Spear phishing: co to jest i jak rozpoznać spersonalizowany atak

Zwykły phishing przypomina sieć zarzuconą na wielu ludzi naraz. Spear phishing, czyli „łowienie włócznią”, jest jak rzut w jedną rybę. Wiadomość powstaje z myślą o konkretnej osobie, wspomina jej współpracowników, zakupy lub zlecenia, więc trudniej uznać ją za przypadkową. Ten artykuł wyjaśnia, czym jest spear phishing, skąd oszust bierze szczegóły i jak sprawdzić, czy prośba jest prawdziwa. Opieramy się na gov.pl i CERT Polska (zespół działający w NASK).

Trzymamy się tego, co piszą te instytucje. Gdy ich strony czegoś nie mówią, zaznaczamy to wprost. To informacja ogólna, nie porada prawna ani bankowa dla twojej sytuacji. Podstawy phishingu opisujemy w poradniku Phishing: jak go rozpoznać, uniknąć i zgłosić.

Co zrobić, gdy wiadomość brzmi bardzo osobiście

1. Zatrzymaj się przy prośbie o pieniądze, dane lub kod. To dobry moment, by nie działać pochopnie.
2. Nie klikaj w link i nie otwieraj załącznika, dopóki nie masz pewności, że nadawca jest prawdziwy.
3. Sprawdź domenę nadawcy i linku. Według CERT Polska to jedyna informacja, której nie da się podrobić. Wygląd, logo i podpis mogą być kopią.
4. Potwierdź prośbę inną drogą, na przykład telefonem pod numer, który już masz.
5. Zgłoś wiadomość przez formularz na incydent.cert.pl. W firmie powiadom też dział IT.

Chcesz zobaczyć, ile o tobie da się znaleźć publicznie, zanim zrobi to oszust? Bezpłatna analiza Remove Me przeszukuje widoczne publicznie wyniki wyszukiwania, znane wycieki danych (Have I Been Pwned) i rejestr brokerów danych. Raport otwierasz sześciocyfrowym kodem wysłanym e-mailem, bez zakładania konta. Remove Me nie filtruje poczty i nie blokuje oszustów.

Rozpocznij bezpłatną analizę

Czym jest spear phishing

Gov.pl definiuje spear-phishing jako szczególny rodzaj phishingu: atak ukierunkowany na konkretnego adresata, mający na celu wywarcie określonego wpływu lub wymuszenie działania wobec odbiorcy. Przestępcy mogą podszywać się pod partnerów biznesowych, z którymi współpracujesz, a wiadomość bywa spersonalizowana, czyli bezpośrednio odwołuje się do twoich relacji.

Dla porównania: phishing w ujęciu CERT Polska to ogólnie oszustwo oparte na socjotechnice, w którym atakujący podszywa się pod kogoś, komu ufasz, na przykład pod bank, kuriera, urząd, sklep, pracodawcę, a nawet członka rodziny. Rozsyła się go masowo, więc zawsze trafi na kogoś, kto akurat czeka na paczkę lub wystawił ogłoszenie. Spear phishing nie zdaje się na przypadek. Ofiara jest wybrana wcześniej.

Źródła, które czytaliśmy, nie dzielą spear phishingu na dalsze odmiany ani nie podają ich oficjalnych nazw. Nie wprowadzamy więc dodatkowych pojęć.

Skąd oszust zna szczegóły

Gov.pl pisze, że taki atak jest często poprzedzony dokładnym rozpoznaniem przez atakującego: firmy, urzędu lub danych, które są dostępne o tobie w mediach społecznościowych. Z tego wynikają dwa wnioski.

Publiczne informacje mają znaczenie. Imię i nazwisko, stanowisko, miejsce pracy, znajomi, zlecenia czy ostatnie zakupy, jeśli są widoczne w internecie, ułatwiają napisanie wiadomości, która brzmi wiarygodnie. Źródła nie mówią, jakich dokładnie danych używają przestępcy w konkretnych atakach, więc nie robimy listy.

Przejęte konta zasilają kolejne ataki. CERT Polska zaznacza, że informacje pozyskane w wyniku przejęcia konta mogą zostać wykorzystane do przygotowania kolejnych, bardziej precyzyjnych ataków wymierzonych w właściciela konta i w osoby z jego otoczenia. Oszuści przejmują konta w mediach społecznościowych, wyłudzając dane do logowania. Gdy mają dostęp do konta, otwierają czaty i podszywają się pod jego właściciela. Piszą do znajomych, z którymi ostatnio się kontaktował, i proszą o pilną pomoc.

To nasz wniosek, a nie zapis z przeczytanych stron: dane z wycieku mogą ułatwić napisanie wiarygodnej wiadomości. Co zrobić po wycieku, opisujemy w poradniku Wyciek danych: co robić.

