Phishing: jak go rozpoznać, uniknąć i zgłosić

Wiadomość od „banku”, SMS o dopłacie do paczki, prośba o kod BLIK od znajomego: każda z tych sytuacji może być początkiem phishingu. Ten poradnik opisuje, jak działa to oszustwo, po czym je poznasz, co zrobić, gdy dane zostały już wpisane, i gdzie je zgłosić. Opieramy się na materiałach CERT Polska (zespół działający w NASK), portalu gov.pl i NASK.

Trzymamy się tego, co piszą te instytucje. Gdy ich strony czegoś nie mówią, zaznaczamy to wprost. To informacja ogólna, nie porada prawna ani bankowa dla twojej sytuacji.

Co zrobić w pierwszych minutach

Jeśli wiadomość budzi wątpliwości, a nic jeszcze nie zostało wpisane, zacznij od krótkiej listy.

1. Zatrzymaj się. Presja czasu to jeden z najczęstszych sygnałów oszustwa. Nic nie wygasa w ciągu godziny.
2. Niczego nie wpisuj i nie przepisuj. Ani hasła, ani numeru karty, ani kodu z SMS-a czy aplikacji bankowej.
3. Sprawdź sprawę inną drogą. Otwórz aplikację banku lub firmy kurierskiej samodzielnie albo zadzwoń pod numer, który już znasz.
4. Zgłoś wiadomość. E-mail lub domenę przez formularz na incydent.cert.pl, SMS-a na numer 8080. Szczegóły są niżej.

Jeśli dane zostały już podane, przejdź od razu do sekcji „Co zrobić po podaniu danych”.

Chcesz sprawdzić, jakie twoje dane są widoczne publicznie i mogą uwiarygodnić fałszywą wiadomość? Bezpłatna analiza Remove Me może być punktem wyjścia, bez zakładania konta. Przeszukuje widoczne publicznie wyniki wyszukiwania, znane wycieki danych (Have I Been Pwned) i rejestr brokerów danych, po czym pokazuje, co znalazła. Raport otwierasz sześciocyfrowym kodem wysłanym e-mailem. Remove Me nie wysyła na razie za ciebie wniosków o usunięcie danych i nie filtruje wiadomości.

Rozpocznij bezpłatną analizę

Czym jest phishing

CERT Polska opisuje phishing jako najpowszechniejszą formę oszustwa w internecie i jednocześnie taką, przed którą najtrudniej obronić się samym oprogramowaniem. Oszust nie łamie zabezpieczeń komputera ani telefonu. Bierze na cel użytkownika i przekonuje go, żeby sam wpisał hasło, przepisał kod albo wykonał przelew.

Phishing opiera się na socjotechnice, czyli manipulacji. Atakujący podszywa się pod kogoś, komu ufasz: bank, kuriera, urząd, sklep, portal społecznościowy, pracodawcę, a nawet członka rodziny. Celem jest nakłonienie cię do przekazania czegoś wartościowego, czyli danych logowania, numeru karty, kodu autoryzacyjnego albo po prostu pieniędzy.

Portal gov.pl dodaje, że nazwa kojarzy się z angielskim słowem oznaczającym łowienie ryb. Przestępcy, podobnie jak wędkarze, stosują odpowiednio przygotowaną „przynętę”, najczęściej w postaci sfałszowanych e-maili i SMS-ów. Coraz częściej działają też przez komunikatory i portale społecznościowe, na przykład w tak zwanej „metodzie na BLIKa”.

Odmiany phishingu

W zależności od kanału wyróżnia się kilka nazw. CERT Polska wymienia trzy:

• smishing: oszustwo przez SMS,
• vishing: oszustwo przez połączenie telefoniczne,
• quishing: oszustwo przez kod QR.

CERT Polska zaznacza, że te nazwy są wygodne dla specjalistów, ale dla ciebie mają drugorzędne znaczenie. Schemat zawsze jest ten sam, zmienia się tylko droga, którą oszust do ciebie dociera.

