Ponad 90% udanych cyberataków zaczyna się od e-maila. Nie od luki w systemie, nie od słabego hasła a od wiadomości, którą ktoś z twojego zespołu otworzył i kliknął. Dla firm bez dedykowanego działu IT to szczególnie realne zagrożenie: nikt nie weryfikuje podejrzanych wiadomości, nie ma procedur, a pracownicy działają instynktownie. Ten artykuł daje ci konkretną listę 10 sygnałów ostrzegawczych, które pozwolą rozpoznać phishingowy e-mail bez wiedzy technicznej i bez dodatkowego oprogramowania.
Phishing to nie problem „innych firm”, to problem twojego zespołu
Problem nie tkwi w złej woli pracowników. Phishingowe e-maile wyglądają coraz bardziej wiarygodnie – imitują wiadomości od banków, kurierów, urzędów skarbowych, a nawet od prezesa firmy. Bez wiedzy, na co patrzeć, każdy może dać się nabrać.
Na końcu artykułu znajdziesz również informacje o tym, co warto wdrożyć, gdy sama czujność pracowników to za mało i gdzie zaczyna się rola technicznej ochrony sieci firmowej.
Czym jest phishing i dlaczego firmy są głównym celem?
Phishing to atak socjotechniczny, w którym przestępca podszywa się pod zaufaną osobę lub instytucję, żeby wyłudzić dane logowania, dane płatnicze lub nakłonić odbiorcę do konkretnego działania: przelewu, kliknięcia w link, pobrania załącznika. Nazwa pochodzi od angielskiego „fishing”: zarzucasz przynętę i czekasz, kto kliknie.
Małe i średnie firmy są atakowane częściej niż duże korporacje nie dlatego, że mają więcej do stracenia, ale dlatego, że mają mniej zabezpieczeń. Korporacja ma dział SOC, filtry antyspamowe klasy enterprise i procedury raportowania incydentów. Firma 30-osobowa zazwyczaj nie ma nic poza standardowym antywirusem i zdrowym rozsądkiem pracowników.
Warto znać trzy główne warianty ataku:
- Phishing masowy – wiadomości wysyłane do tysięcy odbiorców jednocześnie; mało spersonalizowane, ale skuteczne statystycznie.
- Spear phishing – atak celowany w konkretną osobę lub firmę; wiadomość zawiera dane charakterystyczne dla odbiorcy (imię, nazwa firmy, stanowisko), co znacząco zwiększa jej wiarygodność.
- Spoofing e-mail – technika, w której nadawca fałszuje adres e-mail tak, by wyglądał jak zaufane źródło: bank, urząd, twój własny prezes.
Social engineering, czyli manipulacja psychologiczna, leży u podstaw każdego z tych ataków. Przestępca nie łamie zabezpieczeń technicznych – nakłania człowieka, żeby sam je ominął.
10 sygnałów, że e-mail może być phishingiem
Poniższe sygnały nie wykluczają się wzajemnie: im więcej z nich dostrzegasz w jednej wiadomości, tym większe prawdopodobieństwo ataku. Jeden sygnał to powód do ostrożności. Trzy naraz to powód, żeby nie klikać niczego i natychmiast zgłosić wiadomość.
1. Adres nadawcy nie zgadza się z treścią wiadomości
To pierwszy i najważniejszy sygnał, jak rozpoznać phishingowy e-mail. Wiadomość może wyglądać jak e-mail z banku, ale w polu „Od:” zobaczysz coś zupełnie innego. Sprawdź dokładny adres, nie tylko wyświetlaną nazwę. Przestępcy stosują adresy takie jak kontakt@ing-bank-pl.com zamiast prawdziwej domeny instytucji.
Szczególnie podejrzane są adresy z:
- dodatkowymi słowami w domenie (np. allegro-bezpieczenstwo.pl),
- literówkami w nazwie firmy (amaZon.com),
- losowymi ciągami znaków po znaku @,
- domenami z innych krajów przy wiadomościach od polskich instytucji.
2. Wiadomość wywołuje presję czasową lub strach
„Twoje konto zostanie zablokowane za 24 godziny.” „Natychmiast potwierdź swoją tożsamość.” „Brak reakcji skutkuje konsekwencjami prawnymi.”, to klasyczne sformułowania phishingowe. Celem jest wyłączenie racjonalnego myślenia i nakłonienie do kliknięcia bez zastanowienia.
