Podejrzany mail trzeba zgłosić od razu do CERT Polska, a jeśli podszywa się pod bank, kuriera albo sklep — także do tej konkretnej firmy. To ważne, bo jedno kliknięcie w fałszywy link często kończy się przejęciem hasła, danych karty albo dostępu do skrzynki.
Jeśli w skrzynce pojawiły się podejrzane maile z dopłatą do paczki, blokadą konta lub fakturą, liczy się nie tylko ostrożność, ale też właściwe zgłoszenie. Dobre zgłoszenie pomaga zablokować kampanię phishingową i ograniczyć dalsze wyłudzenia. Poniżej wprost: gdzie zgłaszać takie wiadomości, jak je rozpoznać, co zrobić po kliknięciu i jak zabezpieczyć dane krok po kroku. Bez teorii oderwanej od praktyki.
Gdzie zgłaszać podejrzane maile w Polsce
Podejrzane maile zgłasza się w Polsce do CERT Polska. To podstawowy adres i pierwszy punkt kontaktu przy phishingu, fałszywych fakturach, podszywaniu się pod firmy i wiadomościach z zainfekowanym załącznikiem.
Najważniejsze kanały zgłoszeń to:
- CERT Polska — przez formularz na stronie incydent.cert.pl
- CERT Polska — mailowo na [email protected], najlepiej z przekazaniem pełnej wiadomości
- Dział bezpieczeństwa firmy, pod którą podszywa się nadawca — np. bank, InPost, DHL, OLX, Allegro
- Dostawca poczty — np. w Gmail opcją „Zgłoś phishing”, w Outlook „Report phishing”
Jeśli mail dotyczy pieniędzy, sprawa nie kończy się na samym zgłoszeniu do CERT. Gdy wiadomość podszywa się pod bank, trzeba dodatkowo skontaktować się z bankiem przez oficjalną infolinię lub aplikację. W przypadku kont firmowych warto powiadomić również dział IT i administratora domeny.
Samo usunięcie wiadomości nie zatrzymuje oszustów. Zgłoszenie do CERT Polska zwiększa szansę na blokadę domeny, linku albo infrastruktury wykorzystywanej w kampanii.
Jak rozpoznać phishing i inne niebezpieczne wiadomości
Phishing zawsze próbuje wymusić pośpiech. To najbardziej powtarzalna cecha takich maili. Nadawca straszy blokadą konta, naliczeniem opłaty, anulowaniem przesyłki albo „ostatnim wezwaniem” do działania w ciągu 24 godzin czy nawet 15 minut.
Typowe sygnały ostrzegawcze są konkretne:
- adres nadawcy nie zgadza się z marką, np. wiadomość „od banku” przychodzi z domeny typu @konto-veryfikacja.com
- link po najechaniu kursorem prowadzi gdzie indziej niż tekst przycisku
- załącznik ma rozszerzenie .zip, .7z, .html, .iso albo dokument Office prosi o włączenie makr
- mail żąda logowania, podania kodu BLIK, numeru karty lub dopłaty 1,99 zł do przesyłki
- w treści są błędy językowe, dziwny układ znaków lub brak polskich liter
Nie każdy fałszywy mail wygląda prymitywnie. Dobrze przygotowane kampanie wykorzystują logo PKO BP, mBanku, ING, Allegro czy Microsoft 365. Potrafią też kopiować stopki, kolory i szablony prawdziwych wiadomości.
Co najczęściej udają oszuści
Najczęstsze scenariusze są dość stałe. To „dopłata do paczki” podszywająca się pod InPost, DHL lub DPD, „blokada konta” od banku, „nieopłacona faktura” w załączniku oraz „nowa wiadomość głosowa” z plikiem HTML lub ZIP. Osobną kategorią są maile z przejętych skrzynek firmowych, w których prawdziwy kontrahent wysyła spreparowaną fakturę po włamaniu na konto.
Najgroźniejsze są wiadomości, które nie proszą od razu o dane, tylko otwierają etap pośredni: fałszywą stronę logowania do Microsoft 365, panelu banku albo konta pocztowego. Taki atak kończy się przejęciem skrzynki i dalszym rozsyłaniem wiadomości z zaufanego adresu.