Portal gov.pl opisuje jeszcze spear phishing, czyli atak ukierunkowany na konkretnego adresata. Przestępcy mogą podszywać się pod partnerów biznesowych, a wiadomość bywa spersonalizowana i odwołuje się do relacji z odbiorcą. Taki atak jest według gov.pl często poprzedzony rozpoznaniem firmy, urzędu lub danych dostępnych o tobie w mediach społecznościowych.

O smishingu piszemy osobno w poradniku Fałszywy SMS i smishing: jak rozpoznać oszustwo.

Jak trafiasz na fałszywą stronę

Phishing kojarzy się z linkiem w SMS-ie o dopłacie do przesyłki albo w mailu rzekomo od banku. Według CERT Polska SMS i e-mail są jednak tylko nośnikiem. Link do fałszywej strony może dotrzeć do ciebie niemal każdą drogą. Instytucja podaje takie przykłady:

• reklama w mediach społecznościowych, w której obietnicę zysku uwiarygadnia wizerunek znanej osoby,
• sensacyjny post w grupie, zapowiadający nagranie z głośnego wypadku,
• prywatna wiadomość z konta znajomego, na przykład prośba o oddanie głosu w konkursie,
• wiadomość od „kupującego” na portalu z ogłoszeniami, który twierdzi, że już zapłacił i wystarczy odebrać środki,
• płatna reklama wyświetlona nad prawdziwymi wynikami wyszukiwania, gdy szukasz infolinii banku lub strony do opłacenia rachunku,
• kod QR naklejony na parkomacie, prowadzący na podrobioną stronę płatności.

Wniosek CERT Polska jest praktyczny: nie da się zbudować obrony na tym, skąd wiadomość przyszła. Pole nadawcy SMS-a można sfałszować ogólnodostępnymi narzędziami, tak samo jak nadawcę e-maila. Prośba może też naprawdę przyjść z konta znajomego, tyle że oszust zdążył je wcześniej przejąć.

Najskuteczniejsze wiadomości niczym nie odstają od prawdziwych. Naśladują komunikaty, które faktycznie dostajesz, jak powiadomienie o przesyłce, wezwanie do zapłaty czy alert z banku. Rozsyłane są masowo, więc trafiają na kogoś, kto akurat czeka na paczkę lub wystawił ogłoszenie.

Samo kliknięcie zwykle nie wystarcza

Wiele osób obawia się, że samo kliknięcie w link wystarczy, żeby stracić pieniądze lub zainfekować telefon. CERT Polska pisze, że w zdecydowanej większości przypadków samo kliknięcie jest nieszkodliwe. Problem pojawia się, gdy na otwartej stronie coś zrobisz: podasz dane, przepiszesz kod, potwierdzisz operację albo zainstalujesz aplikację pobraną z takiej strony.

Wyjątkiem są ataki wykorzystujące niezałatane podatności w przeglądarce lub systemie. Według CERT Polska są one rzadkie, kosztowne i zwykle wymierzone w konkretne osoby, na przykład polityków, dziennikarzy czy działaczy społecznych. Przed nimi chroni regularne aktualizowanie oprogramowania.

Portal gov.pl podchodzi do tego ostrożniej: dopóki nie masz pewności, że nadawca jest prawdziwy, nie należy klikać w żadne linki ani na nie odpowiadać. Oba podejścia da się pogodzić. Nie musisz panikować po przypadkowym kliknięciu, ale lepiej nie klikać bez potrzeby. Ważniejsze pytanie brzmi: czy strona, na której mam coś wpisać, jest tą, za którą się podaje?