Legalne instytucje finansowe, urzędy i dostawcy usług nie komunikują się w ten sposób. Jeśli e-mail wywołuje natychmiastowy stres, zatrzymaj się. To celowy zabieg.
3. Link prowadzi gdzie indziej, niż sugeruje tekst
Przed kliknięciem najedź kursorem na link i sprawdź, dokąd faktycznie prowadzi – adres pojawi się w lewym dolnym rogu przeglądarki lub klienta pocztowego. Jeśli tekst linku mówi „zaloguj się do Portalu mBanku”, ale adres URL wygląda zupełnie inaczej, to phishing.
Zwróć uwagę na:
- linki skrócone (bit.ly, tinyurl) – ukrywają rzeczywisty adres,
- adresy bardzo długie z wieloma parametrami,
- adresy zaczynające się od numeru IP zamiast nazwy domeny (np. http://192.168.1.1/login),
- protokół HTTP zamiast HTTPS – brak szyfrowania to dodatkowy sygnał ostrzegawczy.
4. Prośba o dane, których żadna instytucja nie powinna wysyłać e-mailem
Bank, ZUS, urząd skarbowy, dostawca hostingu, żadna z tych instytucji nie prosi e-mailem o podanie hasła, numeru karty płatniczej ani kodu PIN. Jeśli wiadomość zawiera taką prośbę to phishing, bez wyjątku.
To samo dotyczy prośby o „weryfikację” przez kliknięcie w link do strony logowania. Jeśli musisz się gdzieś zalogować, wejdź na stronę bezpośrednio przez przeglądarkę. nigdy przez link z e-maila.
5. Błędy językowe i nienaturalne sformułowania
Phishingowe e-maile często zawierają błędy ortograficzne, gramatyczne lub sztucznie brzmiące frazy – efekt maszynowego tłumaczenia lub pracy osób słabo znających język. Przykłady: „Drogi Użytkowniku, Twoja konto wymaga weryfikację”, „Prosimy o potwierdzić swoje dane.”
Ważna uwaga: ataki spear phishingowe są coraz lepiej napisane. Błędy językowe to sygnał, ale ich brak nie świadczy o autentyczności wiadomości.
6. Nieoczekiwany załącznik
Nie zamawiałeś żadnej faktury, a dostajesz „Faktura_11_2024.pdf”? Nigdy nie składałeś wniosku, a masz „Potwierdzenie_wniosku.docx”? Phishingowe załączniki mogą zawierać złośliwe oprogramowanie, które uruchamia się przy otwarciu pliku.
Szczególnie niebezpieczne formaty to: .exe, .js, .vbs, .zip, .docm, .xlsm (pliki z makrami Office). Nawet zwykły PDF może być spreparowany. Jeśli nie spodziewasz się załącznika, nie otwieraj go bez weryfikacji nadawcy przez inny kanał (telefon, czat).
7. Wiadomość od „prezesa” lub „zarządu” z nietypową prośbą
Dostajesz e-mail od CEO z prośbą o pilny przelew lub udostępnienie danych logowania „bo jestem na spotkaniu i nie mam dostępu”. To klasyczny atak Business Email Compromise (BEC), wariant spear phishingu skierowany przeciwko pracownikom finansowym lub administracyjnym.
Procedura jest prosta: każda niestandardowa prośba finansowa lub dostępowa. nawet od przełożonego wymaga weryfikacji telefonicznej lub osobistej. E-mail nie jest wystarczającym dowodem tożsamości.
8. Strona, na którą prowadzi link, wygląda „prawie jak prawdziwa”
Przestępcy tworzą strony będące kopiami prawdziwych serwisów – banku, poczty, platformy e-commerce. Różnica to często jedna litera w adresie URL lub nieco inna szata graficzna. Zanim podasz jakiekolwiek dane, sprawdź dokładnie pasek adresu w przeglądarce pełną domenę, nie tylko jej fragment.