Jak zgłosić podejrzany mail poprawnie, żeby zgłoszenie miało wartość
Nie wolno zgłaszać podejrzanej wiadomości przez zrzut ekranu jako jedyny materiał. Screen pokazuje treść, ale zwykle nie zawiera pełnych nagłówków i technicznych danych potrzebnych do analizy.
Najlepsza praktyka wygląda tak:
- Nie klikać linków i nie otwierać załączników.
- Przekazać wiadomość dalej jako załącznik albo użyć opcji „forward as attachment”.
- Dołączyć informację, czy link został kliknięty i czy podano jakiekolwiek dane.
- Jeśli to możliwe, skopiować pełny adres URL strony phishingowej.
- Dopisać datę, godzinę i nazwę usługi, pod którą ktoś się podszywał.
W Gmail pełne nagłówki można sprawdzić przez „Pokaż oryginał”. W Outlook służy do tego podgląd właściwości wiadomości lub opcja zapisania maila w formacie .msg. Dla analityka bezpieczeństwa nagłówki „Received”, „Return-Path” i „Message-ID” mają większą wartość niż sam tekst wiadomości.
| Miejsce zgłoszenia | Kiedy użyć | Co wysłać | Efekt dla użytkownika |
|---|---|---|---|
| CERT Polska incydent.cert.pl / [email protected] |
Phishing, złośliwy załącznik, podszywanie pod markę | Mail jako załącznik, link, opis zdarzenia | Szansa na analizę i blokadę domeny lub kampanii |
| Bank / firma np. PKO BP, mBank, InPost |
Podszycie pod konkretną markę | Treść maila, adres nadawcy, link, godzina | Ostrzeżenia dla klientów, wewnętrzna blokada, reakcja fraudowa |
| Dostawca poczty Gmail, Outlook, WP, Onet |
Spam i phishing trafiający regularnie do skrzynki | Oznaczenie w interfejsie, czasem pełny mail | Lepsze filtrowanie podobnych wiadomości |
| Policja | Kradzież pieniędzy, przejęcie konta, szantaż | Zgłoszenia, potwierdzenia przelewów, logi, korespondencja | Postępowanie karne i zabezpieczenie dowodów |
Co zrobić, jeśli link został kliknięty albo dane już wyciekły
Po wpisaniu hasła na fałszywej stronie trzeba je zmienić natychmiast. Nie za godzinę, nie wieczorem. Jeśli to samo hasło było używane w kilku miejscach, zmianę trzeba wykonać wszędzie, zaczynając od poczty.
Kolejność działania ma znaczenie. Najpierw należy zabezpieczyć skrzynkę e-mail, bo to ona służy do resetu haseł w innych usługach. Potem trzeba sprawdzić bank, media społecznościowe, konta zakupowe i chmurę, np. Google, Microsoft, Dropbox.
Plan awaryjny po kliknięciu
- zmienić hasło i włączyć 2FA, najlepiej aplikacją typu Google Authenticator lub Microsoft Authenticator
- wylogować wszystkie aktywne sesje na koncie pocztowym i w usługach powiązanych
- przeskanować komputer programem antywirusowym, np. Microsoft Defender, ESET, Bitdefender
- sprawdzić reguły przekazywania poczty i filtry w skrzynce — napastnicy często ustawiają automatyczne przekierowania
- w przypadku banku zastrzec dostęp i zadzwonić na oficjalną infolinię
Jeśli podano numer karty, trzeba skontaktować się z bankiem od razu i rozważyć zastrzeżenie karty. Jeśli podano kod BLIK i doszło do wypłaty lub przelewu, liczy się czas reakcji mierzony w minutach. W przypadku konta firmowego warto dodatkowo zmienić hasła do VPN, panelu hostingu i rejestratora domeny.
Przejęta skrzynka e-mail to nie drobiazg. Napastnik używa jej do resetu haseł, wyłudzania faktur i podszywania się pod właściciela wobec klientów oraz kontrahentów.