Czego chcą oszuści

Fałszywy panel logowania do banku albo do portalu społecznościowego to najbardziej znany wariant. CERT Polska zaznacza jednak, że phishing dawno wyszedł poza kradzież haseł. Chodzi o to, by wykonać czynność, która przekazuje oszustowi dostęp, pieniądze lub tożsamość. W opisie CERT Polska pojawiają się takie scenariusze:

• Formularz płatności z numerem karty, datą ważności i kodem CVV, wyświetlony pod pretekstem drobnej dopłaty.
• Prośba o kod BLIK, rzekomo po to, by „odebrać” przelew. Kodem BLIK nie da się odebrać przelewu. Jeśli ktoś prosi o taki kod, chce nim zapłacić albo wypłacić pieniądze z twojego konta.
• Kod autoryzacyjny z SMS-a, przepisywany na stronie pod pretekstem potwierdzenia odbioru środków. W treści samego SMS-a bywa napisane coś zupełnie innego, na przykład że kod służy do dodania nowego urządzenia mobilnego.
• Dane osobowe: PESEL, seria i numer dowodu, zdjęcie dokumentu albo selfie z nim w ręku. CERT Polska pisze, że taki komplet wystarczy, żeby wziąć na ciebie pożyczkę.
• Instalacja programu: „aplikacji banku” lub „aktualizacji” spoza oficjalnego sklepu albo programu do zdalnego pulpitu, żeby „konsultant mógł pomóc”.
• Fałszywa weryfikacja captcha, w której instrukcja każe skopiować tajemniczy ciąg znaków i wkleić go w okno systemowe. To nie jest weryfikacja: według CERT Polska taki ciąg to komenda, która po wklejeniu instaluje złośliwe oprogramowanie.

Wariantów nie da się wyliczyć do końca. Zapamiętaj zasadę: jeśli nieoczekiwana strona lub rozmówca prosi cię o cokolwiek, co daje komuś dostęp do twoich pieniędzy, kont lub tożsamości, to moment, żeby się zatrzymać.

Czytaj opis operacji, nie tylko cyfry

CERT Polska radzi, żeby przed zatwierdzeniem operacji kodem z SMS-a lub potwierdzeniem w aplikacji bankowej przeczytać opis operacji, a nie tylko cyfry kodu. To jedyne miejsce, w którym zobaczysz, co naprawdę autoryzujesz i na jaką kwotę.

Domena w pasku adresu

Fałszywa strona może wyglądać identycznie jak prawdziwa. CERT Polska podkreśla, że skopiowanie logo, kolorów i układu jest dziś banalnie proste, więc cokolwiek widzisz na ekranie, może być kopią. Jedyną informacją, której nie da się podrobić, jest domena w pasku adresu.

Przeglądarka wyróżnia domenę, a resztę adresu wyświetla bledszym, szarym kolorem. Jeśli w tym wyróżnionym fragmencie nie ma nazwy twojego banku lub sklepu, nie jesteś na jego stronie, nawet jeśli ta nazwa pojawia się gdzieś indziej w adresie.

Portal gov.pl podaje przykład: zamiast adresu prawdziwego serwisu zakupowego oszuści mogą użyć adresu, który tylko go przypomina i ma dodany drugi wyraz oraz inną końcówkę. Zwraca też uwagę na skrócone linki. Jeśli nie wiesz, dokąd prowadzi link, najedź na niego wskaźnikiem myszy bez klikania, a pełny adres pojawi się na dole przeglądarki.

Nawyk, który zaleca CERT Polska: czytaj domenę za każdym razem, gdy strona prosi cię o hasło, kod lub dane karty.

Sygnały ostrzegawcze w wiadomości

CERT Polska wymienia elementy, które najczęściej powtarzają się w wiadomościach phishingowych:

• Presja czasu. Konto zostanie zablokowane, przesyłka wróci do nadawcy, oferta wygasa za godzinę.
• Silna emocja. Nieautoryzowana transakcja, wygrana, kłopoty bliskiej osoby, sensacyjna informacja.
• Drobna kwota do dopłaty. Kilka złotych usypia czujność skuteczniej niż duża suma. Prawdziwym celem nie jest ta kwota, tylko dane wpisane przy okazji.
• Nietypowy kanał lub prośba. Przeniesienie rozmowy na komunikator, prośba o kod, o instalację programu albo o przelew na „nowy” numer konta.
• Nieoczekiwany kontakt. Wiadomość z nieznanego numeru lub adresu, zwłaszcza gdy nadawca podaje się za kogoś bliskiego.