9. Wiadomość dotyczy sprawy, o której nic nie wiesz
„Twoja paczka czeka na odbiór”, a nic nie zamawiałeś. „Masz niezapłaconą fakturę”, a żadnej nie wystawiałeś. „Twoje konto zostało zablokowane”, a nigdy nie miałeś konta w tej instytucji. Jeśli kontekst e-maila jest dla ciebie niezrozumiały. nie klikaj „żeby sprawdzić”. To pułapka.
10. Nadawca prosi o poufność lub działanie „poza procedurami”
„Nie informuj o tym nikogo z działu IT, to pilna sprawa.” „Zrób to zanim wróci szef.” „Pomiń normalne procedury, czas gra rolę.” – takie sformułowania mają na celu izolację ofiary od osób, które mogłyby zidentyfikować atak. W normalnej korespondencji biznesowej tego rodzaju prośby po prostu nie występują.
Co zrobić, gdy dostaniesz podejrzanego maila?
Kilka kroków, które każdy pracownik powinien znać na pamięć:
- Nie klikaj żadnych linków ani załączników – nawet jeśli „tylko chcesz sprawdzić”.
- Nie odpowiadaj na wiadomość – odpowiedź potwierdza przestępcy, że adres jest aktywny.
- Zgłoś wiadomość do osoby odpowiedzialnej za IT – wewnętrznie lub do zewnętrznego dostawcy IT, jeśli korzystasz z outsourcingu.
- Oznacz jako spam lub phishing w kliencie pocztowym – to trenuje filtry i chroni innych użytkowników w organizacji.
- Jeśli już kliknąłeś – natychmiast odłącz urządzenie od sieci (Wi-Fi i kabel) i poinformuj dział IT. Czas reakcji ma kluczowe znaczenie.
- Nie usuwaj wiadomości – może być potrzebna do analizy incydentu.
Sama czujność pracowników to za mało – warstwa techniczna ochrony
Szkolenie pracowników jest niezbędne, ale niewystarczające. Nawet po profesjonalnych szkoleniach część osób daje się nabrać na symulowane ataki phishingowe – szczególnie w zabieganym dniu pracy, gdy koncentracja spada. Ludzie popełniają błędy i żadna edukacja tego w pełni nie wyeliminuje.
Dlatego obok edukacji potrzebna jest warstwa techniczna, która wyłapuje zagrożenia zanim dotrą do skrzynki odbiorczej lub zanim kliknięty link zdąży wyrządzić szkodę. Co konkretnie wchodzi w grę:
- Filtrowanie poczty – systemy antyspamowe i antymalware na poziomie serwera pocztowego zatrzymują większość phishingu masowego, zanim trafi do pracownika.
- Uwierzytelnianie e-mail (SPF, DKIM, DMARC) – mechanizmy techniczne utrudniające spoofing domeny. Jeśli twoja firma nie ma skonfigurowanego DMARC, każdy może wysyłać e-maile pozornie „od” twojej domeny.
- Firewall nowej generacji (NGFW) – urządzenia takie jak Fortinet FortiGate analizują ruch sieciowy w czasie rzeczywistym i blokują połączenia z podejrzanymi domenami, nawet jeśli pracownik kliknął już w phishingowy link.
- Kontrola dostępu do sieci – rozwiązania klasy NAC, takie jak Fortinet FortiNAC, pilnują, które urządzenia mają dostęp do zasobów firmy i mogą izolować zainfekowane stacje zanim zagrożenie się rozprzestrzeni.
- Bezpieczna infrastruktura Wi-Fi – niezabezpieczona lub źle skonfigurowana sieć bezprzewodowa to osobna luka. Profesjonalne punkty dostępowe, np. z linii Fortinet FortiAP, pozwalają segmentować ruch i egzekwować polityki bezpieczeństwa na poziomie sieci.
Jeśli nie masz pewności, czy twoja firma jest odpowiednio zabezpieczona, dobry punkt startowy to audyt IT. Pozwala ustalić, które elementy infrastruktury wymagają uwagi, zanim zrobi to za ciebie atakujący.
Chcesz sprawdzić, jak wygląda bezpieczeństwo IT w twojej firmie? Skontaktuj się z DreamITeam – pomożemy dobrać ochronę dopasowaną do skali i specyfiki twojego biznesu.