Jak może wyglądać taka wiadomość

Poniższe scenariusze wynikają z opisów gov.pl i CERT Polska. Nie opisujemy konkretnych przypadków z nazwami firm, bo nie mamy na to źródeł.

• Wiadomość „od partnera biznesowego”. Gov.pl wymienia podszywanie się pod osoby, z którymi współpracujesz. Treść odwołuje się do prawdziwych relacji, a w środku jest link, załącznik lub prośba o zmianę danych.
• Prośba „od znajomego”. CERT Polska opisuje sytuację, w której oszust z przejętego konta pisze do kilkunastu osób, z którymi właściciel ostatnio rozmawiał, i prosi o kod BLIK lub przelew. Liczy na to, że choć jedna osoba zareaguje pochopnie.
• Pilna prośba o przelew. CERT Polska zalicza do typowych sygnałów prośbę o przelew na „nowy” numer konta, przeniesienie rozmowy na komunikator albo prośbę o kod.
• Wiadomość z pracy. Atakujący, który rozpoznał firmę lub urząd, może podszyć się pod przełożonego lub kontrahenta. Źródła nie wymieniają tu konkretnych wzorów, więc nie podajemy przykładów.

W każdym z tych wariantów schemat jest ten sam co w zwykłym phishingu. CERT Polska podkreśla, że chodzi o to, żebyś wykonał czynność, która przekazuje oszustowi dostęp, pieniądze lub tożsamość.

Po czym poznać, że coś jest nie tak

CERT Polska wymienia sygnały, które powtarzają się w wiadomościach phishingowych:

• Presja czasu. Konto zostanie zablokowane, oferta wygasa za godzinę.
• Silna emocja. Nieautoryzowana transakcja, kłopoty bliskiej osoby, sensacyjna informacja.
• Nietypowy kanał lub prośba. Przeniesienie rozmowy na komunikator, prośba o kod, instalację programu albo przelew na „nowy” numer konta.
• Nieoczekiwany kontakt, zwłaszcza gdy nadawca podaje się za kogoś bliskiego.

W spear phishingu najgroźniejsze jest to, że część tych sygnałów może zniknąć. Gov.pl radzi wprawdzie zwracać uwagę na błędy, brak polskich znaków i ogólne zwroty typu „cenionego klienta”, ale w wiadomości przygotowanej pod ciebie nazwisko będzie poprawne. CERT Polska ostrzega, że wiadomości bywają dziś napisane bez błędów i idealnie wpasowane w kontekst, a brak sygnałów niczego nie dowodzi.

Dlatego zamiast szukać błędów, sprawdzaj dwie rzeczy:

1. Domenę. CERT Polska podkreśla, że jedyną informacją, której nie da się podrobić, jest domena widoczna w pasku adresu. Gov.pl dodaje, że warto zwracać uwagę na nazwy stron w podejrzanych wiadomościach, bo zamiast prawdziwego adresu może być użyty podobny, fałszywy. Sprawdź też, czy adres nadawcy zgadza się z podpisem pod treścią i czy nazwa nadawcy nie tylko naśladuje kogoś, kogo znasz.
2. Czego wiadomość od ciebie chce. Jeśli prośba dotyczy pieniędzy, kodów, logowania lub danych osobowych, potwierdź ją innym kanałem. CERT Polska radzi zadzwonić pod numer, który już znasz.

Co chroni, nawet gdy czujność zawiedzie

CERT Polska zaznacza, że świadomość jest podstawą, ale warto ją wesprzeć narzędziami.

• Menedżer haseł przypisuje zapisane hasło do konkretnej domeny i nie podpowie go na stronie oszusta. Jeśli autouzupełnianie nagle nie działa tam, gdzie zawsze działało, potraktuj to jako ostrzeżenie. Szerzej: Menedżer haseł: wybór i użycie.
• Passkeys i klucze sprzętowe FIDO2 są powiązane kryptograficznie z konkretną witryną, więc fałszywa strona nie ma jak ich wyłudzić. CERT Polska nazywa je dziś najskuteczniejszą ochroną przed phishingiem.
• Uwierzytelnianie dwuskładnikowe podnosi poprzeczkę, ale oszust może wyłudzić kod z SMS-a lub z aplikacji tak samo jak hasło, prosząc o jego przepisanie. Przeczytaj Uwierzytelnianie dwuskładnikowe.
• Aktualizacje systemu, przeglądarki i aplikacji usuwają podatności. CERT Polska zaznacza, że ataki wykorzystujące niezałatane luki są rzadkie, kosztowne i zwykle wymierzone w konkretne osoby, na przykład polityków, dziennikarzy czy działaczy społecznych. Przed nimi chroni regularne aktualizowanie oprogramowania.
• Opis operacji przed zatwierdzeniem. Zanim zatwierdzisz płatność kodem z SMS-a lub w aplikacji bankowej, przeczytaj opis operacji, a nie tylko cyfry. To jedyne miejsce, w którym zobaczysz, co autoryzujesz.