Portal gov.pl dorzuca wskazówki dotyczące e-maili: sprawdź adres nadawcy i to, czy zgadza się z podpisem, zwróć uwagę na zwroty w rodzaju „cenionego klienta” zamiast twojego imienia i nazwiska, na groźby typu „wyślij dane w ciągu 24 godzin” oraz na oferty zbyt dobre, by były prawdziwe. Wspomina też o błędach językowych i braku polskich znaków.

Jest tu jednak ważne zastrzeżenie. CERT Polska pisze, że te sygnały pomagają wyłapać oszustwo, ale nie są pełną listą, a ich brak niczego nie dowodzi, bo wiadomości bywają dziś napisane bez błędów i idealnie wpasowane w kontekst. Dlatego gdy prośba dotyczy pieniędzy lub danych, potwierdź ją inną drogą niż ta, którą przyszła. Zadzwoń pod numer, który już znasz, albo skontaktuj się z osobą lub firmą tak, jak dotychczas.

Gov.pl podaje też dwie rzeczy, które warto znać. Bank lub inna instytucja nie powinny prosić cię w e-mailu o podanie danych osobowych. Urzędy administracji publicznej nie proszą przez SMS ani e-mail o dopłatę do szczepionki czy uregulowanie należności podatkowych.

Fałszywe załączniki

Załącznik opisany jako faktura, potwierdzenie zamówienia lub pismo z urzędu może zawierać złośliwy program. CERT Polska radzi:

1. Sprawdź pełny adres nadawcy. W polu z nazwą nadawcy oszuści mogą wpisać dowolną treść, na przykład nazwę banku. Pełny adres zobaczysz w wielu programach pocztowych po kliknięciu nazwy nadawcy lub najechaniu na nią.
2. Uważaj na nietypowe pliki. Archiwum z hasłem podanym w treści maila nie ma sensu: kto widzi wiadomość, widzi też hasło. Oszuści używają szyfrowania, by utrudnić filtrom pocztowym sprawdzenie zawartości.
3. Nie włączaj zawartości dokumentu na polecenie. Jeśli dokument Worda lub Excela każe kliknąć „Włącz zawartość”, zamknij go, bo ten przycisk może uruchomić makra.
4. Nie klikaj „Uruchom mimo to”, gdy system ostrzega przed uruchomieniem pliku.
5. Zadzwoń do firmy, która rzekomo wysłała wiadomość. Nawet jeśli spodziewasz się faktury, sprawdź podany numer konta i potwierdź go znanym ci kanałem.

CERT Polska zwraca też uwagę na rozszerzenia plików. Pliki wykonywalne i skrypty (na przykład .exe, .scr, .bat czy .js) mogą po otwarciu od razu uruchomić instrukcje i zainfekować komputer. Eksplorator plików w Windows domyślnie ukrywa rozszerzenia znanych typów, więc plik „dokumenty.pdf.scr” może wyglądać jak „dokumenty.pdf”. Włączenie wyświetlania rozszerzeń pomaga takie pułapki zauważyć.

Podejrzanego maila lub załącznik możesz przekazać do weryfikacji CERT Polska przez formularz na incydent.cert.pl.

Prośby o szybki przelew

CERT Polska opisuje dwa typowe scenariusze. W pierwszym „znajomy” pisze z przejętego konta w komunikatorze, że stoi przy kasie, jego karta nie działa i potrzebuje kodu BLIK. W drugim SMS informuje o konieczności dopłaty kilku złotych do paczki lub do przedłużenia usługi.