Jak chronić swoje dane przed kolejnymi atakami
To nie ostrożność, tylko dobre nawyki techniczne realnie obniżają ryzyko. Samo „uważanie na maile” nie wystarcza, jeśli wszędzie używane jest to samo hasło i brak drugiego składnika logowania.
Najważniejsze zabezpieczenia są proste i skuteczne. Hasła powinny być unikalne dla każdej usługi, najlepiej przechowywane w menedżerze takim jak Bitwarden, 1Password albo KeePass. Do kluczowych kont — poczty, bankowości, marketplace’ów i chmury — trzeba włączyć 2FA. Aktualizacje systemu Windows 11, macOS czy Androida nie są kosmetyką; usuwają luki wykorzystywane przez złośliwe załączniki i strony.
Dobrą praktyką jest też oddzielenie adresów e-mail. Jeden adres do banku i spraw urzędowych, drugi do zakupów i newsletterów. Gdy wycieknie konto używane w sklepach, nie ciągnie to od razu za sobą dostępu do najważniejszych usług.
Które dane są najcenniejsze dla oszustów
Najbardziej opłacalny dla przestępcy zestaw to: adres e-mail, hasło, numer telefonu i dostęp do SMS-ów lub aplikacji uwierzytelniającej. Sam numer PESEL nie daje pełnego dostępu do kont, ale w połączeniu z resztą danych zwiększa ryzyko podszycia się i wyłudzeń. Dlatego po poważnym incydencie warto rozważyć zastrzeżenie numeru PESEL w systemie publicznym, jeśli sytuacja tego wymaga.
Czego nigdy nie robić z podejrzaną wiadomością
Na podejrzany mail nigdy nie należy odpowiadać. Odpowiedź potwierdza, że adres jest aktywny i obsługiwany przez człowieka. To zwiększa wartość skrzynki dla spamerów i oszustów.
Nie wolno też:
otwierać załączników „żeby zobaczyć, co tam jest”, logować się przez link z wiadomości, pobierać rzekomych aktualizacji z maila ani dzwonić na numer podany w treści bez weryfikacji na oficjalnej stronie firmy. To szczególnie ważne przy fałszywych mailach od Microsoft 365, dostawców energii i operatorów telekomunikacyjnych.
Jeśli wiadomość wygląda wiarygodnie, najlepiej wejść na stronę usługi ręcznie, wpisując adres samodzielnie w przeglądarce. W przypadku banków i marketplace’ów bezpieczniej otworzyć aplikację mobilną niż korzystać z linku z maila.
Najczęstsze pytania
Czy podejrzany mail trzeba zgłaszać, jeśli nie został otwarty?
Tak, bo nawet nieotwarta wiadomość może być elementem większej kampanii phishingowej. Zgłoszenie do CERT Polska lub dostawcy poczty pomaga blokować podobne wiadomości u innych użytkowników.
Gdzie zgłosić mail podszywający się pod bank?
Najpierw do CERT Polska, a równolegle do samego banku przez oficjalną infolinię, aplikację lub formularz bezpieczeństwa. Jeśli doszło do podania danych albo autoryzacji transakcji, kontakt z bankiem trzeba wykonać natychmiast.
Czy usunięcie podejrzanego maila wystarczy?
Nie, bo usunięcie wiadomości nie blokuje źródła ataku. Jeśli mail zawierał phishing lub złośliwy link, warto go zgłosić przed usunięciem, najlepiej przekazując pełną wiadomość jako załącznik.
Co zrobić, jeśli podało się hasło na fałszywej stronie?
Trzeba od razu zmienić hasło do tej usługi i wszystkich miejsc, gdzie było użyte ponownie. Następnie należy włączyć 2FA, wylogować aktywne sesje i sprawdzić, czy w skrzynce nie ustawiono reguł przekierowania poczty.
Czy zgłoszenie przez „Zgłoś phishing” w Gmailu wystarcza?
To dobry krok, ale przy groźniejszych przypadkach lepiej dodatkowo zgłosić sprawę do CERT Polska. Gmail poprawia filtrowanie we własnym systemie, a CERT analizuje sam incydent i jego infrastrukturę.