Dla kont firmowych i współdzielonych CERT Polska opisuje dodatkowo zasadę najmniejszych uprawnień: każdy użytkownik ma indywidualne konto, a uprawnienia administratora ma tylko osoba do tego wyznaczona. Przejęcie konta z szerokimi uprawnieniami ma dotkliwsze skutki niż przejęcie konta zwykłego użytkownika.

Co zrobić po kliknięciu lub podaniu danych

Sprawa wyszła na jaw po fakcie? Liczy się czas. Poniższe kroki pochodzą z zaleceń CERT Polska i gov.pl.

• Samo kliknięcie jest w zdecydowanej większości przypadków nieszkodliwe, pisze CERT Polska. Problem zaczyna się, gdy na otwartej stronie coś zrobisz: podasz dane, przepiszesz kod, potwierdzisz operację lub zainstalujesz aplikację.
• Skontaktuj się z bankiem tak szybko, jak to możliwe, jeśli dane logowania, dane karty lub kod trafiły do oszusta. Poproś o zablokowanie karty albo dostępu do bankowości.
• Zmień hasło w serwisie, którego dotyczył atak, i wszędzie tam, gdzie ustawiono to samo hasło. Wyloguj aktywne sesje, włącz uwierzytelnianie dwuskładnikowe i sprawdź, czy do konta nie podpięto nieznanych aplikacji lub urządzeń.
• Zastrzeż numer PESEL, jeśli dane dokumentu tożsamości trafiły do oszusta. CERT Polska wskazuje aplikację mObywatel, serwis mObywatel.gov.pl i urząd gminy. Krok po kroku: Jak zastrzec PESEL.
• Ostrzeż bliskich, jeśli oszust przejął twoje konto w mediach społecznościowych. Przejęte konta służą przede wszystkim do wyłudzania pieniędzy od znajomych. CERT Polska radzi też wysłać informację o nieuprawnionym dostępie wszystkim, którzy mogli dostać wprowadzającą w błąd korespondencję.
• Zgłoś sprawę. Gov.pl zachęca, by zgłosić podejrzenie oszustwa Policji lub prokuraturze, a próbę phishingu dodatkowo CERT Polska przez formularz na incydent.cert.pl.

Jeśli wiadomość przyszła na służbowy adres, poinformuj dział IT, zespół bezpieczeństwa lub osobę odpowiedzialną za obsługę incydentów. CERT Polska zaznacza, że w przypadku kont organizacyjnych incydent powinien zostać zgłoszony niezwłocznie.

Jak ograniczyć materiał do personalizacji

Nie da się całkowicie zniknąć z internetu, a źródła, które czytaliśmy, nie opisują sposobu, który by to gwarantował. Są jednak rzeczy, które możesz zrobić na własną rękę:

• Przejrzyj ustawienia prywatności w mediach społecznościowych: co widzą osoby spoza grona znajomych.
• Zadbaj o konto e-mail powiązane z kontami społecznościowymi. CERT Polska zaznacza, że przejęcie jednego z nich z dużym prawdopodobieństwem może skutkować dostępem do drugiego.
• Sprawdź, jakie dane o tobie są widoczne publicznie i w wyciekach. Do tego służy bezpłatna analiza Remove Me. To ty decydujesz, co z wynikami zrobić.

Czego źródła nie mówią

• Strony gov.pl i CERT Polska, które przeczytaliśmy, nie podają liczby ataków spear phishingowych w Polsce ani ich skuteczności. Dlatego nie piszemy żadnych statystyk.
• Nie opisują konkretnych technik rozpoznania ofiary poza ogólnym wskazaniem mediów społecznościowych i danych o firmie lub urzędzie.
• CERT Polska nie definiuje spear phishingu na przeczytanych stronach. Definicja pochodzi z gov.pl.
• Nie opisują procedur odzyskiwania pieniędzy w konkretnym banku. Zapytaj swój bank.

Źródła

Wszystkie źródła zostały odczytane 31 października 2026.

• Gov.pl, Czym jest phishing i jak nie dać się nabrać na podejrzane wiadomości e-mail oraz SMS-y: https://www.gov.pl/web/baza-wiedzy/czym-jest-phishing-i-jak-nie-dac-sie-nabrac-na-podejrzane-widomosci-e-mail-oraz-sms-y
• CERT Polska, Phishing: jak rozpoznać oszustwo i nie dać się nabrać: https://wiedza.cert.pl/bezpieczenstwo-osobiste/rozpoznanie-phishingu/
• CERT Polska, Bezpieczeństwo kont na social mediach: https://wiedza.cert.pl/bezpieczenstwo-osobiste/profilaktyka-sm/
• CERT Polska, Uważaj na fałszywe prośby o szybki przelew: https://cert.pl/szybkie-przelewy/
• CERT Polska, Zgłoś incydent: https://incydent.cert.pl/