Co radzi CERT Polska:

• Nie działaj pochopnie. Oszuści liczą na odruch pomocy i na pośpiech.
• Zadzwoń do znajomego na zapisany wcześniej numer. Jeśli nie odbiera, poczekaj z płatnością.
• Przy dopłacie do paczki otwórz stronę lub aplikację firmy kurierskiej i sprawdź, czy w szczegółach przesyłki widnieje opłata.
• Przed zatwierdzeniem płatności przeczytaj opis operacji w aplikacji bankowej: kwotę, rodzaj transakcji i odbiorcę. Dopłata miała wynosić 2 zł, a komunikat pokazuje 20 lub 200 zł? Nie potwierdzaj. Upewnij się też, że zatwierdzasz płatność, a nie dodanie nowego urządzenia do bankowości.

Oszuści przejmują konta w mediach społecznościowych, wyłudzając dane logowania. Wykorzystują też dane z wycieków i sprawdzają, czy to samo hasło działa w innych serwisach. Gdy mają dostęp do konta, piszą do znajomych właściciela. To jeden z powodów, dla których warto mieć osobne hasła do każdej usługi.

Co naprawdę chroni

CERT Polska wymienia narzędzia, które działają, nawet gdy czujność zawiedzie:

• Menedżer haseł przypisuje hasło do konkretnej domeny i nie podpowie go na stronie oszusta. Gdy autouzupełnianie nagle nie działa tam, gdzie zawsze działało, potraktuj to jako ostrzeżenie.
• Passkeys i klucze sprzętowe FIDO2 są powiązane z konkretną witryną, więc fałszywa strona nie ma jak ich wyłudzić. CERT Polska nazywa je dziś najskuteczniejszą ochroną przed phishingiem.
• Uwierzytelnianie dwuskładnikowe znacząco podnosi poprzeczkę, ale oszust może wyłudzić kod z SMS-a lub aplikacji tak samo jak hasło, prosząc o jego przepisanie.
• Aktualizacje systemu, przeglądarki i aplikacji usuwają podatności.

W osobnych materiałach CERT Polska zaleca trzy zasady dla haseł: minimum 14 znaków (najlepiej kilka słów), inne hasło do każdej usługi, weryfikacja dwuetapowa. Instytucja pisze też, że nie ma potrzeby okresowej zmiany hasła. Zmieniasz je, gdy podejrzewasz, że ktoś je poznał.

Na telefonie CERT Polska radzi instalować aplikacje wyłącznie ze sklepu (Google Play, App Store), nie z plików pobranych ze stron, i uważać na prośby o włączenie funkcji „Dostępność” lub „Ułatwienia dostępu”, które na Androidzie mogą pozwolić aplikacji odczytywać ekran i wykonywać czynności w twoim imieniu.

Co zrobić po podaniu danych

Jeśli problem wyszedł na jaw po fakcie, liczy się czas. CERT Polska zaleca, zależnie od tego, co trafiło w ręce oszusta:

1. Skontaktuj się z bankiem tak szybko, jak to możliwe, i zgłoś sprawę. Poproś o zablokowanie karty lub dostępu do bankowości, jeśli oszust zdobył dane logowania albo dane karty.
2. Zmień hasło w serwisie, którego dotyczyło oszustwo, i wszędzie tam, gdzie jest takie samo hasło.
3. Wyloguj wszystkie aktywne sesje i włącz uwierzytelnianie dwuskładnikowe. Sprawdź, czy do konta nie podpięto nieznanych aplikacji lub urządzeń.
4. Zastrzeż numer PESEL, jeśli dane dokumentu tożsamości trafiły do oszusta. Według CERT Polska zrobisz to w aplikacji mObywatel, w serwisie mobywatel.gov.pl lub w urzędzie gminy.
5. Zgłoś sprawę na policję, jeśli doszło do utraty pieniędzy.
6. Ostrzeż bliskich, jeśli oszust przejął twoje konto w mediach społecznościowych. Przejęte konta służą przede wszystkim do wyłudzania pieniędzy od znajomych.

