klienta czy kontrahenta i próbują skłonić odbiorcę do działania, które samo w sobie może wyglądać zupełnie normalnie. Mogą poprosić o zmianę numeru rachunku, przesłania dokumentu, podania danych logowania czy zatwierdzenia płatności. Z danych APWG (Anti-Phishing Working Group) wynika, że skala ataków nie maleje. W I kwartale 2026 roku odnotowano ponad 971 tys. ataków phishingowych na świecie, o 13,8 proc. więcej niż kwartał wcześniej.
Coraz większym problemem jest również podszywanie się pod marki i usługi, które pracownicy oraz klienci dobrze znają. W II kwartale 2026 r. w 23 proc. wykrytych prób phishingu wykorzystujących wizerunek konkretnej marki podszywało się pod Microsoft. To pokazuje, że rada „uważaj na literówki w mailu” jest dziś po prostu niewystarczająca. Wiadomości phishingowe są coraz lepiej przygotowane, a przestępcy potrafią odtworzyć styl komunikacji firmy, podpis pracownika, szablon faktury czy wygląd strony logowania.
Te zasady powinny obowiązywać w firmie
Dlatego firmy powinny przede wszystkim wprowadzić dodatkowe zasady weryfikacji do użycia w potencjalnie ryzykownej albo po prostu niestandardowej sytuacji. Zmiana numeru rachunku, pilna płatność, prośba o dane logowania czy przesłanie poufnego pliku powinny być potwierdzane drugim kanałem, najlepiej telefonicznie na wcześniej znany numer. Warto też ograniczyć możliwość samodzielnego zatwierdzania przelewów o większej wartości i wprowadzić zasadę dwóch osób przy zmianach danych płatniczych. Konieczne jest też ciągłe uświadamianie użytkowników, aby byli szczególnie wyczuleni na wszelkie wiadomości, które zachęcają do wykonania rzeczy niestandardowej i pilnej reakcji. Przestępcy konsekwentnie w wiadomościach budują wrażenie pośpiechu, możliwości utraty szansy itp., bo zwiększa to prawdopodobieństwo "złowienia" ofiary, która w pośpiechu nie zastanowi się nad konsekwencjami swoich akcji. Można tu zacytować popularną kreskówkę dla dzieci "A teraz prędko, zanim dotrze do nas, że to bez sensu!". To w zasadzie przepis na udany phishing.
Budowanie świadomości nie może też być jednorazowym szkoleniem, ale musi być regularnie powtarzane w różnych formach. Dobrym pomysłem są regularne ćwiczenia phishingowe polegające na wysyłaniu pracownikom spreparowanych wiadomości i badaniu jak wiele osób się na nie nabierze. Do tego dochodzi uwierzytelnianie wieloskładnikowe (MFA), które ochroni firmowe systemy, gdy jednak ktoś udostępni swoje dane logowania przestępcom i szybka ścieżka zgłaszania podejrzanych wiadomości, tak aby pracownik wiedział dokładnie, komu i jak taki przypadek przekazać. Doskonale sprawdzają się tu narzędzia w formie dedykowanego przycisku w programie pocztowym, które pozwalają użytkownikowi jednym przyciskiem przekierować podejrzaną wiadomość do firmowych ekspertów bezpieczeństwa.
Ważne jest też zabezpieczenie klientów. Jeżeli firma wie, że jej marka jest wykorzystywana do podszywania się pod pracowników lub obsługę klienta, powinna jasno komunikować, jakimi kanałami kontaktuje się z odbiorcami i o jakie dane nigdy nie prosi. W wielu przypadkach o skuteczności ataku decyduje nie technologia, ale kilka minut pośpiechu i brak prostego mechanizmu sprawdzenia, czy wiadomość rzeczywiście pochodzi od właściwej osoby.