Ten plan opisuje, co zalecają źródła. Nie gwarantuje on odzyskania pieniędzy, a o możliwościach zwrotu środków po nieautoryzowanej transakcji powie ci bank. Strony, z których korzystamy, tego nie opisują.

Jak zgłosić phishing

Do CERT Polska (incydent.cert.pl)

Zgłoszenia przyjmuje CSIRT NASK, w którym obowiązki zespołu reagowania pełni CERT Polska. Na stronie incydent.cert.pl wybierasz najpierw, kogo reprezentujesz. Jako osoba prywatna wybierasz „Osoba fizyczna / inne podmioty”. Potem wskazujesz kategorię. W formularzu są między innymi:

• Złośliwa domena: strony wyłudzające dane osobowe lub środki finansowe. Jednym zgłoszeniem możesz wskazać maksymalnie 50 domen, po jednej w linii, z uzasadnieniem. CERT Polska prosi, by nie zgłaszać tą drogą domen ani adresów e-mail, z których masowo wysyłane są złośliwe wiadomości.
• Podejrzana wiadomość SMS: formularz odsyła do numeru 8080 (niżej).
• Podejrzana wiadomość e-mail: podejrzane załączniki, phishing, szantaż. CERT Polska prosi o zapisanie wiadomości do pliku .eml i dołączenie go do formularza, bo plik zawiera informacje, których zwykłe przekazanie wiadomości nie zawiera. Załączników nie wolno uruchamiać.
• Oszustwo: fałszywe sklepy internetowe i inne próby podszywania się.
• Podejrzany telefon: formularz prosi o numer nadawcy, numer odbiorcy, datę i godzinę połączenia oraz opis tego, za kogo podawał się rozmówca i do czego nakłaniał.

Dane zgłaszającego (e-mail, telefon) są według formularza dobrowolne. Można zaznaczyć, że zgłoszenie jest wyłącznie informacyjne i nie oczekujesz kontaktu zwrotnego, oraz czy zdarzenie doprowadziło do negatywnych skutków. Wysłanie formularza wymaga kliknięcia „Nie jestem robotem”.

SMS na numer 8080

Według strony incydent.cert.pl podejrzaną wiadomość SMS należy przesłać w niezmienionej formie tekstowej na numer 8080. Wiadomość nie powinna zawierać dopisanych komentarzy ani numeru nadawcy. Zgłoszenia w formie MMS (na przykład zrzut ekranu) nie są przetwarzane. Numer jest obsługiwany przez automat, więc nie prowadź rozmowy. Więcej w poradniku o smishingu.

Na policję lub do prokuratury

Portal gov.pl wyjaśnia, że oszustwo zgłaszasz na policji lub w prokuraturze. Możesz to zrobić w dowolnej jednostce policji. Jeśli nie jest właściwa miejscowo, zgłoszenie zostanie przekazane do odpowiedniej. W prokuraturze zgłoszenie przyjmą w godzinach pracy, czyli według gov.pl najczęściej od 8.00 do 16.00. Usługa jest bezpłatna. Gov.pl zaznacza, że zgłosić warto jak najszybciej, a funkcjonariusz spisuje protokół z twoimi zeznaniami. Przygotuj dokument ze zdjęciem. Strona oznacza usługę jako dostępną „zdalnie” i „anonimowo”, ale nie opisuje, jak dokładnie złożyć zawiadomienie w tych trybach.

Portal gov.pl radzi też zgłosić podejrzenie oszustwa policji lub prokuraturze niezwłocznie, a podejrzaną wiadomość e-mail oznaczyć u dostawcy poczty jako spam lub podejrzaną.

Jak się przygotować na kolejne próby

Phishing działa nie dlatego, że jesteśmy nieostrożni, tylko dlatego, że oszuści dobrze naśladują sytuacje, które faktycznie nas spotykają. Kilka nawyków wynika bezpośrednio z zaleceń opisanych wyżej:

• Czytaj domenę, zanim wpiszesz hasło, kod lub dane karty.
• Prośby o pieniądze i dane potwierdzaj inną drogą.
• Miej osobne, długie hasło do każdej ważnej usługi i włącz weryfikację dwuetapową.
• Instaluj aplikacje tylko ze sklepu w telefonie.
• Czytaj opis operacji w aplikacji bankowej.
• Zgłaszaj podejrzane wiadomości. CERT Polska zaznacza, że zgłoszenie pomaga zablokować oszustwo, zanim dotrze do kolejnych osób.

Im więcej twoich danych krąży publicznie, tym łatwiej oszustowi napisać wiadomość, która brzmi wiarygodnie. Dlatego warto wiedzieć, co o tobie widać w sieci. Bezpłatna analiza Remove Me pokazuje m.in. wyniki wyszukiwarki, znane wycieki i obecność w rejestrze brokerów danych. Nie usuwa ona danych i nie blokuje oszustów.

Czego źródła nie mówią

• Strony CERT Polska, NASK i gov.pl nie podają, jak często Polacy padają ofiarą phishingu w 2026 roku. Dlatego nie podajemy takich liczb.
• Nie opisują, kiedy i na jakich zasadach bank zwraca pieniądze po nieautoryzowanej transakcji. Zapytaj o to swój bank.
• Strona gov.pl „Zgłoś przestępstwo” nie opisuje osobnego formularza dla oszustw internetowych. Podaje tylko ogólną ścieżkę: policja lub prokuratura. Czy w twojej sprawie można złożyć zawiadomienie zdalnie, sprawdź na stronie policji lub w jednostce [À VÉRIFIER].
• Strony nie wskazują, czy i jak CERT Polska odpowiada na każde zgłoszenie. Formularz pozwala zaznaczyć, że nie oczekujesz kontaktu zwrotnego.

Masz wątpliwości, co zrobić w twojej sytuacji? Najpewniejsza droga to kontakt z bankiem pod numerem z aplikacji lub z karty, a w razie straty pieniędzy zgłoszenie na policji.

Źródła

Wszystkie źródła zostały odczytane 31 października 2026.

• CERT Polska, Phishing: jak rozpoznać oszustwo i nie dać się nabrać: https://wiedza.cert.pl/bezpieczenstwo-osobiste/rozpoznanie-phishingu/
• Gov.pl, Czym jest phishing i jak nie dać się nabrać na podejrzane wiadomości e-mail oraz SMS-y: https://www.gov.pl/web/baza-wiedzy/czym-jest-phishing-i-jak-nie-dac-sie-nabrac-na-podejrzane-widomosci-e-mail-oraz-sms-y
• CERT Polska, Zgłoś incydent: https://incydent.cert.pl/
• CERT Polska, Uważaj na fałszywe załączniki w mailach: https://cert.pl/falszywe-zalaczniki/
• CERT Polska, Uważaj na fałszywe prośby o szybki przelew: https://cert.pl/szybkie-przelewy/
• CERT Polska, Zadbaj o bezpieczne hasła i logowanie: https://cert.pl/bezpieczne-hasla/
• CERT Polska, Włącz weryfikację dwuetapową: https://cert.pl/2etapy/
• CERT Polska, Bezpieczeństwo w Twojej kieszeni: https://cert.pl/bezpieczny-telefon/
• Gov.pl, Zgłoś przestępstwo: https://www.gov.pl/web/gov/zglos-przestepstwo
• NASK, Mocny powrót oszustw na „niedostarczoną paczkę”: https://www.nask.pl/aktualnosci/mocny-powrot-oszustw-na-niedostarczona-paczke